（十八） SSL 协议

作者：山石

1.SSL概述

SSL（Secure Socket Layer）是Netscape公司开发的一种协议，是使用公钥和私钥技术组合的安全网络通信协议。SSL 被设计用来使用TCP提供一个可靠的端到端的安全服务，为两个通讯个人之间提供保密性和完整性。它能把在网页和服务器之间传输的数据加密，是网络交易最通用的安全机制。

进入SSL保护的电脑，浏览器会给出一个“安全警告”的窗口。连接成功后，浏览器下方会出现一个锁上的锁，网址“Http：”被改成“Https：”。

2.SSL的版本和历史

? SSL1.0：不成熟，未正式发布, Netscape内部使用。

? SSL2.0：19xx年发布，基本上解决了WEB通讯的安全问题，但发现一些缺陷。

? SSL3.0：19xx年发布，增加了一些算法，修改了一些缺陷，并成为互联网上最流行的安全协议，现在仍在大量使用。

? TLS v1.0：Transport Layer Security传输层安全协议，也被称为SSL3.1。19xx年IETF（Internet工程任务组）在SSL3.0的基础上，并结合微软的PCT，发布了Draft。同时，Microsoft宣布放弃PCT，与Netscape一起支持TLS1.0。19xx年，IETF发布RFC2246。

3.SSL提供的安全服务

SSL以对称密码技术和公开密码技术相结合，提供三种安全服务： ? 秘密性: SSL客户机和服务器之间传送的数据都经过了加密处理,网络中的非法窃听者所获取的信息都将是无意义的密文信息。 ? 完整性: SSL利用密码算法和散列(HASH)函数,通过对传输信息特征值的提取来保证信息的完整性,确保要传输的信息全部到达目的地,可以避免服务器和客户机之间的信息受到破坏。 ? 认证性:利用证书技术和可信的第三方认证,可以让客户机和服务器相互识别对方的身份。为了验证证书持有者是其合法用户(而不是冒名用户), SSL要求证书持有者在握手时相互交换数字证书,通过验证来保证对方身份的合法性。

4.SSL在TCP/IP模型中的位置

图1 SSL协议在TCP/IP模型中的位置

SSL协议位于TCP/IP协议模型的网络层和应用层之间,使用TCP来提供一种可靠的端到端的安全服务,它是客户/服务器应用之间的

通信不被攻击窃听,并且始终对服务器进行认证,还可以选择对客户进行认证。SSL协议在应用层通信之前就已经完成算法加密、通信密钥的协商以及服务器认证工作,在此之后,应用层协议所传送的数据都被加密。SSL实际上是共同工作的两层协议组成,如图1所示。从体系结构图可以看出SSL安全协议实际是SSL握手协议、SSL修改密文协议、SSL警告协议和SSL记录协议组成的一个协议族。

5.SSL的协议介绍

SSL协议分为底层协议和上层协议，底层协议是记录协议，上层协议包括：握手协议、修改密文协议、报警协议。

记录协议层（SSL Record Layer）：建立在可靠的传输协议（如TCP）之上。提供了两种服务，一是机密性：采用了对称加密算法；二是消息完整性：使用了HMAC算法。并用来封装高层协议。

握手协议（SSL Handshake Protocol）：用于协商密钥，客户端和服务器之间的相互鉴别，协议的大部分内容都是描述通信双方如何安全地协商会话密钥。

修改密文协议（SSL Change Cipher Spec Protocol）：协议由单个消息组成,该消息只包含一个值为1的单个字节。该消息的唯一作用就是使未决状态拷贝为当前状态,更新用于当前连接的密码组。

报警协议（SSL Alert Protocol）是用来为对等实体传递SSL的相关警告。如果在通信过程中某一方发现任何异常,就需要给对方发送一条警示消息通告。警示消息有两种:一种是 Fatal错误,如传递数据过程中,发现错误的MAC,双方就需要立即中断会话,同时消除自

己缓冲区相应的会话记录;第二种是Warning消息,这种情况,通信双方通常都只是记录日志,而对通信过程不造成任何影响。

6.SSL的工作流程

图2 SSL协议的工作流程

SSL客户端（也是TCP的客户端）在TCP连接建立后，首先发出一个消息，该消息中包含支持SSL版本和算法列表等等。SSL服务器将回应一个消息，其中确定了该次通信所要用的SSL版本和算法，然后发出服务端的证书（其中包含了身份和公钥），有些SSL服务器也会要求客户端发出证书。客户端收到这些消息后，会发出证书（如果需要），随后会生成一个秘密消息（包括通信用的对称密钥），并用SSL服务器的公钥加密后传回服务器；客户端发出用私钥签名的信息（如果客户端已经发出证书），请求服务端的认证；客户端应用对称密钥发送信息，开始通信。服务器用自己的私钥解密后，并对客户端公钥解密认证（如果需要），会话密钥协商成功，则双方可以用同一份会话密钥通信了。

