什么是SSL協(xié)議？ SSL協(xié)議是一種安全傳輸協(xié)議，SSL是SecureSocketLayer的縮寫(xiě)，即安全套接層協(xié)議。該協(xié)議最初由Netscape企業(yè)發(fā)展而來(lái)，目前已經(jīng)成為互聯(lián)網(wǎng)上用來(lái)鑒別網(wǎng)站和網(wǎng)頁(yè)瀏覽者的身份，以及在瀏覽器使用者及網(wǎng)頁(yè)服務(wù)器之間進(jìn)行加密通訊的全球化標準協(xié)議。由于SSL技術(shù)已建立到了所有主要的瀏覽器和WEB服務(wù)器程序當中，因此，僅需安裝數字證書(shū)，或服務(wù)器證書(shū)就可以激活服務(wù)器功能了。 SSL協(xié)議能夠對信用卡和個(gè)人信息提供較安全的保護。SSL是對計算機之間整個(gè)會(huì )話(huà)進(jìn)行加密的協(xié)議。在SSL中，采用了公開(kāi)密鑰和私有密鑰兩種加密方法。 SSL協(xié)議的優(yōu)勢在于它是應用層協(xié)議確立無(wú)關(guān)的。高層的應用協(xié)議如HTTP、FTP、Telnet等能透明地建立于SSL協(xié)議之上。其在應用層協(xié)議通信之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器認證工作。在此之后應用層協(xié)議所傳送的數據都會(huì )被加密，從而保證我們在互聯(lián)網(wǎng)上通信的安全。 SSL協(xié)議提供的安全服務(wù)有： 1)認證用戶(hù)和服務(wù)器，確保數據發(fā)送到正確的客戶(hù)機和服務(wù)器; 2)加密數據以防止數據中途被竊取; 3)維護數據的完整性，確保數據在傳輸過(guò)程中不被改變。 SSL的主要目的是在兩個(gè)通信應用程序之間提供私密信和可靠性。這個(gè)過(guò)程通過(guò)3個(gè)元素來(lái)完成： 1、握手協(xié)議。 握手協(xié)議負責協(xié)商被用于客戶(hù)機和服務(wù)器之間會(huì )話(huà)的加密參數。當一個(gè)SSL客戶(hù)機和服務(wù)器第一次開(kāi)始通信時(shí)，它們在一個(gè)協(xié)議版本上達成一致，選擇加密算法，選擇相互認證，并使用公鑰技術(shù)來(lái)生成共享密鑰。 2、記錄協(xié)議。 記錄協(xié)議用于交換應用層數據。應用程序消息被分割成可管理的數據塊，還可以壓縮，并應用一個(gè)MAC(消息認證代碼);然后結果被加密并傳輸。接受方接受數據并對它解密，校驗MAC，解壓縮并重新組合它，并把結果提交給應用程序協(xié)議。 3、警告協(xié)議。這個(gè)協(xié)議用于指示在什么時(shí)候發(fā)生了錯誤或兩個(gè)主機之間的會(huì )話(huà)在什么時(shí)候終止。 下面我們來(lái)看一個(gè)使用WEB客戶(hù)機和服務(wù)器的范例。WEB客戶(hù)機通過(guò)連接到一個(gè)支持SSL的服務(wù)器，啟動(dòng)一次SSL會(huì )話(huà)。支持SSL的典型WEB服務(wù)器在一個(gè)與標準HTTP請求(默認為端口80)不同的端口(默認為443)上接受SSL連接請求。當客戶(hù)機連接到這個(gè)端口上時(shí)，它將啟動(dòng)一次建立SSL會(huì )話(huà)的握手。當握手完成之后，通信內容被加密，并且執行消息完整性檢查，知道SSL會(huì )話(huà)過(guò)期。SSL創(chuàng )建一個(gè)會(huì )話(huà)，在此期間，握手必須只發(fā)生過(guò)一次。當SSL會(huì )話(huà)過(guò)程中出現了問(wèn)題或端口設置出了問(wèn)題，就會(huì )造成無(wú)法使用SSL連接現象。 SSL握手過(guò)程步驟： 步驟1：SSL客戶(hù)機連接到SSL服務(wù)器，并要求服務(wù)器驗證它自身的身份。 步驟2：服務(wù)器通過(guò)發(fā)送它的數字證書(shū)證明其身份。這個(gè)交換還可以包括整個(gè)證書(shū)鏈，直到某個(gè)根證書(shū)權威機構(CA)。通過(guò)檢查有效日期并確認證書(shū)包含有可信任CA的數字簽名，來(lái)驗證證書(shū)。 步驟3：服務(wù)器發(fā)出一個(gè)請求，對客戶(hù)端的證書(shū)進(jìn)行驗證。但是，因為缺乏公鑰體系結構，當今的大多數服務(wù)器不進(jìn)行客戶(hù)端認證。 步驟4：協(xié)商用于加密的消息加密算法和用于完整性檢查的哈希函數。通常由客戶(hù)機提供它支持的所有算法列表，然后由服務(wù)器選擇最安全的加密算法。 步驟5：客戶(hù)機和服務(wù)器通過(guò)下列步驟生成會(huì )話(huà)密鑰： a. 客戶(hù)機生成一個(gè)隨機數，并使用服務(wù)器的公鑰(從服務(wù)器的證書(shū)中獲得)對它加密，然后發(fā)送到服務(wù)器上 b. 服務(wù)器用更加隨機的數據(從客戶(hù)機的密鑰可用時(shí)則使用客戶(hù)機密鑰;否則以明文方式發(fā)送數據)響應。 c. 使用哈希函數，從隨機數據生成安全密鑰。 SSL協(xié)議的優(yōu)點(diǎn)是它提供了連接安全，具有3個(gè)基本屬性： l 連接是私有的。在初始握手定義了一個(gè)密鑰之后，將使用加密算法。對于數據加密使用了對稱(chēng)加密(例如DES和RC4)。 l 可以使用非對稱(chēng)加密或公鑰加密(例如RSA和DSS)來(lái)驗證對等實(shí)體的身份。 l 連接時(shí)可靠的。消息傳輸使用一個(gè)密鑰的MAC，包括了消息完整性檢查。其中使用了安全哈希函數(例如SHA和MD5)來(lái)進(jìn)行MAC計算。 對于SSL的接受程度僅僅限于HTTP內。它在其他協(xié)議中曾被表明可以使用，但還沒(méi)有被廣泛應用。 |
聯(lián)系客服
