SSL雙向認證和SSL單向認證的區別

發表日期：2018-05 文章編輯：小燈瀏覽次數：2345

雙向認證 SSL 協議要求服務器和用戶雙方都有證書。單向認證 SSL 協議不需要客戶擁有CA證書，具體的過程相對于上面的步驟，只需將服務器端驗證客戶證書的過程去掉，以及在協商對稱密碼方案，對稱通話密鑰時，服務器發送給客戶的是沒有加過密的(這并不影響 SSL 過程的安全性)密碼方案。這樣，雙方具體的通訊內容，就是加過密的數據，如果有第三方攻擊，獲得的只是加密的數據，第三方要獲得有用的信息，就需要對加密的數據進行解密，這時候的安全就依賴于密碼方案的安全。而幸運的是，目前所用的密碼方案，只要通訊密鑰長度足夠的長，就足夠的安全。這也是我們強調要求使用128位加密通訊的原因。
一般Web應用都是采用SSL單向認證的，原因很簡單，用戶數目廣泛，且無需在通訊層對用戶身份進行驗證，一般都在應用邏輯層來保證用戶的合法登入。但如果是企業應用對接，情況就不一樣，可能會要求對客戶端(相對而言)做身份驗證。這時就需要做SSL雙向認證。

SSL單向認證具體過程

image.png

①客戶端的瀏覽器向服務器傳送客戶端SSL協議的版本號，加密算法的種類，產生的隨機數，以及其他服務器和客戶端之間通訊所需要的各種信息。
②服務器向客戶端傳送SSL協議的版本號，加密算法的種類，隨機數以及其他相關信息，同時服務器還將向客戶端傳送自己的證書。
③客戶利用服務器傳過來的信息驗證服務器的合法性，服務器的合法性包括：證書是否過期，發行服務器證書的CA是否可靠，發行者證書的公鑰能否正確解開服務器證書的"發行者的數字簽名"，服務器證書上的域名是否和服務器的實際域名相匹配。如果合法性驗證沒有通過，通訊將斷開;如果合法性驗證通過，將繼續進行第四步。
④用戶端隨機產生一個用于后面通訊的"對稱密碼"，然后用服務器的公鑰(服務器的公鑰從步驟②中的服務器的證書中獲得)對其加密，然后將加密后的"預主密碼"傳給服務器。
⑤如果服務器要求客戶的身份認證(在握手過程中為可選)，用戶可以建立一個隨機數然后對其進行數據簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的"預主密碼"一起傳給服務器。
⑥如果服務器要求客戶的身份認證，服務器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的CA是否可靠，發行CA 的公鑰能否正確解開客戶證書的發行CA的數字簽名，檢查客戶的證書是否在證書廢止列表(CRL)中。檢驗如果沒有通過，通訊立刻中斷;如果驗證通過，服務器將用自己的私鑰解開加密的"預主密碼 "，然后執行一系列步驟來產生主通訊密碼(客戶端也將通過同樣的方法產生相同的主通訊密碼)。
⑦服務器和客戶端用相同的主密碼即"通話密碼"，一個對稱密鑰用于SSL協議的安全數據通訊的加解密通訊。同時在SSL通訊過程中還要完成數據通訊的完整性，防止數據通訊中的任何變化。
⑧客戶端向服務器端發出信息，指明后面的數據通訊將使用的步驟⑦中的主密碼為對稱密鑰，同時通知服務器客戶端的握手過程結束。
⑨服務器向客戶端發出信息，指明后面的數據通訊將使用的步驟⑦中的主密碼為對稱密鑰，同時通知客戶端服務器端的握手過程結束。
⑩-SSL的握手部分結束，SSL安全通道的數據通訊開始，客戶和服務器開始使用相同的對稱密鑰進行數據通訊，同時進行通訊完整性的檢驗。

SSL單向認證只要求站點部署了ssl證書就行，任何用戶都可以去訪問(IP被限制除外等)，只是服務端提供了身份認證。

SSL雙向認證具體過程

image.png

① 瀏覽器發送一個連接請求給安全服務器。
② 服務器將自己的證書，以及同證書相關的信息發送給客戶瀏覽器。
③ 客戶瀏覽器檢查服務器送過來的證書是否是由自己信賴的CA中心（如沃通CA）所簽發的。如果是，就繼續執行協議;如果不是，客戶瀏覽器就給客戶一個警告消息：警告客戶這個證書不是可以信賴的，詢問客戶是否需要繼續。
④ 接著客戶瀏覽器比較證書里的消息，例如域名和公鑰，與服務器剛剛發送的相關消息是否一致，如果是一致的，客戶瀏覽器認可這個服務器的合法身份。
⑤ 服務器要求客戶發送客戶自己的證書。收到后，服務器驗證客戶的證書，如果沒有通過驗證，拒絕連接;如果通過驗證，服務器獲得用戶的公鑰。
⑥ 客戶瀏覽器告訴服務器自己所能夠支持的通訊對稱密碼方案。
⑦ 服務器從客戶發送過來的密碼方案中，選擇一種加密程度最高的密碼方案，用客戶的公鑰加過密后通知瀏覽器。
⑧ 瀏覽器針對這個密碼方案，選擇一個通話密鑰，接著用服務器的公鑰加過密后發送給服務器。
⑨ 服務器接收到瀏覽器送過來的消息，用自己的私鑰解密，獲得通話密鑰。
⑩ 服務器、瀏覽器接下來的通訊都是用對稱密碼方案，對稱密鑰是加過密的。

雙向認證則是需要服務端與客戶端提供身份認證，只能是服務端允許的客戶能去訪問，安全性相對于要高一些。

本頁內容由塔燈網絡科技有限公司通過網絡收集編輯所得，所有資料僅供用戶學習參考，本站不擁有所有權，如您認為本網頁中由涉嫌抄襲的內容，請及時與我們聯系，并提供相關證據，工作人員會在5工作日內聯系您，一經查實，本站立刻刪除侵權內容。本文鏈接:http://www.kwpm.com.cn/20444.html

上一篇：<騰訊云上免費部署HTTPS 下一篇：服務器配置https協議，三種免費的方法>