小鎖頭在忙什麼：HTTPS 到底鎖住了誰

滑手機的時候，你可能沒注意過網址列那個不起眼的小鎖頭圖示。它代表這個網站正在用 HTTPS 保護你，但保護的到底是什麼，很多人其實沒真的想過。

先想像成寄一封信

公開金鑰加密可以想成一種特別的鎖盒子。這把鎖有個特性：任何人都能把它「喀」一聲鎖上（這是公開金鑰，人人都能拿），但只有擁有對應鑰匙的人才能打開它（這是私有金鑰，只有網站自己留著）。當你要送出密碼或信用卡號，瀏覽器會先跟網站要一把鎖，把你的資料鎖進盒子裡再寄出去。路上不管經過幾個郵局、幾雙手，沒有鑰匙的人就是打不開，只能看到一個鎖死的盒子。

它確實保護了這些

• 資料在傳輸途中不被偷看內容（盒子鎖住了）
• 資料不被中途偷偷竄改（打開過會留下痕跡）
• 能一定程度確認你連上的是它宣稱的那個網站，而不是路上冒出來的假地址

但它不保護這些，容易被誤會

• 它不保證這個網站本身是不是詐騙集團開的，鎖頭再堅固，屋主是誰它管不著
• 它不隱藏你連上了哪個網域，就像郵差不看信件內容，但知道你寄信去了哪個地址
• 它不保護你自己的電腦或手機，如果裝置本身中毒，鎖盒子再堅固也沒用

下次看到那顆小鎖頭，不妨把它當成一個誠實的郵差：它會確保你的信不被路人拆開偷看，但信封上寫的地址是不是騙子的，還是得靠你自己多看兩眼。