Что стало мотиватором к разработке и внедрению HTTP и HTTPS

Что проверяют

Понимаете ли вы, какую задачу решает каждый протокол, а не помните ли даты. Для тестировщика это практический вопрос: от того, что именно даёт HTTPS, зависит, какие дефекты безопасности вы способны заметить и как настраиваете перехват трафика.

Как отвечать

HTTP появился как способ запросить документ по ссылке: простой текстовый протокол вида запрос-ответ поверх TCP, без состояния. Мотивом был обмен связанными документами в научной среде, а не защита, поэтому всё идёт открытым текстом.

Как только через веб пошли платежи и личные кабинеты, открытый текст стал проблемой. Любой узел на пути читает и правит трафик, а клиент не знает, с тем ли сервером разговаривает. Отсюда HTTPS, то есть тот же HTTP поверх TLS. Он даёт три вещи, их и стоит назвать: конфиденциальность, целостность и подтверждение подлинности сервера сертификатом, которому доверяет клиент. Ценное уточнение: TLS не встроен в HTTP, а оборачивает его, поэтому семантика запросов и ответов не меняется, меняется только транспорт.

Дальше переведите это в задачи тестирования: редирект с открытой версии и заголовок строгой транспортной безопасности, флаги Secure и HttpOnly у кук, смешанный контент, срок и цепочка сертификата, поведение приложения при самоподписанном сертификате.

Где спотыкаются

Говорят, что HTTPS шифрует всё. Имя домена видно в SNI и в запросах DNS, адрес назначения и объём трафика тоже. Скрыты путь, заголовки, тело и куки, и вот это стоит формулировать точно.

Считают, что HTTPS защищает приложение. Он защищает канал. Инъекции, сломанная авторизация и токен в адресной строке остаются ровно там же, просто едут внутри шифрованного соединения.

Не могут объяснить, почему прокси-перехватчик видит трафик. Это не дыра в TLS, а следствие того, что в системе доверяют подложенному корневому сертификату, и в отчёте о дефекте разницу надо понимать.