Secure socket layer(SSL)協(xié)議最初由
Netscape企業(yè)發(fā)展，現已成為網(wǎng)絡(luò )用來(lái)鑒別網(wǎng)站 和網(wǎng)頁(yè)瀏覽者身份，以及在瀏覽器使用者及網(wǎng)頁(yè)服務(wù)器之間進(jìn)行加密通訊的全球化標準 。由于
SSL技術(shù)已建立到所有主要的瀏覽器和WEB服務(wù)器程序中，因此，僅需安裝數字證書(shū)，或服務(wù)器證書(shū)就可以激活服務(wù)器功能了。對于
Web信息傳輸通道的機密性及完整性，
SSL是最佳的解決方案，目前所有的瀏覽器和
Web服務(wù)器都支持
SSL，采用
SSL在技術(shù)上已經(jīng)很成熟，互聯(lián)網(wǎng)的安全敏感數據幾乎都是由
SSL通道傳輸的。
采用
SSL技術(shù)和數字簽名技術(shù)保證郵件的安全性，為了滿(mǎn)足企業(yè)用戶(hù)保護商業(yè)秘密的需求 ，提供了完善郵件加密和認證功能，采用
SSL技術(shù)對郵件的存儲和傳輸實(shí)施加密，保證郵件不被竊取和篡改；并且提供數字簽名技術(shù)，以保證郵件的真實(shí)性。系統提供了從普通級到絕密級等多種保密等級，以滿(mǎn)足不同環(huán)境下的保密需求。
SSL協(xié)議是因特網(wǎng)通信標準，用來(lái)提供兩個(gè)應用之間通信的保密，可信和身份認證。
SSL技術(shù)一般采用公開(kāi)密鑰技術(shù)，能夠提供：信息加密服務(wù)，信息完整性服務(wù)，相互認證服務(wù)這三項服務(wù)。
下面，我們將從通信量分析、主動(dòng)攻擊、重放攻擊、密碼組回滾攻擊以及中間人攻擊這五種常見(jiàn)的安全攻擊入手，初步分析
SSL的
抵御攻擊能力。
- 通信量分析
如果常規的攻擊失敗，密碼破譯專(zhuān)家會(huì )轉向使用更復雜的攻擊。通信量分析是另外一種被動(dòng)攻擊，但它經(jīng)常是惡意攻擊，因此值得一提。通信量分析的目標在于，通過(guò)檢查包中未加密的域及屬性，以獲得受保護會(huì )話(huà)的機密信息。例如，通過(guò)檢查未加密的源和目標的IP地址（甚至TCP端口號），或者檢查網(wǎng)絡(luò )通信流，一個(gè)通信量分析專(zhuān)家可以確定通信各方的通信內容，使用的服務(wù)類(lèi)型，有時(shí)甚至還可以獲得有關(guān)商業(yè)或個(gè)兒關(guān)系的信息。實(shí)際上，用戶(hù)大都認為通信量分析的威脅相對來(lái)說(shuō)是無(wú)害的，因此SSL不會(huì )試圖阻止這種攻擊。忽略通信量分析看來(lái)是一種可行的設計方案。
然而在SSL體系結構中，通信量分析仍會(huì )造成一些巧妙的威脅。Bennet Yee已經(jīng)指出，檢查密文的長(cháng)度會(huì )暴露出有關(guān)SSL或被SSL加密的網(wǎng)站通信中用到的URL請求的信息【Yee96】。當一個(gè)Web瀏覽器通過(guò)加密傳輸（如SSL）連接到一臺Web服務(wù)器時(shí)，包含有URL信息的GET請求會(huì )以加密方式進(jìn)行傳輸。嚴格來(lái)說(shuō)，瀏覽器要下載哪一個(gè)頁(yè)面，這種信息是保密的——顯然，具有URL方面的知識，對于一個(gè)想下載整個(gè)網(wǎng)站的人來(lái)說(shuō)，這已經(jīng)足夠了——而且，通信量分析可以獲得Web服務(wù)器的身份信息，請求的URL長(cháng)度，以及從Web服務(wù)器所返回的html數據的長(cháng)度。這個(gè)漏洞往往使得竊聽(tīng)者能夠發(fā)現用戶(hù)訪(fǎng)問(wèn)了哪些Web頁(yè)面。
