Question

https的基本流程----个人简单理解

Answer 1

(1)判断颁发机构是否为操作系统所信任的(一般在本地) --------操作系统会默认一些颁发机构是安全的
(2)利用操作系统所信任的颁发机构的证书 (这里的证书是颁发机构自己用的) 中的公钥，去解密上述证书的加密的指纹得到指纹hash摘要
(3)利用上述指纹算法算出指纹hash摘要，从而对比两个hash摘要是否相同，从而保证证书数据没有被篡改过

(2)利用操作系统所信任的颁发机构的证书 (这里的证书是颁发机构自己用的) 中的公钥，去解密上述证书的加密的指纹得到指纹hash摘要

答：因为证书中的(公钥)对应了一个私钥，而这个私钥只有证书机构才拥有。
不做hash的情况，黑客只要篡改证书信息，很难模拟对应的私钥加密生成的指纹，而该指纹如果不做hash摘要，那么我们验证也不做hash摘要保持一致就可以了。所以可以不是必须的。
这里做hash的意义，可以减小数据长度，加快到时对方用公钥解密速度，优化性能。

第6步同理，hash可以优化性能，且此处这样使用可以让黑客更难找出加密规律（因为是主动探查服务端有没有私钥）。