搜索

[20690] 2017-04-06_SSL+socket详解-概念

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-04-06_SSL+socket详解-概念 S S L + s o c k e t   详 解 - 概 念 L e m o n S e c   2 0 1 7 - 0 4 - 0 6 一 、                 S S L 概 述 S S L 协 议 采 用 数 字 证 书 及 数 字 签 名 进 行 双 端 实 体 认 证 ， 用 非 对 称 加 密 算 法 进 行 密 钥 协 商 ， 用 对 称 加 密 算 法 将 数 据 加 密 后 进 行 传 输 以 保 证 数 据 的 保 密 性 ， 并 且 通 过 计 算 数 字 摘 要 来 验 证 数 据 在 传 输 过 程 中 是 否 被 篡 改 和 伪 造 ， 从 而 为 敏 感 数 据 的 传 输 提 供 了 一 种 安 全 保 障 手 段 。 S S L 协 议 提 供 的 服 务 主 要 有 ： 1 ） 认 证 用 户 和 服 务 器 ， 确 保 数 据 发 送 到 正 确 的 客 户 机 和 服 务 器 认 证 用 户 和 服 务 器 的 合 法 性 ， 使 它 们 能 够 确 信 数 据 将 被 发 送 到 正 确 的 客 户 机 和 服 务 器 上 。 客 户 机 和 服 务 器 都 有 各 自 的 识 别 号 ， 这 些 识 别 号 由 公 开 密 钥 进 行 编 号 ， 为 验 证 用 户 是 否 合 法 ， S S L 协 议 要 求 在 握 手 交 换 数 据 时 进 行 数 字 认 证 ， 以 此 确 保 用 户 的 合 法 性 。 2 ） 加 密 数 据 以 防 止 数 据 中 途 被 窃 取 S S L 协 议 所 采 用 的 加 密 技 术 既 有 对 称 密 钥 技 术 ， 也 有 公 开 密 钥 技 术 。 在 客 户 机 和 服 务 器 进 行 数 据 交 换 前 ， 交 换 S S L 初 始 握 手 信 息 ， 在 S S L 握 手 信 息 中 采 用 了 各 种 加 密 技 术 对 其 进 行 加 密 ， 以 保 证 其 机 密 性 和 数 据 的 完 整 性 ， 并 且 用 数 字 证 书 进 行 鉴 别 ， 这 样 就 可 以 防 止 非 法 用 户 进 行 破 译 。 3 ） 维 护 数 据 的 完 整 性 ， 确 保 数 据 在 传 输 过 程 中 不 被 改 变 S S L 协 议 采 用 H a s h 函 数 和 机 密 共 享 的 方 法 提 供 信 息 的 完 整 性 服 务 ， 建 立 客 户 机 和 服 务 器 之 间 的 安 全 通 道 ， 使 所 有 经 过 S S L 协 议 处 理 的 业 务 在 传 输 过 程 中 能 全 部 完 整 准 确 无 误 的 到 达 目 的 地 。   S S L 体 系 结 构 ： S S L 协 议 位 于 T C P / I P 协 议 模 型 的 网 络 层 和 应 用 层 之 间 , 使 用 T C P 来 提 供 一 种 可 靠 的 端 到 端 的 安 全 服 务 , 它 是 客 户 / 服 务 器 应 用 之 间 的 通 信 不 被 攻 击 抓 取 , 并 且 始 终 对 服 务 器 进 行 认 证 , 还 可 以 选 择 对 客 户 进 行 认 证 。 S S L 体 系 结 构 如 图 1 所 示 。 S S L 体 系 结 构 ： S S L 协 议 位 于 T C P / I P 协 议 模 型 的 网 络 层 和 应 用 层 之 间 , 使 用 T C P 来 提 供 一 种 可 靠 的 端 到 端 的 安 全 服 务 , 它 是 客 户 / 服 务 器 应 用 之 间 的 通 信 不 被 攻 击 抓 取 , 并 且 始 终 对 服 务 器 进 行 认 证 , 还 可 以 选 择 对 客 户 进 行 认 证 。 在 S S L 通 讯 中 ， 首 先 采 用 非 对 称 加 密 交 换 信 息 ， 使 得 服 务 器 获 得 浏 览 器 端 提 供 的 对 称 加 密 的 密 钥 ， 然 后 利 用 该 密 钥 进 行 通 讯 过 程 中 信 息 的 加 密 和 解 密 。 