SSL 的工作流程簡(jiǎn)介：1：客戶端的瀏覽器向服務(wù)器傳送客戶端 SSL 協(xié)議的版本號(hào)，加密算法的種類，產(chǎn)生的隨機(jī)數(shù)，以及其他服務(wù)器和客戶端之間通訊所需要的各種信息。2：服務(wù)器向客戶端傳送 SSL 協(xié)議的

SSL 的工作流程簡(jiǎn)介：

1：客戶端的瀏覽器向服務(wù)器傳送客戶端 SSL 協(xié)議的版本號(hào)，加密算法的種類，產(chǎn)生的隨機(jī)數(shù)，以及其他服務(wù)器和客戶端之間通訊所需要的各種信息。

2：服務(wù)器向客戶端傳送 SSL 協(xié)議的版本號(hào)，加密算法的種類，隨機(jī)數(shù)以及其他相關(guān)信息，同時(shí)服務(wù)器還將向客戶端傳送自己的證書(shū)。

3：客戶利用服務(wù)器傳過(guò)來(lái)的信息驗(yàn)證服務(wù)器的合法性，服務(wù)器的合法性包括：證書(shū)是否過(guò)期，發(fā)行服務(wù)器證書(shū)的 CA 是否可靠，發(fā)行者證書(shū)的公鑰能否正確解開(kāi)服務(wù)器證書(shū)的“發(fā)行者的數(shù)字簽名”，服務(wù)器證書(shū)上的域名是否和服務(wù)器的實(shí)際域名相匹配。如果合法性驗(yàn)證沒(méi)有通過(guò)，通訊將斷開(kāi)；如果合法性驗(yàn)證通過(guò)，將繼續(xù)進(jìn)行第四步。

4：用戶端隨機(jī)產(chǎn)生一個(gè)用于后面通訊的“對(duì)稱密碼”，然后用服務(wù)器的公鑰（服務(wù)器的公鑰從步驟②中的服務(wù)器的證書(shū)中獲得）對(duì)其加密，然后將加密后的“預(yù)主密碼”傳給服務(wù)器。 5：如果服務(wù)器要求客戶的身份認(rèn)證（在握手過(guò)程中為可選），用戶可以建立一個(gè)隨機(jī)數(shù)然后對(duì)其進(jìn)行數(shù)據(jù)簽名，將這個(gè)含有簽名的隨機(jī)數(shù)和客戶自己的證書(shū)以及加密過(guò)的“預(yù)主密碼”一起傳給服務(wù)器。

6：如果服務(wù)器要求客戶的身份認(rèn)證，服務(wù)器必須檢驗(yàn)客戶證書(shū)和簽名隨機(jī)數(shù)的合法性，具體的合法性驗(yàn)證過(guò)程包括：客戶的證書(shū)使用日期是否有效，為客戶提供證書(shū)的CA 是否可靠，發(fā)行CA 的公鑰能否正確解開(kāi)客戶證書(shū)的發(fā)行 CA 的數(shù)字簽名，檢查客戶的證書(shū)是否在證書(shū)廢止列表（CRL ）中。檢驗(yàn)如果沒(méi)有通過(guò)，通訊立刻中斷；如果驗(yàn)證通過(guò)，服務(wù)器將用自己的私鑰解開(kāi)加密的“預(yù)主密碼”，然后執(zhí)行一系列步驟來(lái)產(chǎn)生主通訊密碼（客戶端也將通過(guò)同樣的方法產(chǎn)生相同的主通訊密碼）。

7：服務(wù)器和客戶端用相同的主密碼即“通話密碼”，一個(gè)對(duì)稱密鑰用于 SSL 協(xié)議的安全數(shù)據(jù)通訊的加解密通訊。同時(shí)在 SSL 通訊過(guò)程中還要完成數(shù)據(jù)通訊的完整性，防止數(shù)據(jù)通訊中的任何變化。

8：客戶端向服務(wù)器端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟⑦中的主密碼為對(duì)稱密鑰，同時(shí)通知服務(wù)器客戶端的握手過(guò)程結(jié)束。

9：服務(wù)器向客戶端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟⑦中的主密碼為對(duì)稱密鑰，同時(shí)通知客戶端服務(wù)器端的握手過(guò)程結(jié)束。

10：SSL 的握手部分結(jié)束，SSL 安全通道的數(shù)據(jù)通訊開(kāi)始，客戶和服務(wù)器開(kāi)始使用相同的對(duì)稱密鑰進(jìn)行數(shù)據(jù)通訊，同時(shí)進(jìn)行通訊完整性的檢驗(yàn)。

添加IIS 組件：

點(diǎn)擊‘確定’，安裝完畢后，查看IIS 管理器，如下：

添加”證書(shū)服務(wù)“組件

如果您的機(jī)器沒(méi)有安裝活動(dòng)目錄，在勾選以上‘證書(shū)服務(wù)’時(shí)，將彈出如下窗口：

由于我們將要安裝的是獨(dú)立CA ，所以不需要安裝活動(dòng)目錄，點(diǎn)擊‘是’，窗口跳向如下：

默認(rèn)情況下，‘用自定義設(shè)置生成密鑰對(duì)和CA 證書(shū)’沒(méi)有勾選，我們勾選之后點(diǎn)擊‘下一步’可以進(jìn)行密鑰算法的選擇：

Microsoft 證書(shū)服務(wù)的默認(rèn)CSP 為：Microsoft Strong Cryptographic Provider，默認(rèn)散列算法：SHA-1，密鑰長(zhǎng)度：2048——您可以根據(jù)需要做相應(yīng)的選擇，這里我們使用默認(rèn)。點(diǎn)擊‘下一步’：

填寫(xiě)CA 的公用名稱（以AAAAA 為例），其他信息（如郵件、單位、部門等）可在‘可分辨名

稱后綴’中添加，有效期限默認(rèn)為5年（可根據(jù)需要作相應(yīng)改動(dòng)，此處默認(rèn)）。

點(diǎn)擊‘下一步’

點(diǎn)擊‘下一步’進(jìn)入組件的安裝，安裝過(guò)程中可能彈出如下窗口：

單擊‘是’，繼續(xù)安裝，可能再?gòu)棾鋈缦麓翱冢?/p>

由于安裝證書(shū)服務(wù)的時(shí)候系統(tǒng)會(huì)自動(dòng)在IIS 中（這也是為什么必須先安裝IIS 的原因）添加證書(shū)申請(qǐng)服務(wù)，該服務(wù)系統(tǒng)用ASP 寫(xiě)就，所以必須為IIS 啟用ASP 功能，點(diǎn)擊‘是’繼續(xù)安裝：

‘完成’證書(shū)服務(wù)的安裝。

開(kāi)始 --》 管理工具 --》 證書(shū)頒發(fā)機(jī)構(gòu)，打開(kāi)如下窗口：

我們已經(jīng)為服務(wù)器成功配置完公用名為AAAAA 的獨(dú)立根CA ，Web 服務(wù)器和客戶端可以通過(guò)訪問(wèn)該服務(wù)器的IIS 證書(shū)申請(qǐng)服務(wù)申請(qǐng)相關(guān)證書(shū)。

此時(shí)該服務(wù)器（CA ）的IIS 下多出以下幾項(xiàng)：

我們可以通過(guò)在瀏覽器中輸入以下網(wǎng)址進(jìn)行數(shù)字證書(shū)的申請(qǐng)： http://hostname/certsrv或http://hostip/certsrv 申請(qǐng)界面如下：