7.SSL的两个重要概念

（1）SSL连接（connection）

? 一个连接是一个提供一种合适类型服务的传输（OSI分层的定义）。 ? SSL的连接是点对点的关系。

? 连接是暂时的，每一个连接和一个会话关联。

（2）SSL会话（session）

? 一个SSL会话是在客户与服务器之间的一个关联。会话由Handshake Protocol创建。会话定义了一组可供多个连接共享的秘密安全参数。

? 会话用以避免为每一个连接提供新的安全参数所需昂贵的协商代价。

8.SSL购物流程

1. 消费者浏览网站并决定选购商品

2. 填写数量，送货地址（受SSL保护）

3. 以信用卡付款，输入卡号和有效日期（受SSL保护）

4. 发送消息给商店，确认订购（受SSL保护）

5. 商店向收单行申请授权（商店和银行，受SSL保护）

6. 银行回复授权码（商店和银行，受SSL保护）

7. 商店发出订货确认给消费者。

8. 交付商品

9. 商店向收单银行请款（商店和银行，受SSL保护）

多多交流，欢迎批评指正！作者邮箱49228864@qq.com

 

第二篇：信息安全学习总结1-信息安全概念

（一） 信息安全的概述

作者：山石

1. 信息安全的概念

（1）信息安全：

防止任何对数据进行未授权访问的措施，或者防止造成信息有意无意泄露、破坏、丢失等问题的发生，让数据处于远离危险、免于威胁的状态或特性。

（2）网络安全：

计算机网络环境下的信息安全。

2. 信息的安全需求

（1）保密性：对信息资源开发范围的控制，采用数据加密、访问控制、防计算机电磁泄漏等，是最重要的一个特性。

（2）完整性：保证计算机系统中的信息处于“保持完整或一种未受损的状态”。任何系统信息应有特性或状态的中断、窃取、篡改、伪造都是破坏系统信息完整性的行为。

（3）可用性：合法用户在需要的时候，可用正确使用所需的信息而不遭服务拒绝。系统的可用性与保密性在某种程度上存在矛盾。

3. 网络不安全因素

导致网络不安全的因素来自两个方面，一方面是人为因素和自然灾害因素；另一方面是网络体系结构本身存在的安全缺陷。

人为因素是指人为入侵和攻击、破坏网络系统正常运行。

自然灾害因素主要是指火灾、水灾、风暴、雷电、地震等破坏，

以及环境（温度、湿度、震动、冲击、污染）的影响。

由于网络自身存在安全隐患而导致网络系统不安全的因素有：网络操作系统的脆弱性、TCP/IP协议的安全性缺陷、数据库管理系统安全的脆弱性、网络资源共享、数据通信、计算机病毒等。

4. 信息安全的发展阶段

4.1. 单机系统的信息保密阶段 网络并不盛行时的单机信息保密阶段，信息保密技术的研究成果如下：

（1） 发展各种密码算法及其应用：DES

、RSA、ECC等。

（2） 计算机信息系统安全模型和安全评价准则：访问监视模型、

多级安全模型等；TCSEC（可信计算机评价准则）、ITSEC

（信息技术安全评价准则）等。

4.2. 网络信息安全的发展阶段

与防护技术（主要是被动防御技术）：

安全漏洞扫描、安全路由器、防火墙技术、入侵检测技术、网络攻防技术、网络监控与审计技术。

在这个阶段还开发了很多的网络加密、认证、数字签名的算法和信息系统安全评估准则（如CC通用评估准则）。

4.3. 信息保障阶段

信息保障概念的提出：20世纪xx年代由美国国防部长办公室提出。 定义：通过确保信息和信息系统的可用性、完整性、保密性、可控性和不可否认性来保护信息系统的信息作战行动，包括综合利用保护、探测和反应能力以恢复系统的功能。它与信息安全需求的阶段相比较，增加了可控性和不可否认性（不可抵赖性） ，这两项都是在信息保障阶段新提出的。

信息保障技术框架IATF：由美国国家安全局制定，提出“纵深防御策略”DID（Defense-in-Depth Strategy）。

信息安全保障的PDRR模型的内涵已经超出了传统的信息安全保密，而是保护（Protection）、检测（Detection）、响应（Reasction）和恢复（Restore）的有机结合。

信息保障阶段不仅包含安全防护的概念，更重要的是增加了主动和积极防御的观念。

5. 主动防御技术和被动防御技术

传统的网络安全模型如防火墙和入侵检测等都是基于被动防御的技术，还包括安全漏洞扫描、安全路由器、防火墙技术、入侵检测技术、网络攻防技术、网络监控与审计技术。

业界将能够主动检测和拦截未知威胁的防御方法称为“ 主动防御”，包括蜜罐技术等。

6. CC认证

在整个安全性评估准则的发展历程中，有三个重要的里程碑式的标准：TCSEC、ITSEC和CC标准。

TCSEC是“可信计算机系统评估准则”的英文缩写，是由美国国防部于19xx年开发的，是彩虹系列丛书之一，即桔皮书。

ITSEC是信息技术安全性评估准则的英文速写。19xx年，由西欧四国（英法荷德）联合提出ITSEC。

CC是通用准则英文缩写。19xx年美国等六国七方签署《信息技术安全评估通用准则》，即CC1.0。19xx年，美国、英国、加拿大、法国和德国共同签署书面认可协议，后来这一标准称为CC标准，即CC2.0。CC2.0版19xx年成为国际标准ISO/IEC15408,我国于20xx年等同采用GB/T18336。

多多交流，欢迎批评指正！作者QQ：49228864