SSL工作原理

SSL工作原理

SSL 是一個安全性通訊協定，它提供使用 TCP/IP 的通訊應用程式間的隱私與完整性。網際網路的 超文字傳輸通訊協定 (HTTP) （HTTP）使用 SSL 來實現安全的通訊。 在用戶端與伺服器間傳輸的資料是通過使用對稱演算法（如 DES 或 RC4）進行加密的。公用密鑰演算法（通常為 RSA）是用來獲得加密金鑰交換和數位簽章的，此演算法使用伺服器的SSL數位憑證中的公用密鑰。有了伺服器的SSL數位憑證，用戶端也可以驗證伺服器的身份。SSL 協議的版本 1 和 2 只提供伺服器認證。版本 3 添加了用戶端認證，此認證同時需要用戶端和伺服器的數位憑證。 SSL 握手 SSL 串連總是由用戶端啟動的。在SSL 會話開始時執行 SSL 握手。此握手產生會話的密碼參數。關於如何處理 SSL 握手的簡單概述，如所示。此樣本假設已在 網頁瀏覽器 和 Web 服務器間建立了 SSL 串連。 圖 SSL的用戶端與伺服器端的認證握手 (1) 用戶端發送列出用戶端密碼能力的用戶端“您好”訊息（以用戶端喜好設定順序排序），如 SSL 的版本、用戶端支援的密碼對和用戶端支援的資料壓縮方法。訊息也包含 28 位元組的隨機數。 (2) 伺服器以伺服器“您好”訊息響應，此訊息包含密碼方法（密碼對）和由伺服器選擇的資料壓縮方法，以及會話標識和另一個隨機數。   注意:用戶端和伺服器至少必須支援一個公用密碼對，否則握手失敗。伺服器一般選擇最大的公用密碼對。 (3) 伺服器發送其SSL數位憑證。（伺服器使用帶有 SSL 的 X.509 V3 數位憑證。）     如果伺服器使用 SSL V3，而伺服器應用程式（如 Web 服務器）需要數位憑證進行用戶端認證，則用戶端會發出“數位憑證請求”訊息。在 “數位憑證請求”訊息中，伺服器發出支援的用戶端數位憑證類型的列表和可接受的CA的名稱。 (4) 伺服器發出伺服器“您好完成”訊息並等待用戶端響應。 (5) 一接到伺服器“您好完成”訊息，用戶端（ 網頁瀏覽器）將驗證伺服器的SSL數位憑證的有效性並檢查伺服器的“你好”訊息參數是否可以接受。    如果伺服器請求用戶端數位憑證，用戶端將發送其數位憑證；或者，如果沒有合適的數位憑證是可用的，用戶端將發送“沒有數位憑證”警告。此警告僅僅是警告而已，但如果用戶端數位憑證認證是強制性的話，伺服器應用程式將會使會話失敗。 (6) 用戶端發送“用戶端金鑰交換”訊息。此訊息包含 pre-master secret （一個用在對稱式加密密鑰產生中的 46 位元組的隨機數字），和 訊息認證代碼 （ MAC ）密鑰（用伺服器的公用祕密金鑰加密的）。    如果用戶端發送用戶端數位憑證給伺服器，用戶端將發出簽有用戶端的專用密鑰的“數位憑證驗證”訊息。通過驗證此訊息的簽名，伺服器可以顯示驗證用戶端數位憑證的所有權。    注意: 如果伺服器沒有屬於數位憑證的專用密鑰，它將無法解密 pre-master 密碼，也無法建立對稱式加密演算法的正確密鑰，且握手將失敗。 (7) 用戶端使用一系列加密運算將 pre-master secret 轉化為 master secret ，其中將派生出所有用於加密和訊息認證的密鑰。然後，用戶端發出“更改密碼規範” 訊息將伺服器轉換為新協商的密碼對。用戶端發出的下一個訊息（“未完成”的訊息）為用此密碼方法和祕密金鑰加密的第一條訊息。 (8) 伺服器以自己的“更改密碼規範”和“已完成”訊息響應。 (9) SSL 握手結束，且可以發送加密的應用程式資料。