实验6-基于web的ssl应用

《实验6-基于web的ssl应用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、贵州大学实验报告学院：计算机科学与技术学院专业：信息安全班级：姓名学号实验组实验时间2015.06.10指导教师蒋朝惠成绩实验项目名称实验六基于Web的SSL应用实验目的1.通过实验深入了解SSL的工作原理，熟练掌握Windows2000Server/Server2003环境下CA系统和SSL连接的配置和使用方法。2.给IIS配置SSL，给指定Web站点利用SSL加密HTTP通道。实验要求掌握CA系统和SSL连接的配置和使用方法，同时要学会给IIS配置SSL，并给指定Web站点利用SSL加密HTTP通道实验原理由于Web上有时要传输重要或敏感的数据，因此Netscape公司在推出Web

2、浏览器首版的同时，提出了安全套接层SSL，目前已有2.0和3.0版本。SSL采用公开密钥技术。其目标是保证两个应用间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。目前，利用公开密钥技术的SSL协议，并已成为Internet上保密通信的工业标准。SSL提供使用TCP/IP的通信应用程序间的隐私与完整性。因特网的超文本传送协议（HTTP）使用SSL来实现安全的通信。在客户端与服务器间传输的数据是通过使用对称算法进行加密的。公用密钥算法（通常为RSA）是用来获得加密密钥交换和数字签名的，此算法使用服务器端SSL数字证书中的公用密钥。有了服务器的SSL数字证书，客户端也可以验证服务

3、器的身份。SSL协议的版本1和2只提供服务器认证。版本3添加了客户端认证，此认证同时需要客户端和服务器的数字证书。SSL总是由客户端启动的。在SSL会话开始时执行SSL握手。此握手产生会话的密码参数。下图为SSL的客户端与服务器的认证握手过程：①客户端发送列出客户端密码能力的客户端“您好”消息（以客户端首选项顺序排序），如SSL的版本、客户端支持的密码对和客户端支持的数据压缩方法。消息也包含28字节的随机数。②服务器以服务器“您好”消息响应，此消息包含密码方法（密码对）和由服务器选择的数据压缩方法，以及会话标识和另一个随机数。③服务器发送其SSL数字证书。（服务器使用带有SSL的X.5

4、09V3数字证书）如果服务器使用SSLV3，而服务器应用程序（如Web服务器）需要数字证书进行客户端认证，则客户端会发出“数字证书请求”消息。在“数字证书请求”消息中，服务器发出支持的客户端数字证书类型的列表和可接受的CA的名称。④服务器发出服务器“您好完成”消息并等待客户端响应。⑤一旦接到服务器“你好完成”消息，客户端（Web浏览器）将验证服务器的SSL数字证书的有效性并检查服务器的“您好”消息参数是否可以接受。如果服务器请求客户端数字证书，客户端将发送其数字证书；或者，如果没有合适的数字证书是可用的，客户端将发送“没有数字证书”警告。此警告仅仅是警告而已，但如果客户端数字证书认证是

5、强制性的话，服务器应用程序将会使会话失败。⑥客户端发送“客户端密钥交换”消息。此消息包含pre-mastersecret（一个用在对称加密密钥生成中的46字节的随机数字），和消息认证代码（MAC）密钥（用服务器的公用密钥加密的）。如果客户端发送客户端数字证书给服务器，客户端将发出签有客户端的专用密钥的“数字证书验证”消息。通过验证此消息的签名，服务器可以显示验证客户端数字证书的所有权。⑦客户端使用一系列加密运算将pre-mastersecret转化为mastersecret，其中将派生出所有用于加密和消息认证的密钥。然后，客户端发出“更改密码规范”消息将服务器转换为新协商的密码对。客户

6、端发出的下一个消息（“未完成”的消息）为用此密码方法和密钥加密的第一条消息。⑧服务器以自己的“更改密码规范”和“已完成”消息响应。⑨SSL握手结束，且可以发送加密的应用程序数据。实验仪器1.装有Windows2000Server/Server2003操作系统的服务器一台。2.装有Windows2000/XP的客服机若干台。3.服务器与客服机通过hub或交换机连接成局域网。实验步骤、内容、数据(一)Windows环境下独立根CA的安装使用1.独立根CA的安装①单击【开始】，选择【设置】→【控制面板】→【添加/删除程序】，在打开的窗口中单击【添加/删除Windows组件】。在打开的对话框中

7、，选择【证书服务】，单击【下一步】开始安装。②在弹出的配置窗口中，选择【独立根CA】，单击【下一步】。一次填入CA的名称。单位、部门、城市、电子邮件、描述、有效期限。单击【下一步】，在打开的运行窗口中填入数据的存储位置，单击【下一步】。③打击【开始】，选择【程序】→【管理工具】，此时可在该菜单中找到【证书颁发机构】，说明CA的安装已经完成1.通过Web页面申请证书①在局域网的另一台计算机打开IE在地址栏中输入http://根CA的IP/cert