HTTP协议、SSL、cookie、session培训doc资料.ppt

《HTTP协议、SSL、cookie、session培训doc资料.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、HTTP协议、SSL、cookie、session培训HTTP协议格式请求格式POST/HTTP/1.0rContent-Type:text/xml;charset=UTF-8rContent-Length:7rUser-Agent:JakartaCommons-HttpClient/3.0rHost:219.148.202.18:9081rrABCDEFGHTTP协议格式应答格式HTTP/1.1200OKrContent-Type:text/xml;charset=utf-8rCont

2、ent-Length:8rConnection:closerrResponseHTTP头HTTP的头域包括通用头，请求头，响应头和实体头四个部分。每个头域由一个域名，冒号（:）和域值三部分组成。域名是大小写无关的，域值前可以添加任何数量的空格符，头域可以被扩展为多行，在每行开始处，使用至少一个空格或制表符。HTTP头—请求头Accept、Accept-Charset、Accept-Encoding、Accept-Language、Authorization、From、Host、If-Modified-Since、If

3、-Match、If-None-Match、If-Range、If-Range、If-Unmodified-Since、Max-Forwards、Proxy-Authorization、Range、Referer、User-Agent。HTTP头—响应头Age、Location、Proxy-Authenticate、Public、Retry-After、Server、Vary、Warning、WWW-Authenticate。HTTP头—通用头Cache-Control、Connection、Date、Pragma、Transfer-E

4、ncoding、Upgrade、Via。Trunked传输方式HTTP/1.1200OKrServer:Apache/2.2.9(Fedora)rTransfer-Encoding:chunkedrr86brAbcdefg………r23crFdjfkdjfkdjfdkfjr0rSSL简介安全套接层协议SSL是网景公司(Netscape)提出的基于公钥密码机制的网络安全协议，用于在客户端浏览器软件与Web服务器之间建立一条安全通道，实现Internet上信息传送的保密性。它包括服务器认

5、证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上数据保密性。现在国内外一些对保密性要求较高的网上银行、电子商务和电子政务等系统大多数是以SSL协议为基础建立的，SSL协议已成为Web安全方面的工业标准。目前广泛采用的是SSLv3版。SSL提供的面向连接的安全性作用，具有以下三个基本功能：（1）连接是秘密的，在初始握手定义会话密钥后，用对称密码（例如用DES）加密数据。（2）连接是可认证的，实体的身份能够用公钥密码（例如RSA、DSS等）进行认证。（3）连接是可靠的，消息传输包括利用安全Hash函数产生的带密钥MAC（Mes

6、sageAuthenticationCode：报文鉴别码）SSL协议层次SSL协商过程客户client端发送ClientHello信息给服务器Server端，Server回答ServerHello。这个过程建立的安全参数包括协议版本，“佳话”标识，加密算法，压缩方法。另外，还交换2个随机数：ClientHello.Random和ServerHello.random.用以计算机“会话主密钥”Hello消息发送完后，Server会发送它的证书和密钥交换信息，如果Server端被认证，它就会请求Client端的证书，在验证以后，Server

7、就发送Hello-done消息以示达成了握手协议，即双方握手接通Server请求Client证书时，Client要返回证书或返回“没有证书的指示，这种情况用于单向认证，即客户端不装有证书。然后Client发送密钥交换消息。服务器Server此时要回答“握手完成“消息（Finished），以示完整的握手消息交换，已经全部完成。握手协议完成后，Client端即可与Server端传输应用加密数据，应用数据加密一般是用第（2）步密钥协商时确定的对称加/解密密钥。如DES、3DE等等，目前商用加密强度为128位。非对称密钥一般为RAS，商用强度

8、1024位，用于证书的验证。SSL的应用单向认证：又称匿名SSL连接，这是SSL安全连接的最基本模式，它便于使用，主要的浏览器都支持这种方式，适合单向数据安全传输应用。在这种模式下客户端没有数字证书，只是服务器端具有证书