網(wǎng)絡支付與結算_安全套接層協(xié)議ssl(編輯修改稿)
2025-02-05 15:17 本頁面
【文章內(nèi)容簡介】 ey: 用于 server 進行數(shù)據(jù)加密， client進行數(shù)據(jù)解密的對稱保密密鑰； 連接狀態(tài) ? Client write key:用于 client 進行數(shù)據(jù)加密， server進行數(shù)據(jù)解密的對稱保密密鑰； ? Initialization vectors: 當數(shù)據(jù)加密采用 CBC方式時，每一個密鑰保持一個 IV。該字段首先由 SSL Handshake Protocol產(chǎn)生 ，以后保留每次最后的密文數(shù)據(jù)塊作為 IV。 ? Sequence number: 每一方為每一個連接的數(shù)據(jù)發(fā)送與接收維護單獨的順序號。當一方發(fā)送或接收一個改變的cipher spec message時，序號置為 0, 最大 2641。 SSL握手協(xié)議 (Handshake protocol) ? 主要用來讓客戶端及服務器確認彼此的身分。 ? 為了保護 SSL記錄封包中傳送的數(shù)據(jù)，Handshake協(xié)議還能協(xié)助雙方選擇連接時所會使用的 加密算法、 MAC算法、及相關密鑰 。 ? 在傳送應用程序的數(shù)據(jù)前，必須使用Handshake 協(xié)議來完成上述事項。 ? Handshake由一些客戶與服務器交換的消息所構成，每一個消息都含有以下三個字段： ? 類型 (Type)， 1字節(jié)：表示消息的類型，總共有十種。在表二中列出了這些已經(jīng)定義的消息種類。 ? 長度 (Length)， 3字節(jié)：消息的位組長度。 ? 內(nèi)容 (Content)， ≧ 1個字節(jié)：與此消息有關的參數(shù)，表 。 SSL握手協(xié)議使用的消息 第一階段：建立起安全協(xié)商 ? 客戶發(fā)送一個 client_hello消息，包括以下參數(shù)：版本、隨機數(shù) (32位時間戳 +28字節(jié)隨機序列 )、會話 ID、客戶支持的密碼算法列表 (CipherSuite)、客戶支持的壓縮方法列表 , ? 然后，客戶等待服務器的 server_hello消息 ? 服務器發(fā)送 server_hello消息，參數(shù)：客戶建議的低版本以及服務器支持的最高版本、服務器產(chǎn)生的隨機數(shù)、會話 ID、服務器從客戶建議的密碼算法中挑出一套、服務器從客戶建議的壓縮方法中挑出一個 . CipherSuite密碼套件 ? 第一個元素指定了密鑰交換的方法， SSL支持以下一些方法： ? RSA，要求服務器提供一個 RSA證書 ? DH(DiffieHellman)，要求服務器的證書中包含了由CA簽名的 DH公開參數(shù)?？蛻艋蛘咴谧C書中提供 DH公開參數(shù)，或者在密鑰交換消息中提供此參數(shù) 第二階段：服務器鑒別和密鑰交換 ? 服務器發(fā)送自己的證書，消息包含一個 ，或者一條證書鏈 ? 服務器發(fā)送 server_key_exchange消息 ? 可選的，有些情況下可以不需要。只有當服務器的證書沒有包含必需的數(shù)據(jù)的時候才發(fā)送此消息 ? 消息包含簽名，被簽名的內(nèi)容包括兩個隨機數(shù)以及服務器參數(shù) ? 服務器發(fā)送 certificate_request消息 ? 非匿名 server可以向客戶請求一個證書 ? 包含證書類型和 CAs ? 服務器發(fā)送 server_hello_done, 然后等待應答 第三階段：客戶鑒別和密鑰交換 ? 客戶收到 server_done消息后，它根據(jù)需要檢查服務器提供的證書，并判斷 server_hello的參數(shù)是否可以接受，如果都沒有問題的話，發(fā)送一個或多個消息給服務器 ? 如果服務器請求證書的話，則客戶首先發(fā)送一個 certificate消息，若客戶沒有證書，則發(fā)送一個 no_certificate警告 ? 然后客戶發(fā)送 client_key_exchange消息 ? 最后，客戶發(fā)送一個 certificate_verify消息，其中包含一個簽名，對從第一條消息以來的所有握手消息的 MAC值 ()進行簽名 第四階段：結束 ? 第四階段建立起一個安全的連接 ? 客戶發(fā)送一個 change_cipher_spec消息，并且把協(xié)商得到的 CipherSuite拷貝到當前連接的狀態(tài)之中 ? 然后，客戶用新的算法、密鑰參數(shù)發(fā)送一個 finished消息，這條消息可以檢查密鑰交換和鑒別過程是否已經(jīng)成功。其中包括一個校驗值，對所有以來的消息進行校驗。 ? 服務器同樣發(fā)送 change_cipher_spec消息和 finished消息。 ? 握手過程完成，客戶和服務器可以交換應用層數(shù)據(jù)。 SSL握手協(xié)議的流程 ? 交換 Hello消息，對于算法、交換隨機值等協(xié)商一致 ? 交換必要的密碼參數(shù)，以便雙方得到統(tǒng)一的 premaster secret ? 交換證書和相應的密碼信息，以便進行身份認證 ? 產(chǎn)生 master secret ? 把安全參數(shù)提供給 SSL記錄層 ? 檢驗雙方是否已經(jīng)獲得同樣的安全參數(shù) SSL記錄協(xié)議 (SSL Record Protocol) ? SSL記錄協(xié)議為每一個 SSL連接提供以下兩種服務： ? 機密性 (Confidentiality)： SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生一把共有的密鑰，利用這把密鑰來對 SSL所傳送的數(shù)據(jù)做傳統(tǒng)式加密。 ? 消息完整性 (Message Integrity)： SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生另一把共有的密鑰，利用這把密鑰來計算出消息認證碼。 SSL數(shù)據(jù)單元的形成過程 用戶數(shù)據(jù)單元 分段 壓縮 附加 MAC 加密 附加 SSL報頭 SSL記錄協(xié)議操作流程 1. 第一個步驟是分片 (fragmentation)。每個上層應用數(shù)據(jù)被分成 214字節(jié)或更小的數(shù)據(jù)塊。記錄中包含類型、版本號、長度和數(shù)據(jù)字段 . 2. 選擇是否執(zhí)行壓縮的步驟 (pression)。壓縮的過程中，
教學課件相關推薦
鄂ICP備17016276號-1