安全通信協(xié)議與交易協(xié)議-文庫吧資料
2025-01-05 04:22本頁面
【正文】 et, the client server random valuesn 在 hello消息中，交換隨機數(shù)以及各種算法n 兩類密鑰交換算法：n RSA，客戶產(chǎn)生一個 48字節(jié)的 pre_master_secret，然后通過服務(wù)器的公鑰傳遞給服務(wù)器n DiffieHellman，雙方協(xié)商得到的密鑰被用作pre_master_secretn 對于各種密鑰交換算法，從 pre_master_secret計算得到Master_secret，然后從內(nèi)存中刪除n Master_secret總是 48字節(jié)長，而 pre_master_secret長度不定，取決于密鑰交換算法43Master_secret的產(chǎn)生n SSL Master_secret =MD5(pre_master_secret‖ SHA1(‘A’‖ pre_master_secret|| ‖ )) ‖MD5(pre_master_secret‖ SHA1(‘BB’‖ pre_master_secret|| ‖ )) ‖MD5(pre_master_secret‖ SHA1(‘CCC’‖ pre_master_secret|| ‖ ))n TLS master_secret = PRF(pre_master_secret, “master secret” , , + )[0..47]* PRF(secret, label, seed)為偽隨機函數(shù)44會話恢復(fù)n 整個握手協(xié)議開銷巨大 ,如果集成會話恢復(fù)機制 ,則可以在客戶和服務(wù)器通信過一次的情況下 ,可以跳過握手階段而直接進(jìn)行數(shù)據(jù)傳輸 .n 通過使用上一次握手中確立的 pre_master_secret,則可以避免許多計算開銷。n 主密 值 : 48位秘密，在 client與 server之 間共享。n 加密 規(guī)約 : 指明數(shù)據(jù)體加密的算法（無，或DES等）以及散列算法（如 MD5或 SHA1）用以計 算 MAC?？?為 空。(13) 服務(wù)器 → 客戶 ： finished41SSL的 會話狀態(tài)會話狀態(tài)n 狀態(tài) 參數(shù)：n 會 話標(biāo)識 符 : 服 務(wù) 器 選擇 的一個任意字 節(jié) 序列，用以 標(biāo)識 一個活 動 的或可激活的會 話 狀態(tài) 。40握手協(xié)議過程n 第一階段 安全能力的建立（測試對方是否支持相應(yīng)的安全功能）(1) 客戶 → 服務(wù)器 ： client_hello， 給出選擇列表(2) 服務(wù)器 → 客戶 ： server_hello， 選擇加密、壓縮方法n 第二階段 服務(wù)器認(rèn)證和密鑰交換(3) 服務(wù)器 → 客戶 ： server_certificate， 服務(wù)器的證書(4) 服務(wù)器 → 客戶 ： server_key_exchange，（ 可選）(5) 服務(wù)器 → 客戶 ： certificate_request， 要求客戶出示證書(6) 服務(wù)器 → 客戶 ： server_hello_done， 聲明結(jié)束本階段n 第三階段 客戶認(rèn)證和密鑰交換(7) 客戶 → 服務(wù)器 ： client_certificate， 客戶的證書(8) 客戶 → 服務(wù)器 ： client_key_exchange， 同上，公鑰體系不用(9) 客戶 → 服務(wù)器 ： certificate_verify， 證書檢驗（能力確認(rèn)）n 第四階段 結(jié)束階段(10) 客戶 → 服務(wù)器 ： change_cipher_spec。n 服務(wù)器同樣發(fā)送 change_cipher_spec消息和 finished消息。n 最后，客戶發(fā)送一個 certificate_verify消息（可選），其中包含一個簽名，對從第一條消息以來的所有握手消息的 HMAC值 (用 master_secret)進(jìn)行簽名39第四階段：結(jié)束n 第四階段建立起一個安全的連接n 客戶發(fā)送一個 change_cipher_spec消息，并且把協(xié)商得到的 CipherSuite拷貝到當(dāng)前連接的狀態(tài)之中n 然后，客戶用本次連接協(xié)商的算法、密鑰參數(shù)發(fā)送一個 finished消息，這條消息可以檢查密鑰交換和鑒別過程是否已經(jīng)成功。n 如果服務(wù)器請求證書的話，則客戶首先發(fā)送一個 certificate消息，若客戶沒有證書，則發(fā)送一個 no_certificate警告 。會受到中間人攻擊n 然后，指定以下信息n 加密算法和類型 (流還是分組密碼算法 )n HMAC、 MD5還是 SHA1n HashSizen Key Materialn IV Size37第二階段：服務(wù)器鑒別和密鑰交換n 服務(wù)器發(fā)送 certificate消息，消息包含一個 ，或者一條證書鏈n 除了匿名 DH之外的密鑰交換方法都需要n 服務(wù)器發(fā)送 server_key_exchange消息n 可選的，有些情況下可以不需要。 31握手協(xié)議定義的消息類型 (1)32握手協(xié)議定義的消息類型 (2)33完整 SSL會話握手協(xié)議? 交換 Hello消息，對于算法、交換隨機值等協(xié)商一致? 交換必要的密碼參數(shù)，以便雙方得到統(tǒng)一的 premaster secret? 交換證書和相應(yīng)的密碼信息，以便進(jìn)行身份認(rèn)證? 產(chǎn)生 master secret? 把安全參數(shù)提供給 SSL記錄層? 檢驗雙方是否已經(jīng)獲得同樣的安全參數(shù)3435第一階段：建立起安全協(xié)商n 客戶發(fā)送一個 client_hello消息，包括以下參數(shù)：版本、隨機數(shù) (32位時間戳 +28字節(jié)隨機序列 )、會話 ID、客戶支持的密碼算法列表(CipherSuite)、客戶支持的壓縮方法列表 .然后，客戶等待服務(wù)器的server_hello消息n 服務(wù)器發(fā)送 server_hello消息，參數(shù)：客戶建議的低版本以及服務(wù)器支持的最高版本、服務(wù)器產(chǎn)生的隨機數(shù)、會話 ID、服務(wù)器從客戶建議的密碼算法和壓縮方法中確定一套本次連接使用的確定方法 .36CipherSuiten 指定了密鑰交換的方法， SSL支持以下一些方法：n RSA，要求服務(wù)器提供一個 RSA證書n DH(DiffieHellman)，要求服務(wù)器的證書中包含了由 CA簽名的 DH公開參數(shù)。 n 用于 SSL管理信息的交換，允許應(yīng)用協(xié)議傳送數(shù)據(jù)之前相互驗證，協(xié)商加密算法和生成密鑰等。n 每次打開網(wǎng)頁及其后在網(wǎng)頁間有聯(lián)系的跳轉(zhuǎn)，都是在一次會話范圍之內(nèi)26在 SSL上構(gòu)建一切n 除了 HTTP 和 NNTP（ SNEWS）外，還可以用于 SMTP、 Tel、 FTP等，也可用于保護(hù)專有協(xié)議。n 打開一個網(wǎng)頁，或網(wǎng)頁中的一個視頻、音頻，都是一個獨立的連接25SSL的兩個重要概念n SSL會話（ session）
外語相關(guān)推薦
鄂ICP備17016276號-1