日博官方网址日博官方网址

365日博
日博电竞

https、ssl、tls协议学习

一、知识准备

1.ssl协议:通过认证、数字签名确保完整性;使用加密确保私密性;确保客户端和服务器之间的通讯安全2.tls协议:在SSL的基础上新增了诸多的功能,它们之间协议工作方式一样3.https协议:https over tls,tls协议是https协议的核心

名词介绍:CA:Certificate Authority,也称为电子商务认证中心,是负责发放和管理数字证书的权威机构对称加密:加密和解密使用相同密钥的加密算法。它的速度快,通常在加密大量数据时使用非对称加密:需要两个密钥来进行加密和解密,公钥与私钥。公钥加密的只能用私钥解密,反之私钥加密的也只能用公钥解密。通常用于重要信息的安全传输,缺点是速度比对称加密慢很多

二、tls通信过程

废话不说,我们先上tls通信过程

(1)客户端-->服务端:协商协议版本、加密方案、压缩方法等;生成一个随机数,用于之后生成会话秘钥(2)服务端-->客户端:确认协商信息;生成一个随机数,用于之后生成会话秘钥;发送证书到客户端(3)客户端-->服务端:生成一个随机数,用于之后生成会话秘钥;验证自己收到的证书是否为合法的证书;若证书没问题,则会从证书中取出公钥,加密最后一个随机数发送给服务端;然后使用产生的3个随机数生成会话秘钥,并且宣布用会话秘钥来进行加密通信(会话秘钥是对称加密)(4)服务端:收到被公钥加密的最后的随机数,然后用私钥解开之后再加上之前的2个随机数,产生会话秘钥(5)至此,双方都已经拥有会话秘钥,并且用该会话秘钥进行随后的加密通信

这就是整个通信过程,本文结束了吗?显然没有,我们还有几个问题没有解决

三、tls通信中需要解决的问题

(a)客户端从服务端收到的证书,是真实的证书,还是黑客伪装的证书(b)私钥是不能公布的,公钥是发布出去大家都知道的,那用什么秘钥去加密

下面我们来一一解决这些问题:

问题(a)

要说清楚客户端怎么验证证书,要先弄明白证书是什么

● 证书内容:如发行机构、有效期、公司信息等 ● 摘要:证书内容等经过hash之后生成摘要 ● 数字签名:CA使用私钥对摘要,加密之后生成签名 ● 数字证书主要由证书内容、公钥、数字签名、使用的hash算法等组成

证书验证分为真实性验证与有效性验证:

真实性验证:● 通过内置根证书的公钥对数字签名解密,得到一个hash值,这个hash值就是摘要● 使用证书内的hash算法将证书内容进行hash之后得到一个hash值,用这个新的hash值与上一步的hash值进行对比● 若相同,证明证书真实有效,若不同,则证明被串改过

有效性验证:● CRL。CA会提供一份证书失效名单,浏览器会缓存并定期更新该名单。● OCSP。CA提供实时接口查询

还有个问题需要解释一下:

关于数字签名中,CA使用的私钥的问题

● CA也会生成一对私钥、公钥,私钥对用户证书进行加密● 而公钥会内置在操作系统的安装当中成为系统默认的根证书● 在真实性验证中,客户端使用内置根证书中的公钥对用户的证书进行解密

至此,关于证书验证的问题大致描述到此

问题(b)

完成证书验证之后

● 在tls通信过程中(1)、(2)分别生成了2个随机数,这两个随机数是没有加密传递● 在tls通信过程中(3)又生成了1个随机数,这个随机数会被公钥加密之后,只能被服务端的私钥解密● 所以,第三个随机数是安全的,没有被泄露的,通过这3个随机数使用对称加密算法生成会话秘钥● 之后的数据传输都会使用会话秘钥进行加密● 由于会话秘钥是对称加密,它的加密解密速度都大大超过非对称秘钥

四、自签根证书测试

自签根证书的帖子网上的大神很多,我就不班门弄斧了

经过一顿猛如虎的操作之后,我手里面拿到了这几个文件:

root@k8s-node2:/opt/CA/certs# ls -ltotal 20-rw-r--r-- 1 root root 1448 Oct 26 10:14 ca.crt-rw------- 1 root root 1854 Oct 26 10:14 ca.key-rw-r--r-- 1 root root 4493 Oct 26 10:14 server.crt-rw------- 1 root root 1675 Oct 26 10:14 server.key

ca.crt:自签的根证书ca.key:根证书对应的私钥server.crt:服务器证书server.key:服务器证书对应的私钥

我们部署一个nginx,并且配置ssl

server { listen 443 ssl; server_name www.mrvolleyball.com; ssl_certificate /etc/nginx/cert/server.crt; ssl_certificate_key /etc/nginx/cert/server.key; location / { root html; }}

首先来访问一下nginx:

不出所料,证书是不受信任的,接下来我们在系统中信任自签的根证书

再次打开


至此,本文结束在下才疏学浅,有撒汤漏水的,请各位不吝赐教...

欢迎阅读本文章: 杨克江

365bet日博

365日博