網(wǎng)絡(luò)安全協(xié)議課程設(shè)計報告ssl協(xié)議書范本(編輯修改稿)
2025-06-13 13:33 本頁面
【文章內(nèi)容簡介】 輸?shù)氖菍ΨQ加密。一般情況下，當(dāng)客戶端是保密信息的傳遞者時，不需要數(shù)字證書驗證自己身份的真實性，如電子銀行的應(yīng)用，客戶需要將自己的賬號和密碼發(fā)送給銀行，因此銀行的服務(wù)器需要安裝數(shù)字證書來表明自己身份的有效性。但在某些B2B應(yīng)用中，服務(wù)器端也需要對客戶端的身份進行驗證，這時客戶端也需要安裝數(shù)字證書以保證通訊時服務(wù)器可以辨別出客戶端的身份，驗證過程類似于服務(wù)器身份的驗證過程。4 SSL握手過程SSL用公鑰加密算法使服務(wù)器端在客戶端得到驗證，并傳遞對稱密鑰。然后再用對稱密鑰來更快速地加密、解密數(shù)據(jù)。以下為具體過程：（1）客戶端向Server端發(fā)送客戶端SSL版本號、加密算法設(shè)置、隨機產(chǎn)生的數(shù)據(jù)和其他服務(wù)器需要用于根客戶端通信的數(shù)據(jù)。（2）服務(wù)器向客戶端發(fā)送服務(wù)器的SSL版本號、加密算法設(shè)置、隨機產(chǎn)生的數(shù)據(jù)和其他客戶端需要用于根服務(wù)器通信的數(shù)據(jù)。另外，服務(wù)器還有發(fā)送自己的證書，如果客戶端正在請求需要認證的信息，那么服務(wù)器同時也要請求獲得客戶端的證書。（3）客戶端用服務(wù)器發(fā)送的信息驗證服務(wù)器身份。如果認證不成功，用戶就將得到一個警告，然后加密數(shù)據(jù)連接將無法建立。如果成功，則繼續(xù)下一步。（4）用戶用握手過程至今產(chǎn)生的所有數(shù)據(jù)，創(chuàng)建連接所用的密鑰，用服務(wù)器的公鑰加密，傳送給服務(wù)器。（5）如果服務(wù)器也請求客戶端驗證，那么客戶端將對另外一份不同于上次用于建立加密連接使用的數(shù)據(jù)進行簽名。在這種情況下，客戶端會把這次產(chǎn)生的加密數(shù)據(jù)和自己的證書同時傳送給服務(wù)器用來產(chǎn)生Premaster Secret。（6）如果服務(wù)器也請求客戶端驗證，服務(wù)器將試圖驗證客戶端身份。如果客戶端不能獲得認證，連接將被中止。如果被成功認證，服務(wù)器用自己的私鑰加密建立連接所用的密鑰，然后執(zhí)行一系列步驟產(chǎn)生主密鑰。（7）服務(wù)器和客戶端同時產(chǎn)生會話密鑰，之后的所用數(shù)據(jù)傳輸都用對稱密鑰算法來交流數(shù)據(jù)。（8）客戶端向服務(wù)器發(fā)送信息說明以后的所有信息都將用會話密鑰加密。至此，它會傳送一個單獨的信息標示客戶端的握手部分已經(jīng)宣告結(jié)束。（9）服務(wù)器也向客戶端發(fā)送信息說明以后的所用信息都將用會話密鑰加密。至此，它會傳送一個單獨的信息標示服務(wù)器端得握手部分已經(jīng)宣告結(jié)束。（10）SSL握手過程結(jié)束，一個SSL數(shù)據(jù)傳送過程建立?？蛻舳撕头?wù)器開始用會話密鑰加密、解密雙方交互的所用數(shù)據(jù)。5 SSL的安全威脅及解決方案SSL協(xié)議在服務(wù)器與客戶之間建立了一條安全通道，保證了在互聯(lián)網(wǎng)上通信的保密性，但它也不是絕對安全的，SSL協(xié)議存在一定的缺陷和漏洞。通信業(yè)務(wù)流攻擊試圖通過檢查未保護的包的某些域或會話屬性，發(fā)現(xiàn)有價值的信息。例如，通過檢查沒有經(jīng)過加密的IP包的源地址、目標地址、TCP端口等內(nèi)容，能夠獲得有關(guān)通信雙方的IP地址、正在使用的網(wǎng)絡(luò)服務(wù)等信息，在某些特定情況下，甚至可以獲得有關(guān)商業(yè)或個人關(guān)系方面的信息，當(dāng)然這些信息是有價值的。而在SSL協(xié)議中記錄頭中如記錄長度等信息沒有被保護，這是潛在的隱患。攻擊者通過檢查通信業(yè)務(wù)流中密文信息的長度，有可能發(fā)現(xiàn)Web通信中URL請求的相關(guān)信息，當(dāng)瀏覽器連接到Web服務(wù)器時，瀏覽器發(fā)送的包含URL的G盯請求數(shù)據(jù)包是加密的，Web服務(wù)器返回的Web頁也是加密的，但是通信業(yè)務(wù)流攻擊，攻擊者可以得到Web服務(wù)器的IP地址、URL請求的長度和返回的Web頁面長度等信息，這些信息足以使攻擊者發(fā)現(xiàn)用戶訪問的是什么Web頁面。因為，目前高級的Web搜索引擎技術(shù)能夠在可以公開訪問的Web服務(wù)器上，搜索到給定URL長度和Web頁面長度的頁面。這種攻擊能夠成立的原因是密文長度揭露了明文信息的長度。由于SSL協(xié)議只對分組密碼算法有填充機制，而對于流密碼算法該協(xié)議是不支持的，所以這種潛在的可能性攻擊還需要引起我們的重視。該攻擊僅僅是描述了一種潛在的可能性，能夠攻擊成功還需要許多前提條件。但是，這種潛在的可能性應(yīng)當(dāng)引起注意，在具體應(yīng)用過程中盡量避免。SSL協(xié)議無法抵抗通信業(yè)務(wù)流攻擊，而且以SSL協(xié)議為基礎(chǔ)的傳輸層安全協(xié)議TL S協(xié)議仍然不能抵抗這種攻擊，這是由于協(xié)議的設(shè)計目標和其所處的網(wǎng)絡(luò)層次結(jié)構(gòu)決定的。在TL S協(xié)議中也沒有作出改進，只是在文檔中強調(diào)了協(xié)議的設(shè)計目標和這種攻擊的危險性，告誡協(xié)議的應(yīng)用者不能在未保護的通信業(yè)務(wù)流中暴露機密信息。對于通信業(yè)務(wù)流攻擊，只能通過應(yīng)用者的謹慎，盡量避免泄漏有關(guān)重要信息。在有些情況下，服務(wù)器用Server Key exchange消息來交換密鑰，并用自己的長期有效的證書為臨時的公開參數(shù)簽名，同時發(fā)給客戶，客戶使用這些公開參數(shù)和服務(wù)器交換密鑰，獲得共享的主密鑰。SSL協(xié)議規(guī)定可以使用RSA算法和DiffieHellman等多種密鑰交換算法，但KeyExchange Algorithm這個域并不包含在服務(wù)器對公開參數(shù)的簽名內(nèi)容中，這樣攻擊者可以濫用服務(wù)器對DH參數(shù)的簽名來欺騙客戶，使之認為服務(wù)器發(fā)送了對RSA參數(shù)的簽名，攻擊者使用Cipher Suite回轉(zhuǎn)攻擊(在交換finished消息之前攻擊者就能夠通過后繼的攻擊獲得所有秘密，所以
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1