安全套接層(SSL)協(xié)議

《安全套接層(SSL)協(xié)議》由會員分享，可在線閱讀，更多相關(guān)《安全套接層(SSL)協(xié)議（19頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、單擊此處編輯母版標題樣式,單擊此處編輯母版文本樣式,第二級,第三級,第四級,第五級,*,安全套接層,(SSL),協(xié)議,一、,SSL,簡介,二、配置,SSL,1,、,SSL,（,Security Socket Layer,全稱是加密套接字協(xié)議層）,2,、,Secure socket,layer(SSL,),協(xié)議最初由,Netscape,公司開發(fā)，現(xiàn)已成為網(wǎng)絡(luò)用來鑒別網(wǎng)站和網(wǎng)頁瀏覽者身份，以及在瀏覽器使用者及網(wǎng)頁服務(wù)器之間進行加密通訊的全球化標準。由于,SSL,技術(shù)已建立到所有主要的瀏覽器和,WEB,服務(wù)器程序中，因此，僅需安裝數(shù)字證書，或服務(wù)器證書就可以激活服務(wù)器功能了。,3,、,SSL,是一種

2、基于證書的協(xié)議，任何運行,SSL,服務(wù)的服務(wù)器都需要自己的證書。通常為了保證通用性，我們會向證書頒發(fā)機構(gòu),(Certificate Authority,簡稱,CA,如,VeriSign,、,Thawte,等等,),申請證書，但這需要一筆費用。對于小型組織的內(nèi)部郵件服務(wù)器而言，我們完全可以使用自行建立的證書頒發(fā)機構(gòu)和證書來實現(xiàn)我們的需求。,SSL,概念,SSL,協(xié)議可分為兩層：,1)SSL,記錄協(xié)議（,SSL Record Protocol,）：它建立在可靠的傳輸協(xié)議（如,TCP,）之上，為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等基本功能的支持。,2)SSL,握手協(xié)議（,SSL Handshake P

3、rotocol,）：它建立在,SSL,記錄協(xié)議之上，用于在實際的數(shù)據(jù)傳輸開始前，通訊雙方進行身份認證、協(xié)商加密算法、交換加密密鑰等。,SSL,協(xié)議提供的服務(wù)主要有：,1,）認證用戶和服務(wù)器，確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器；,2,）加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊取；,3,）維護數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變。,SSL,協(xié)議的分層與服務(wù),1,、單向認證：客戶端向服務(wù)器發(fā)送消息，服務(wù)器接到消息后，用服務(wù)器端的密鑰庫中的私鑰對數(shù)據(jù)進行加密，然后把加密后的數(shù)據(jù)和服務(wù)器端的公鑰一起發(fā)送到客戶端，客戶端用服務(wù)器發(fā)送來的公鑰對數(shù)據(jù)解密，然后在用傳到客戶端的服務(wù)器公鑰對數(shù)據(jù)加密傳給服務(wù)器端，服務(wù)器用

4、私鑰對數(shù)據(jù)進行解密，這就完成了客戶端和服務(wù)器之間通信的安全問題，但是單向認證沒有驗證客戶端的合法性。,2,、雙向認證：,（,1,）客戶端向服務(wù)器發(fā)送消息，首先把消息用客戶端證書加密然后連同時把客戶端證書一起發(fā)送到服務(wù)器端,（,2,）服務(wù)器接到消息后用首先用客戶端證書把消息解密，然后用服務(wù)器私鑰把消息加密，把服務(wù)器證書和消息一起發(fā)送到客戶端,（,3,）客戶端用發(fā)來的服務(wù)器證書對消息進行解密，然后用服務(wù)器的證書對消息加密，然后再用客戶端的證書對消息在進行一次加密，連同加密消息和客戶端證書一起發(fā)送到服務(wù)器端,（,4,）服務(wù)器端首先用客戶端傳來的證書對消息進行解密，確保消息是這個客戶發(fā)來的，然后用服務(wù)

5、器端的私鑰對消息在進行解密這個便得到了明文數(shù)據(jù)。,SSL,單向、雙向認證,SSL,示意圖,現(xiàn)在對上圖進行說明，為了說明的方便，在本文中稱客戶端為,C,，服務(wù)器端為,S,：,STEP 1:C,S,（發(fā)起對話，協(xié)商傳送加密算法）,你好,S,！我想和你進行安全對話，我的對稱加密算法有,DES,RC5,，我的密鑰交換算法有,RSA,和,DH,，摘要算法有,MD5,和,SHA,。,STEP2:S,C,（發(fā)送服務(wù)器數(shù)字證書）,你好,C,！那我們就使用,DES,RSA,SHA,這對組合進行通訊，為了證明我確實是,S,，現(xiàn)在發(fā)送我的數(shù)字證書給你，你可以驗證我的身份。,STEP 3:C,S,（傳送本次對話的密鑰

