SSL是什么？SSL怎么用？

大家好，欢迎来到IT知识分享网。

SSL是什么

        SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全(Transport Layer Security，TLS)是为网络通信提供安全及数据完整性的一种安全协议。如今被广泛使用，如网页，电子邮件，互联网传真，即时消息和语音在IP电话（VoIP）。其中网站是通过使用TLS来保护WEB浏览器与服务器之间的通信安全。

        SSL介于应用层和TCP层之间。应用层数据不再直接传递给传输层，而是传递给SSL层，SSL层对从应用层收到的数据进行加密，并增加自己的SSL头。

SSL协议的三个特性

① 保密：在握手协议中定义了会话密钥后，所有的消息都被加密；

② 鉴别：可选的客户端认证，和强制的服务器端认证；

③ 完整性：传送的消息包括消息完整性检查（使用MAC）。

SSL 的工作原理

• 握手协议（Handshake protocol）
• 记录协议（Record protocol）
• 警报协议（Alert protocol）

1.握手协议

握手过程

可以人为的将握手协议分为四个阶段

握手协议的第一个阶段

握手协议的第二个阶段（）

握手协议的第三个阶段

预主密钥 与主密钥的关系

客户端随机数+服务端随机数—->预主密钥参数—->主密钥—–>共享密钥+HMAC认证密钥+初始化向量

初始化向量用法

 

握手协议的第四个阶段

会话恢复

2.记录协议

• 内容类型
• 协议版本号
• 数据长度
• 数据的有效载荷
• 散列算法的认证代码

记录协议的过程

3.警报协议

        客户机和服务器发现错误时，向对方发送一个警报消息。如果是致命错误，则算法立即关闭SSL连接，双方还会先删除相关的会话号，秘密和密钥。每个警报消息共2个字节，第1个字节表示错误类型，如果是警报，则值为1，如果是致命错误，则值为2；第2个字节制定实际错误类型。

以下是一些警告信息：

(1)unexpected_message：接收了不合适的报文。

(2)bad_record_mac：收到了不正确的MAC。

(3)decompression_failure：解压缩函数收到不适当的输入。

(4)illegal_parameter：握手报文中的一个字段超出范围或与其他字段不兼容。

(5)certificate_revoked：证书已经被废弃。

(6)bad_certificate：收到的证书是错误的。

(7)certificate_expired：证书已经过期。

(8)handshake_failer：握手过程失败。

SSL协议的应用—SSL VPN

1.SSL VPN的优势

2.SSL VPN的实现 （★★★★★）

虚拟网关

• web-link：使用activeX控件方式，对页面进行请求
• web改写：将所请求页面上链接进行改写，其他内容不变。

• 内网web资源只有私网地址，在做NAT的情况下，公网用户可以实现对其访问，但是web资源没有
• 使用安全传输协议，SSL VPN可以实现对其https安全访问。

• 协议转换技术：无需客户端，直接通过浏览器安全访问转换为内网文件共享的相应协议格式。使用activeX控件。

• SMB windows
• NFS linux

端口转发  

 实现原理：安装activeX控件，本质是NAT过程

• 提供内网TCP资源的访问，C/S资源
• 提供丰富的静态端口的TCP应用
  • 单端口单服务：telent、SSH、MS RDP VNC
  • 单端口多服务：notes
  • 多端口多服务：outlook
• 动态端口TCP应用
  • 动态端口：FTP
• 提供端口级访问控制

特点

网络扩展 

实现过程

访问模式 

• 全路由模式：三种流量都走隧道，意味本地不能访问互联网，也可以通过隧道访问，也能补访问本地局域网
• 分离模式：对方内网流量走隧道，本地局域网流量走物理网卡，互联网流量不能走。意味着，能访问对方内网，能访问本地局域网，不能访问互联网。
• 手动模式：对方内网流量走隧道，本地局域网络流量和互联网流量走物理网卡。意味着，都能访问，并且互联网走本地。

3.SSL VPN要求的终端安全

• 杀毒软件检查
• 防火墙设置检查
• 注册表检查
• 端口检查
• 进程检查

• internet临时文件
• 浏览器自动保存密码
• cookie记录
• 浏览器访问历史记录
• 收回站和最近打开的文件
• 指定文件或者文件夹

• vpndb认证授权
• 第三方服务认证授权
• 数字证书的认证
• 短信辅助认证