为 了 保 证 消 息 在 传 递 过 程 中 没 有 被 篡 改 ， 可 以 加 密 H A S H 编 码 来 确 保 信 息 的 完 整 性 。 S S L 通 讯 过 程 ， 如 图 2 所 示 。 一 般 情 况 下 ， 当 客 户 端 是 保 密 信 息 的 传 递 者 时 ， 客 户 端 不 需 要 数 字 证 书 验 证 自 己 身 份 的 真 实 性 ， 如 电 子 银 行 的 应 用 ， 客 户 需 要 将 自 己 的 账 号 和 密 码 发 送 给 银 行 ， 因 此 银 行 的 服 务 器 需 要 安 装 数 字 证 书 来 表 明 自 己 身 份 的 有 效 性 。 在 某 些 应 用 中 ， 服 务 器 端 也 需 要 对 客 户 端 的 身 份 进 行 验 证 ， 这 时 客 户 端 也 需 要 安 装 数 字 证 书 以 保 证 通 讯 时 服 务 器 可 以 辨 别 出 客 户 端 的 身 份 ， 验 证 过 程 类 似 于 服 务 器 身 份 的 验 证 过 程 。   三 、 S S L   S o c k e t 双 向 认 证 的 实 现 S S L   S o c k e t 通 信 是 对 S o c k e t 通 信 的 拓 展 。 在 S o c k e t 通 信 的 基 础 上 添 加 了 一 层 安 全 性 保 护 ， 提 供 了 更 高 的 安 全 性 ， 包 括 身 份 验 证 、 数 据 加 密 以 及 完 整 性 验 证 。 S S L   S o c k e t 双 向 认 证 实 现 技 术 ：   J S S E （ J a v a   S e c u r i t y   S o c k e t   E x t e n s i o n ） ， 它 实 现 了 S S L 和 T S L （ 传 输 层 安 全 ） 协 议 。 在 J S S E 中 包 含 了 数 据 加 密 ， 服 务 器 验 证 ， 消 息 完 整 性 和 客 户 端 验 证 等 技 术 。 通 过 使 用 J S S E ， 可 以 在 客 户 机 和 服 务 器 之 间 通 过 T C P / I P 协 议 安 全 地 传 输 数 据 。 为 了 实 现 消 息 认 证 ： 服 务 器 端 需 要 ：       1 、 K e y S t o r e ：   其 中 保 存 服 务 器 端 的 私 钥       2 、 T r u s t   K e y S t o r e ：   其 中 保 存 客 户 端 的 授 权 证 书 客 户 端 需 要 ：         1 、 K e y S t o r e ： 其 中 保 存 客 户 端 的 私 钥         2 、 T r u s t   K e y S t o r e ： 其 中 保 存 服 务 端 的 授 权 证 书   密 钥 和 授 权 证 书 的 生 成 方 法 ：
使 用 J a v a 自 带 的 k e y t o o l 命 令 ， 在 命 令 行 生 成 。 1 、 生 成 服 务 器 端 私 钥 k s e r v e r . k e y s t o r e 文 件     k e y t o o l   - g e n k e y   - a l i a s   s e r v e r k e y   - v a l i d i t y   1   - k e y s t o r e   k s e r v e r . k e y s t o r e 2 、 根 据 私 钥 ， 导 出 服 务 器 端 安 全 证 书 k e y t o o l   - e x p o r t   - a l i a s   s e r v e r k e y   - k e y s t o r e   k s e r v e r . k e y s t o r e   - f i l e   s e r v e r . c r t     3 、 将 服 务 器 端 证 书 ， 导 入 到 客 户 端 的 T r u s t   K e y S t o r e 中 k e y t o o l   - i m p o r t   - a l i a s   s e r v e r k e y   - f i l e   s e r