上述弱點(diǎn)之所以出現，是因為密文長(cháng)度暴露了明文的長(cháng)度。SSL在塊加密模式中支持隨機填充，而在流加密模式中卻不支持。我們相信，對于所有的加密模式，SSL將會(huì )在最小程度上支持任意長(cháng)度填充的使用，而且會(huì )仔細地考慮它在特定應用程序中的需求。 - 主動(dòng)攻擊
SSL能抵御主動(dòng)攻擊以安全地保護機密數據，這一點(diǎn)非常重要。當然，所使用的加密算法應該在被選擇明文∕被選擇密文攻擊下是安全的，但這對于加密算法來(lái)說(shuō)還不夠。IETF的IPSEC工作組的最近研究表明，即使所使用的密碼強度足夠，在記錄層上精明的主動(dòng)攻擊仍能打破系統的保密性。SSL 3.0 的記錄層能抵御這些強有力的攻擊：更進(jìn)一步，為何這些攻擊會(huì )被阻止，值得我們討論。
IPSEC中的一個(gè)重要的主動(dòng)攻擊是Bellovin的剪貼攻擊?；叵肫饋?lái)，要獲得保密性，光對鏈接進(jìn)行加密是不夠的——接收端也必須防止敏感數據在無(wú)意中被泄露出來(lái)。剪貼攻擊的攻擊方式就是謀求接收端的信任，使之對敏感數據進(jìn)行解密并將這些數據泄露給它們。
SSL 3.0能夠阻止剪貼攻擊。阻止這種攻擊的一種局部性防御策略是為每一個(gè)不同的上下文使用獨立的會(huì )話(huà)密鑰，這樣便能在不同的連接之間，以及連接的不同方向之間阻止剪貼操作。SSL已經(jīng)為每個(gè)連接方向使用了獨立的密鑰。但是，這種機制無(wú)法阻止傳輸中一個(gè)方向上的剪貼操作。應用最廣泛的防御策略是在所有加密包上使用強大的認證機制，以阻止敵方對密文數據的修改。SSL記錄層確實(shí)采用了這種防御策略，因此剪貼操作被完全阻止住了。
另一種主動(dòng)攻擊是短塊攻擊，它主要針對IPSEC。這種攻擊適用于最后的報文塊包含一個(gè)一字節長(cháng)的明文并且報文塊剩余部分由隨機數填充的情況。在SSL上并沒(méi)有明顯的短塊攻擊。SSL記錄層格式與以前的IPSEC格式相當類(lèi)似，這種格式容易遭到攻擊，因此可以想象，修改性攻擊會(huì )對SSL產(chǎn)生威脅。但是，無(wú)論如何，由標準SSL加密的Web服務(wù)器基本上不會(huì )受到短塊攻擊的威脅，因為這些服務(wù)器不會(huì )經(jīng)常對短塊進(jìn)行加密。（但要注意，由SSL加密的telnet客戶(hù)端必須得到特殊的保護，以防止短塊攻擊，因為每一次按鍵在傳送時(shí)都是一字節長(cháng)的數據包。） - 重放攻擊
光靠使用報文鑒別碼（MAC）不能防止對方重復發(fā)送過(guò)時(shí)的信息包。SSL通過(guò)在生成MAC的數據中加入隱藏的序列號，來(lái)防止重放攻擊。這種機制也可以防止被耽擱的，被重新排序的，或者是被刪除數據的干擾。序列號的長(cháng)度是64bit，因此打包不會(huì )有問(wèn)題。另外，序列號由每個(gè)連接方向分別維護，而且在每一次新的密鑰交換時(shí)進(jìn)行更新，所以不會(huì )有明顯的弱點(diǎn)。 - 密碼組回滾攻擊（CipherSuite Rollback attack）
