網(wǎng)絡(luò)安全17web安全性-文庫吧
2024-12-25 22:55 本頁面
【正文】 Certificate …… ServerHelloDone ? ClientKeyExchange ……(ChangeCipherSpec) ? Finished ? ……(ChangeCipherSpec) Finished 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 14 SSL 記錄協(xié)議 ? 實際的數(shù)據(jù)傳輸是使用 SSL記錄協(xié)議實現(xiàn)的 ? 數(shù)據(jù)流分割成一系列片段并加以傳輸，每個片斷單獨保護(hù)和傳輸 ? 為實現(xiàn)完整性保護(hù)，對片段進(jìn)行 MAC保護(hù) ? 為實現(xiàn)機密性保護(hù)，對片段進(jìn)行加密保護(hù) ? 傳輸?shù)氖前踩涗? 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 15 記錄頭 (Head) ? ContentType。 —— 8位，上層協(xié)議類型 ? Major version。 Minnor version—— 16位，主次版本 ? Compressed Length： 16位 — 加密后數(shù)據(jù)的長度，不超過 214+2048字節(jié) (SSL 幾乎不用壓縮 ,雖然支持 ) ? EncryptedData fragment。 —— 密文數(shù)據(jù) 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 16 記錄負(fù)荷（ Payload） ? 支持 4種協(xié)議消息 : application_data、 alert、handshake、 change_cipher_spec . ? Alert協(xié)議消息： 報警等級（ warning/fatal） + 具體報警編碼 2字節(jié) ? change_cipher_spec協(xié)議消息： 1字節(jié)，將掛起狀態(tài)變成當(dāng)前狀態(tài)，指示在此之后的所有消息都將使用剛剛商定的密碼進(jìn)行加密。 ? handshake協(xié)議消息：類型（ 1字節(jié) ）＋長度（ 3字節(jié) ）＋消息，類型共 10種 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 17 記錄負(fù)荷（ Payload） 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 18 完整 SSL會話握手協(xié)議 ? 交換 Hello消息 ， 對于算法 、交換隨機值等協(xié)商一致 ? 交換必要的密碼參數(shù) ， 以便雙方得到統(tǒng)一的 premaster secret ? 交換證書和相應(yīng)的密碼信息 ，以便進(jìn)行身份認(rèn)證 ? 產(chǎn)生 master secret ? 把安全參數(shù)提供給 SSL記錄層 ? 檢驗雙方是否已經(jīng)獲得同樣的安全參數(shù) 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 19 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 20 第一階段：建立起安全協(xié)商 ? 客戶發(fā)送一個 client_hello消息，包括以下參數(shù)：版本、隨機數(shù) (32位時間戳 +28字節(jié)隨機序列 )、會話 ID、客戶支持的密碼算法列表 (CipherSuite)、客戶支持的壓縮方法列表 .然后，客戶等待服務(wù)器的server_hello消息 ? 服務(wù)器發(fā)送 server_hello消息，參數(shù)：客戶建議的低版本以及服務(wù)器支持的最高版本、服務(wù)器產(chǎn)生的隨機數(shù)、會話 ID、服務(wù)器從客戶建議的密碼算法和壓縮方法中確定一套本次連接使用的確定方法 . 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 21 CipherSuite ? 指定了密鑰交換的方法 ， SSL支持以下一些方法： ? RSA， 要求服務(wù)器提供一個 RSA證書 ? DH(DiffieHellman)， 要求服務(wù)器的證書中包含了由 CA簽名的DH公開參數(shù) 。 客戶或者在證書中提供 DH公開參數(shù) ， 或者在密鑰交換消息中提供此參數(shù) ? EDH(Ephemeral DiffieHellman)， 產(chǎn)生臨時的密鑰 ， DH公開參數(shù)由發(fā)送者的私鑰進(jìn)行簽名 ， 接收者用對應(yīng)的公鑰進(jìn)行驗證 ? 匿名的 DH， 不加鑒別 。 會受到中間人攻擊 ? 然后 ， 指定以下信息 ? 加密算法和類型 (流還是分組密碼算法 ) ? HMAC、 MD5還是 SHA1 ? 是否可出口 ? HashSize ? Key Material ? IV Size 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 22 第二階段：服務(wù)器鑒別和密鑰交換 ? 服務(wù)器發(fā)送 certificate消息，消息包含一個 ，或者一條證書鏈 ? 除了匿名 DH之外的密鑰交換方法都需要 ? 服務(wù)器發(fā)送 server_key_exchange消息 ? 可選的，有些情況下可以不需要。只有當(dāng) certificate消息 沒有包含必需的數(shù)據(jù)的時候才發(fā)送此消息 ? 消息包含簽名，被簽名的內(nèi)容包括兩個隨機數(shù)以及服務(wù)器參數(shù) ? 服務(wù)器發(fā)送 certificate_request消息（可選） ? 非匿名 server可以向客戶請求一個證書 ? 包含證書類型和 CAs ? 服務(wù)器發(fā)送 server_hello_done, 然后等待應(yīng)答 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 23 第二階段：服務(wù)器鑒別和密鑰交換 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 24 第三階段：客戶鑒別和密鑰交換 ? 客戶收到 server_done消息后，它根據(jù)需要檢查服務(wù)器提供的證書，并判斷 server_hello的參數(shù)是否可以接受，如果都沒有問題的話，發(fā)送一個或多個消息給服務(wù)器。 ? 如果服務(wù)器請求證書的話，則客戶首先發(fā)送一個certificate消息，若客戶沒有證書，則發(fā)送一個no_certificate警告 。 然后客戶發(fā)送client_key_exchange消息，消息的內(nèi)容取決于密鑰交換的類型（如果是 RSA，則含加密的PreMasterSecret）。 ? 最后，客戶發(fā)送一個 certificate_verify消息（可選），其中包含一個簽名，對從第一條消息以來的所有握手消息的 HMAC值 (用 master_secret)進(jìn)行簽名 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 25 第三階段：客戶鑒別和密鑰交換 2022/2/5 西安電子科技大學(xué)計算機學(xué)院 26 第四階段：結(jié)束 ? 第四階段建立起一個安全的連接 ? 客戶發(fā)送一個 change_cipher_spec消息，并且把協(xié)商得到的 CipherSuite拷貝到當(dāng)前連接的狀態(tài)之中 ? 然后，客戶用本次連接協(xié)商的算法、密鑰參數(shù)發(fā)送一個finished消息，這條消息可以檢查密鑰交換和鑒別過程是否已經(jīng)成功。其中包括一個校驗值，對所有以來的消息進(jìn)行校驗。 ? 服務(wù)器同樣發(fā)送 change_cipher_spec消息和 finished消息。 ? 握手過程完成，客戶和服務(wù)器可以交換應(yīng)
試題試卷相關(guān)推薦
鄂ICP備17016276號-1