搜索

[4965] 2018-03-27_互联网最重要的安全协议终于向前推进

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-03-27_互联网最重要的安全协议终于向前推进 互 联 网 最 重 要 的 安 全 协 议 终 于 向 前 推 进 原 创   E 安 全   E 安 全   2 0 1 8 - 0 3 - 2 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 3 月 2 7 日   国 际 互 联 网 工 程 任 务 组 （ I E T F ） 经 过 4 年 的 讨 论 ， 起 草 了 2 8 份 草 案 ， 近 日 最 新 T L S   1 . 3 安 全 框 架 颁 布   ， 这 是 T L S   协 议 的 一 次 迭 代 改 进 。 T L S   1 . 3   将 成 为 在 客 户 端 和 服 务 器 之 间 创 建 加 密 通 信 的 标 准 ， 即 H T T P S 连 接 。 T L S 1 . 3 既 能 提 高 互 联 网 用 户 的 访 问 速 度 ， 又 能 增 强 安 全 性 ， 同 时 大 大 提 升 H T T P S 连 接 的 速 度 性 能 。 T L S 安 全 传 输 层 协 议 （ T L S ） ， 用 于 在 两 个 通 信 应 用 程 序 之 间 提 供 保 密 性 和 数 据 完 整 性 。 T L S   自 标 准 化 至 今 已 有 近 2 0 年 的 时 间 ， 自 1 9 9 9 年 T L S   1 . 0 标 准 颁 布 ， 到 后 来 的 T L S   1 . 1 （ 2 0 0 6 年 ） 和 目 前 得 到 广 泛 使 用 的 T L S   1 . 2 （ 2 0 0 8 年 ） ， T L S   是 目 前 保 障 网 络 传 输 安 全 最 重 要 的 安 全 标 准 之 一 。 T L S   1 . 3 相 对 此 前 的 相 对 此 前 的 T L S   协 议 有 何 变 化 ？ 协 议 有 何 变 化 ？ T L S   1 . 3 协 议 可 分 为 握 手 协 议 和 记 录 协 议 ， 前 者 负 责 密 码 组 件 的 协 商 以 及 安 全 信 道 的 建 立 ， 后 者 则 是 在 已 建 立 的 安 全 信 道 中 传 输 秘 密 信 息 。 T L S   1 . 3 设 计 的 第 一 个 重 要 目 标 就 是 避 免 之 前 版 本 存 在 的 缺 陷 。 T L S   1 . 3 不 再 支 持 重 协 商 握 手 模 式 ； 握 手 消 息 采 取 了 加 密 操 作 ； 实 现 了 握 手 协 议 和 记 录 协 议 的 密 钥 分 离 ； 实 现 了 会 话 密 钥 与 整 个 握 手 消 息 的 绑 定 ； 记 录 层 只 能 使 用 A E A D （ A u t h e n t i c a t e d   E n c r y p t i o n   w i t h   A d d i t i o n a l   D a t a ） 认 证 加 密 模 式 。 T L S   1 . 3 相 比 相 比 T L S   1 . 2   的 优 势 在 于 ： 的 优 势 在 于 ： T L S   1 . 3 抛 弃 了 老 旧 加 密 或 哈 希 算 法 （ 例 如 M D 5 和 S H A - 2 2 4 ） ， 而 是 选 择 更 难 以 破 解 的 较 新 加 密 算 法 ， 例 如   C h a C h a 2 0 、 P o l y 1 3 0 5 、 E d 2 5 5 1 9 、 x 2 5 5 1 9   和   x 4 4 8 。
