ca加密,网络安全https ssl-安全传输协议ssl和tls及wtls

《ca加密,网络安全https ssl-安全传输协议ssl和tls及wtls》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、CA加密,网络安全HTTPSSSL--------安全传输协议SSL和TLS及WTLS的原理一、首先要澄清一下名字的混淆1.SSL(SecureSocketLayer)是Netscape公司设计的主要用于WEB的安全传输协议。这种协议在WEB上获得了广泛的应用。2.IETF将SSL作了标准化，即RFC2246，并将其称为TLS（TransportLayerSecurity），从技术上讲，TLS1.0与SSL3.0的差别非常微小。由于本文中没有涉及两者间的细小差别，本文中这两个名字等价。3.在WAP的环境下，由于手

2、机及手持设备的处理和存储能力有限，Wap论坛在TLS的基础上做了简化，提出了WTLS协议（WirelessTransportLayerSecurity），以适应无线的特殊环境。我们从各式各样的文章中得知，SSL可以用于保密的传输，这样我们与WebServer之间传输的消息便是“安全的”。而这种“安全”究竟是怎么实现的，最终有能实现多大程度的保密？本文希望能用通俗的语言阐明其实现原理。二、整体结构概览SSL是一个介于HTTP协议与TCP之间的一个可选层，其位置大致如下：－－－－－－－－－

3、HTTP

4、－－－－－－－－

5、－

6、SSL

7、－－－－－－－－－

8、TCP

9、－－－－－－－－－

10、IP

11、－－－－－－－－－如果利用SSL协议来访问网页，其步骤如下：用户：在浏览器的地址栏里输入https://www.sslserver.comHTTP层：将用户需求翻译成HTTP请求，如GET/index.htmHTTP/1.1Hosthttp://www.sslserver.comSSL层：借助下层协议的的信道安全的协商出一份加密密钥，并用此密钥来加密HTTP请求。TCP层：与webserver的443端口建立连接，传递SSL处理后的数据。接收端与此

12、过程相反。SSL在TCP之上建立了一个加密通道，通过这一层的数据经过了加密，因此达到保密的效果。SSL协议分为两部分：HandshakeProtocol和RecordProtocol,。其中HandshakeProtocol用来协商密钥，协议的大部分内容就是通信双方如何利用它来安全的协商出一份密钥。RecordProtocol则定义了传输的格式。三、需要的加密方面的基础知识了解SSL原理需要一点点加密的概念，这里把需要的概念做一下简单阐述：加密一般分为三类，对称加密，非对称加密及单向散列函数。对称加密：又分分组密

13、码和序列密码。分组密码是将明文按一定的位长分组，明文组经过加密运算得到密文组，密文组经过解密运算（加密运算的逆运算），还原成明文组。序列密码是指利用少量的密钥（制乱元素）通过某种复杂的运算（密码算法）产生大量的伪随机位流，用于对明文位流的加密。解密是指用同样的密钥和密码算法及与加密相同的伪随机位流，用以还原明文位流。CBC(CipherBlockChaining)模式这个词在分组密码中经常会用到，它是指一个明文分组在被加密之前要与前一个的密文分组进行异或运算。当加密算法用于此模式的时候除密钥外，还需协商一个初始化

14、向量（IV），这个IV没有实际意义，只是在第一次计算的时候需要用到而已。采用这种模式的话安全性会有所提高。分组密码的典型例子为DES、RC5、IDEA。序列密码的典型例子为RC4。公钥加密：简单的说就是加密密钥与解密密钥不同，分私钥和公钥。这种方法大多用于密钥交换，RSA便是一个我们熟知的例子。还有一个常用的称作DH，它只能用于密钥交换，不能用来加密。单向散列函数：由于信道本身的干扰和人为的破坏，接受到的信息可能与原来发出的信息不同，一个通用的办法就是加入校验码。单向散列函数便可用于此用途，一个典型的例子是我们熟

15、知的MD5,它产生128位的摘要，在现实中用的更多的是安全散列算法（SHA），SHA的早期版本存在问题，目前用的实际是SHA－1，它可以产生160位的摘要，因此比128位散列更能有效抵抗穷举攻击。由于单向散列的算法都是公开的，所以其它人可以先改动原文，再生成另外一份摘要。解决这个问题的办法可以通过HMAC（RFC2104）,它包含了一个密钥，只有拥有相同密钥的人才能鉴别这个散列。四、密钥协商过程由于对称加密的速度比较慢，所以它一般用于密钥交换，双方通过公钥算法协商出一份密钥，然后通过对称加密来通信，当然，为了保证

16、数据的完整性，在加密前要先经过HMAC的处理。SSL缺省只进行server端的认证，客户端的认证是可选的。以下是其流程图（摘自TLS协议）。ClientServerClienth*llo-------->Serverh*lloCertificate*ServerKeyExchange*CertificateRequest*<--------Serverh*lloDoneC