SSL(SecureSocketsLayer)协议与数字证书

《SSL(SecureSocketsLayer)协议与数字证书》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、SSL(SecureSocketsLayer)协议与数字证书1SSL的概述由于Web±有时要传输重要或敏感的数据，Netscape公司在推出Web浏览器首版的同时，提出了安全通信协议SSL(SecureSocketLayer)。目的是在Internet基础上提供一种基于会话加密和认证的安全协议。SSL协议已成为Internet±保密通讯的工业标准。现行Web浏览器普遍将HTTP和SSL相结合，从而实现安全通信。SSL协议有以下三个特性：保密性。因为在握手协议定义了会话密钥后，所有的消息都被加密。确

2、认性o因为尽管会话的客户端认证是可选的，但是服务盎端始终是被认证的。可靠性o因为传送的消息包括消息完整性检查(使用MAC)oSSL或TSLT作在TCP层与HTTP,FTP,SMTP之间.2SSL的体系结构SSL协议分为两层协议。—层是SSL记录协议(SSLRecordProtocol),它建立在可靠的传输协议(如TCP)之上，为更高层提供基本的安全服务，如提供数据封装、压缩、加密等基本功能的支持。异一层是建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进它宙三个协议组成:•SSL握手

3、协议(SSLHandshakeProtocol)•SSL修改密文规约协议(SSLChangeCipherSpecProtocol)•SSL告警协议(SSLAlertProtocol)SSLHardstalteBrotocolSSLChangeCpherSSLAleitBrotocol»lISSLRecordProtocolTCP/IPProtocolSSL协议栈SSL中协议中两个重要概念：SSL连接(connection):在0SI分层模型的定义中，连接是提供一种合适类型服务的传输。而SSL的连接

4、是点对点的关系。连接是暂时的，每一个连接和一个会话关联。SSL合话（session）:—个SSL会话是在客户与服务器之间的一个关联。会话由握手协议创建。合话定义了一组可供多个连接共享的加密安全参数。合话用以避免为每一个连接提供新的安全参数所付出昂贵的代价。①会话状态由下列参数定义：•会话标识符：服务器选择的一个任意字节序列，用以标识一个活动的或可激活的会话状态。•对方证书：一个X.509.v3证书。可为空。•压缩方法：加密前进行数据压缩的算法。•密文规约：指明数抿体加密的算法（无，或DES等），以

5、及用以计算MAC散列算法（如MD5或SHA-1）O还包括其它参数，如散列长度，主密码（48位C与S之间共享的密钥），重新开始标志（指明该会话是否能用于产生—个新连接）。②连接状态由下列参数定义：•服务器和客户的随机数：服务器和客户为每一个连接所选择的字节序列。•服务器写mac密码：一个密钥，用来对服务器发送的数据进行MAC操作。•客户写MAC密码：一个密钥，用来对客户发送的数据进行MAC操作。•服务器写密钥：用于服务器进行数据加密，客户进行数据解密的对称加密密钥；•客户写密钥：用于客户进行数据加密

6、，服务器r进行数据解密的对称加密密钥；•初始化向量：当数据加密采用CBC方式时，每一个密钥保持一个IV。该字段首先由SSL握手协议初始化，以后保留每次最后的密文数据块作为下一个记录的IV。•序号：每一方为每一个连接的数据发送与接收维护单独的顺序号。当一方发送或接收一个修改的密文规约的报文时，序号置为0,最大264-1。1SSL记录协议在SSL协议中，所有的传输数据都被封装在记录中。记录是由记录头和长度不为0的记录数据组成的。所有的SSL通信包括握手消息.安全空白记录和应用数据都使用SSL记录层。S

7、SL记录协议(SSLRecordProtocol)包括了记录头和记录数据格式的规定。1・SSL记录头格式SSL的记录头可以是两个或三个字节长的编码。SSL记录头的包含的信息包括：记录头的长度.记录数据的长度.记录数据中是否有粘贴数据。2.SSL记录数据的格式SSL的记录数据包含三个部分:MAC(MessageAuthenticationCode)数据、实际数据和粘贴数据。2.SSL记录协议操作在SSL的记录层完成对数据加密.解密和认证。操作过程如图所示:应用数据分段压缩添加MAC加密添加SSL记录

8、头应用数据/1z■♦••14S数据分段数据分段数据分段SSLRecordProtocolAllSSLprotocolmessagesmoveinrecordsofupto32,767bytes.Eachmessagehasaheaderofeither2or3bytes.Theheadersincludeasecurityescapefunction,aflagtoindicatetheexistenceofpadding,andthelengthofthemessage(an