T L S   1 . 3 在 协 商 客 户 端 与 服 务 器 之 间 的 初 次 握 手 时 速 度 更 快 ， 减 少 了 延 迟 。 T L S   1 . 3 还 将 支 持   T L S   F a l s e   S t a r t   和   Z e r o   R o u n d   T r i p   T i m e （ 0 - R T T ） 等 功 能 ， 有 助 于 缩 短 客 户 端 此 前 与 主 机 建 立 加 密 握 手 所 需 的 时 间 。 T L S   1 . 3 能 防 范 降 级 攻 击 ， 防 止 攻 击 者 欺 骗 服 务 器 使 用 存 在 漏 洞 的 较 旧 协 议 版 本 。 T L S   1 . 2 握 手 握 手 T L S   1 . 2   的 握 手 与   T L S   1 . 0   和 1 . 1 类 似 ， 需 要 在 客 户 端 和 服 务 器 之 间 进 行 一 系 列 的 来 回 通 信 ， 步 骤 见 下 图 ：
第 1 步 ： 整 个 连 接 / 握 手 从 客 户 端 向 服 务 器 发 送 “ 客 户 端 问 候 ” 消 息 开 始 。 该 消 息 包 含 加 密 信 息 ， 如 支 持 的 协 议 和 密 码 套 件 。 它 也 包 含 一 个 随 机 值 或 随 机 字 节 串 。 第 2 步 ： 响 应 客 户 端 的 “ 客 户 端 问 候 ” 消 息 ， 服 务 器 以 “ 服 务 器 问 候 ” 消 息 予 以 响 应 。 此 消 息 包 含 服 务 器 已 从 客 户 端 提 供 的 C i p h e r S u i t e   中 选 择 的   C i p h e r S u i t e 。 服 务 器 还 会 将 证 书 、 会 话   I D   和 另 一 个 随 机 值 一 起 发 送 。 第 3 步 ： 客 户 端 验 证 服 务 器 发 送 的 证 书 。 验 证 完 成 后 ， 它 会 发 送 一 个 随 机 字 符 串 ， 也 称 为 “ 预 主 钥 ” （ P r e - M a s t e r   S e c r e t ） ， 并 使 用 服 务 器 证 书 的 公 钥 加 密 。 第 4 步 ： 一 旦 服 务 器 收 到 预 主 钥 ， 客 户 端 和 服 务 器 都 会 生 成 一 个 主 密 钥 以 及 会 话 密 钥 （ 临 时 密 钥 ） 。 这 些 会 话 密 钥 将 用 于 对 称 性 加 密 数 据 。 第 5 步 ： 客 户 端 向 服 务 器 发 送 “ 更 改 密 码 规 范 ” 消 息 ， 通 过 会 话 密 钥 的 帮 助 让 它 知 道 它 将 切 换 到 对 称 加 密 。 与 此 同 时 ， 还 会 发 送 “ 客 户 端 已 完 成 ” 的 消 息 。 第 6 步 ： 在 响 应 客 户 端 的 “ 更 改 密 码 规 范 ” 消 息 时 ， 服 务 器 执 行 相 同 操 作 并 将 安 全 状 态 切 换 到 对 称 加 密 。 服 务 器 通 过 发 送 “ 服 务 器 已 完 成 ” 消 息 来 结 束 握 手 。 T L S   1 . 3 如 何 缩 短 握 手 时 间 ？ 如 何 缩 短 握 手 时 间 ？ T L S   1 . 2 在 客 户 端 和 服 务 器 之 间 进 行 了 两 次 往 返 来 完 成 握 手 。   平 均 而 言 ， 这 需 要 0 . 2 5 ~ 0 . 5 秒 的 时 间 。 T L S   1 . 3   则 合 并 了 其 中 几 步 ， 简 化 了 过 程 ， 见 下 图 ： 第 1 步 ： 与   T L S   1 . 2   握 手 类 似 ， T L S   1 . 3   握 手 从 “ 客 户 问 候 ” 消 息 开 始 ， 但 却 有 了 重 大 变 化 。 客 户 端 发 送 支 持 的 密 码 套 件 ， 并 猜 测 服 务 器 可 能 会 选 择 的 密 钥 协 商 协 议 。 客 户 端 还 会 发 送 该 特 定 密 钥 协 商 协 议 的 密 钥 共 享 。 第 2 步 ： 在 回 复 “ 客 户 端 问 候 ” 消 息 时 ， 服 务 器 回 复 它 所 选 择 的 密 钥 协 商 协 议 。   “ 服 务 器 问 候 ” 消 息 还 包 含 服 务 器 的 密 钥 共 享 、 证 书 以 及 “ 服 务 器 已 完 成 ” 的 消 息 。 而   T L S   1 . 2   握 手 过 程 的 第 6 步 — — “ 服 务 器 完 成 ” 消 息 ， 将 在   T L S   1 . 3   的 第 2 步 中 完 成 ， 由 此 节 省 了 四 个 步 骤 。 第 3 步 ：   客 户 端 检 查 服 务 器 证 书 ， 生 成 密 钥 并 发 送 “ 客 户 端 已 完 成 ” 的 消 息 。 数 据 加 密 由 此 开 始 。
这 样 一 来 ， T L S   1 . 3   握 手 节 省 了 整 个 通 信 往 返 以 及 数 百 毫 秒 的 时 间 。 这 个 数 字 听 起 来 或 许 差 异 不 大 ， 但 曾 有 专 家 披 露 ， 延 迟 半 秒 会 导 致 网 站 流 量 下 降 2 0 % 。 T L S   1 . 3 将 改 进 互 联 网 的 安 全 性 将 改 进 互 联 网 的 安 全 性 T L S   1 . 3   大 大 改 进 了 互 联 网 的 安 全 性 ， 被 视 为 几 乎 不 可 能 被 破 解 的 框 架 ， 至 少 利 用 今 天 的 资 源 无 法 破 解 。 此 前 ， 金 融 行 业 有 人 提 出 在 协 议 结 构 中 引 入 后 门 ， 因 为 新 协 议 的 安 全 实 现 方 式 使 得 他 们 无 法 分 析 流 经 内 部 网 站 的   T L S   1 . 3 加 密 流 量 ， 担 心 会 导 致 更 大 的 风 险 。 但 这 项 提 议 遭 到 专 家 的 嘲 笑 ， 因 为 后 门 首 先 会 让   T L S   1 . 3 无 效 。 C h r o m e 、 E d g e 、 F i r e f o x 、   P a l e   M o o n   等 浏 览 器 已 支 持   T L S   1 . 3   草 案 的 早 期 版 本 ， 预 计 近 期 会 进 行 更 新 以 支 持 官 方 标 准 。 虽 然 浏 览 器 在 实 现   T L S   1 . 3   方 面 反 应 最 积 极 ， 但 主 要 问 题 还 是 老 旧 的 互 联 网 中 间 件 设 备 ， 因 为 这 些 设 备 需 要 接 收 固 件 更 新 来 支 持 新 协 议 。 C l o u d f l a r e   2 0 1 7 年 1 2 月 进 行 的 一 项 调 查 显 示 ， T L S   1 . 3   仅 占 0 . 0 6 % 的 互 联 网   H T T P S   流 量 ， 其 主 要 原 因 在 于 许 多 不 支 持 该 协 议 中 间 件 故 意 降 级 流 量 。 完 整 的 标 准 介 绍 ： h t t p : / / t . c n / R n p 1 l f 3 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 0 0 8 3 1 4 3 3 0 . s h t m l 推 荐 阅 读 ： W i F i 联 盟 推 出 新 协 议 W P A 3 ， 比 W P A 2 好 在 哪 里 ？ A R M 物 联 网 开 放 安 全 协 议 真 能 保 障 安 全 ？ 美 媒 ： 中 国 黑 客 无 视 中 美 网 络 安 全 协 议 P C I - S S C 为 3 D S 协 议 发 布 两 项 新 的 安 全 标 准 黑 客 利 用 S S 7 协 议 漏 洞 窃 取 德 国 多 家 银 行 帐 户 资 金 黑 客 再 也 无 法 伪 造 G P S 信 号 ? 欧 洲 伽 利 略 G P S 卫 星 使 用 T E S L A 认 证 协 议 H T T P / 2   协 议 实 现 中 存 在 四 大 安 全 漏 洞
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理