SSL 2.0密鑰交換協(xié)議中有一個(gè)嚴重的缺陷：主動(dòng)攻擊者能夠在暗地里迫使一個(gè)家庭用戶(hù)使用功能被削弱的出口加密算法，即使通信雙方都支持并首選了較高等級的算法。這就是人們所說(shuō)的密碼組回滾攻擊（CipherSuite Rollback attack），它通過(guò)編輯在hello報文中發(fā)送的所支持密碼組的明文列表來(lái)達到自身的目的。SSL 3.0 修正了這個(gè)缺陷，它使用一個(gè)master_secret來(lái)對所有的握手協(xié)議報文進(jìn)行鑒別，這樣一來(lái)，便可在握手結束時(shí)檢查出敵方的上述行為，如果有必要，還可結束會(huì )話(huà)。
接著(zhù)，我們來(lái)詳細描述一下SSL 3.0中防止修改握手協(xié)議報文的機制。在以前SSL握手協(xié)議中，有幾個(gè)常見(jiàn)的弱點(diǎn)，我們將依次進(jìn)行介紹。
所有初始的握手協(xié)議報文在傳送時(shí)都是未保護的，此時(shí)密鑰交換協(xié)議會(huì )將當前會(huì )話(huà)狀態(tài)改為未決的會(huì )話(huà)狀態(tài)，而不是修改當前使用中的各個(gè)參數。在協(xié)商完成之后，通信的每一方都發(fā)送一個(gè)短的更改密碼規格報文（change cipher spec message），該報文僅僅是警告對方將當前狀態(tài)升級為未決的會(huì )話(huà)狀態(tài)。雖然change_cipher_spec報文未受保護，但是新的會(huì )話(huà)狀態(tài)還是將以下一個(gè)報文為開(kāi)始。緊跟在change_cipher_spec報文之后的是結束（finished）報文，它包含了一個(gè)報文鑒別碼（MAC），此MAC由被master_secret加密過(guò)的所有握手協(xié)議報文計算得出。（基于特殊的非安全性因素，change_cipher_spec報文和alert報文在finished報文中沒(méi)有進(jìn)行鑒別。）48字節長(cháng)的master_secret從未被泄露出去，而且會(huì )話(huà)密鑰由它產(chǎn)生。這就保證了即使會(huì )話(huà)密鑰被人截獲，master_secret仍可安然無(wú)恙，所以握手協(xié)議報文能夠安全的得到鑒別。Finished報文使用新建的密碼組（ciphersuite）對自身進(jìn)行保護。通信各方只有在收到對方的finished報文并對其進(jìn)行核實(shí)后，才會(huì )接收應用層的數據。 - 中間人攻擊（man_in_the_middle attack）
SSL 3.0中包含了對Diffie-Hellman密鑰交換進(jìn)行短暫加密的支持。Diffie-Hellman是一種公開(kāi)密鑰算法，它能有效地提供完善的保密功能，對于SSL來(lái)說(shuō)是一個(gè)有益的補充。在SSL 3.0 Diffie-Hellman密鑰交換系統中，服務(wù)器必須指定模數和原始根（這兩個(gè)數均為素數），以及Diffie-Hellman的指數。為了防止服務(wù)器端產(chǎn)生的陷門(mén)，客戶(hù)端應該對模數和原始根進(jìn)行仔細的檢查，看它們是否為固定公共列表上的可靠數值。在SSL 3.0中，通過(guò)對服務(wù)器端的Diffie-Hellman指數的鑒別，可以抵御眾所周知的中間人（man-in-the-middle）攻擊。（匿名客戶(hù)不必擁有證書(shū)。）另外，在SSL 3.0中并不支持具有較高性能的Diffie-Hellman變量，如較小的指數變量（160bit）或橢圓曲線(xiàn)變量。