v e r . c r t   - k e y s t o r e   t c l i e n t . k e y s t o r e 4 、 生 成 客 户 端 私 钥 k c l i e n t . k e y s t o r e 文 件     k e y t o o l   - g e n k e y   - a l i a s   c l i e n t k e y   - v a l i d i t y   1     - k e y s t o r e   k c l i e n t . k e y s t o r e 5 、 根 据 私 钥 ， 导 出 客 户 端 安 全 证 书 k e y t o o l   - e x p o r t   - a l i a s   c l i e n t k e y   - k e y s t o r e   k c l i e n t . k e y s t o r e   - f i l e   c l i e n t . c r t 6 、 将 客 户 端 证 书 ， 导 入 到 服 务 器 端 的 T r u s t   K e y S t o r e 中 k e y t o o l   - i m p o r t   - a l i a s   c l i e n t k e y   - f i l e   c l i e n t . c r t   - k e y s t o r e   t s e r v e r . k e y s t o r e             生 成 的 文 件 分 成 两 组 ， 服 务 器 端 保 存 ： k s e r v e r . k e y s t o r e   t s e r v e r . k e y s t o r e   客 户 端 保 存 ： k c l i e n t . k e y s t o r e     t c l i e n t . k y e s t o r e 。   客 户 端 采 用 k c l i e n t . k e y s t o r e 中 的 私 钥 进 行 数 据 加 密 ， 发 送 给 服 务 端 ， 服 务 器 端 采 用 t s e r v e r . k e y s t o r e 中 的 c l i e n t . c r t 证 书 对 数 据 解 密 ， 如 果 解 密 成 功 ， 证 明 消 息 来 自 可 信 的 客 户 端 ， 进 行 逻 辑 处 理 ；   服 务 器 端 采 用 k s e r v e r . k e y s t o r e 中 的 私 钥 进 行 数 据 加 密 ， 发 送 给 客 户 端 ， 客 户 端 采 用 t c l i e n t . k e y s t o r e 中 的 s e r v e r . c r t 证 书 对 数 据 解 密 ， 如 果 解 密 成 功 ， 证 明 消 息 来 自 可 信 的 服 务 器 端 ， 进 行 逻 辑 处 理 。 如 果 解 密 失 败 ， 那 么 证 明 消 息 来 源 错 误 。 不 进 行 逻 辑 处 理 。   S S L   S o c k e t 双 向 认 证 的 安 全 性 ： （ 1 ） 可 以 确 保 数 据 传 送 到 正 确 的 服 务 器 端 和 客 户 端 。 （ 2 ） 可 以 防 止 消 息 传 递 过 程 中 被 窃 取 。 （ 3 ） 防 止 消 息 在 传 递 过 程 中 被 修 改 . 。   在 系 统 运 行 中 可 能 出 现 以 下 情 况 ： （ 1 ）       服 务 器 端 、 客 户 端 都 持 有 正 确 的 密 钥 和 安 全 证 书 ， 此 时 服 务 器 端 和 客 户 端 可 以 进 行 正 常 通 信 。 （ 2 ）       客 户 端 的 密 钥 和 安 全 证 书 不 正 确 ， 此 时 服 务 器 端 和 客 户 端 不 可 以 进 行 正 常 通 信 。 （ 3 ）       客 户 端 未 持 有 密 钥 和 安 全 证 书 ， 此 时 服 务 器 端 和 客 户 端 也 不 可 以 进 行 正 常 通 信 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理