6、）,（檢查,S,的數(shù)字證書是否正確，通過,CA,機構(gòu)頒發(fā)的證書驗證了,S,證書的真實有效性后。生成了利用,S,的公鑰加密的本次對話的密鑰發(fā)送給,S,）,你好,S!,我已經(jīng)確認了你的身份，現(xiàn)在將我們本次通訊中使用的對稱加密算法的密鑰發(fā)送給你。,STEP4:S,C,（獲取密鑰）（,S,用自己的私鑰解密獲取本次通訊的密鑰）。,你好,C,！我已經(jīng)獲取了密鑰。我們可以開始通信了。,STEP5:SC,（進行通訊）,SSL,通訊說明,SSL,配置實驗,實驗操作系統(tǒng)：,Microsoft Windows XP Professional SP3,實驗軟件：,IIS（Internet Information Se

7、rvices）5.1,證書頒發(fā)機構(gòu)網(wǎng)站：,安裝 IIS 5.1,1,配置IIS 5.1,2,配置SSL,3,申請服務(wù)端證書,4,為SSL配置客戶端,5,實驗步驟,安裝 IIS 5.1,1,下載 IIS xp-v5.1軟件（無需安裝）解壓在相應(yīng)磁盤,（例如本實驗采用路徑為 H:IISI386）,依次按如下操作進行：,開始,控制面板,添加/刪除程序,添加/刪除windows組件,單擊添加/刪除windows組件，,打開“windows組件向?qū)А贝绑w,1、,將“Internet信息服務(wù)（IIS）”前面的小方框勾選上,，,點擊下一步,3、復(fù)制軟件所在路徑（如H:IISI386）,將其黏貼在,文件復(fù)制來

8、源,框內(nèi)，,隨后還會出現(xiàn)一次，同樣黏貼,確定進入下一步,2、單擊下一步之后將會出現(xiàn),插入磁盤,提示，,點擊確定，進入下一步,4、出現(xiàn)安裝進度提示，將會自動完成安裝,配置IIS 5.1,2,1、依次按照如下操作找到I,nternet信息服務(wù),：,開始,控制面板,管理工具,I,nternet信息服務(wù),打開I,nternet信息服務(wù),，在本機名下找到“默認網(wǎng)站”，右鍵屬性,2、查看IIS版本信息,使用IIS幫助文件,查看默認網(wǎng)站屬性（默認無需更改）,1、在屬性欄中選擇“目錄安全性”，在“目錄安全性”下選擇“服務(wù)器證書”,單擊服務(wù)器證書，進入SSL證書配置頁面,配置SSL,3,2、進入SSL證書配置主

9、界面，單擊下一步,3、依次選擇 新建證書（下一步）現(xiàn)在準備證書請求，但稍后發(fā)送（下一步）,名稱和安全性設(shè)置，位長修改為2048（下一步）單位部門信息隨便（下一步）,公用名稱默認（下一步）地理信息隨便（下一步）默認位置看清（下一步）,完成證書配置，出現(xiàn)配置完成界面,4、出現(xiàn)配置完成界面，單擊完成，在指定目錄可以找到證書配置信息文本文檔,該文本文檔在后面的配置過程中,將會繼續(xù)用到,申請服務(wù)端證書,4,第一步：進入證書頒發(fā)機構(gòu)網(wǎng)站：,第二步：選擇使用Free trial,點擊進入,第三步：,根據(jù)網(wǎng)站性質(zhì)進行選擇,（,VeriSign,SSL Test Certificate,）,第五步：等待機構(gòu)將證

10、書發(fā)送到自己郵箱,第四步：,Free Trial,Options,Technical Contact,CSR,Summary,1,、雙擊包含證書的文件，打開證書瀏覽器窗口。單擊“安裝證書”。在證書導(dǎo)入向?qū)g迎頁上，單擊“下一步”。,2,、選擇要保存該證書的存儲區(qū)。默認情況下，,windows,將該證書放置到,current_user,root,存儲區(qū)中。這意味著只以本帳戶使用計算機時，才能夠信任由該頒發(fā)機構(gòu)頒發(fā)的證書。若要確保對其它用戶也有效，推薦始終將根,CA,證書放置到,local_machine,root,存儲區(qū)。,3,、完成該向?qū)О惭b,CA,根目錄證書。,為SSL配置客戶端,5,謝謝,觀賞,Make Presentation much more fun,！,