專(zhuān)業(yè)互聯(lián)網(wǎng)基礎(chǔ)服務(wù)提供商單向ssl 服務(wù)器證書(shū)與雙向ssl 服務(wù)器證書(shū)的主要區(qū)別電子商務(wù)已經(jīng)滲透到我們生活的方方面面，網(wǎng)絡(luò)安全問(wèn)題也越來(lái)越受到大家的廣泛關(guān)注。ssl 服務(wù)器證書(shū)就是針對(duì)網(wǎng)站服務(wù)器端和客

專(zhuān)業(yè)互聯(lián)網(wǎng)基礎(chǔ)服務(wù)提供商

單向ssl 服務(wù)器證書(shū)與雙向ssl 服務(wù)器證書(shū)的主要區(qū)別

電子商務(wù)已經(jīng)滲透到我們生活的方方面面，網(wǎng)絡(luò)安全問(wèn)題也越來(lái)越受到大家的廣泛關(guān)注。ssl 服務(wù)器證書(shū)就是針對(duì)網(wǎng)站服務(wù)器端和客戶(hù)瀏覽器之間信息傳輸安全性的協(xié)議，簡(jiǎn)單來(lái)講就是我們?cè)L問(wèn)網(wǎng)頁(yè)地址欄會(huì)出現(xiàn)https 以及鎖形標(biāo)識(shí)，有單向服務(wù)器證書(shū)和雙向服務(wù)器證書(shū)之分，相信很多人并不了解他們有何異同，下面我們來(lái)了解下二者的主要區(qū)別。

一、單向服務(wù)器證書(shū)認(rèn)證過(guò)程

1、客戶(hù)端的瀏覽器向服務(wù)器傳送客戶(hù)端加密協(xié)議的版本號(hào)，加密算法的種類(lèi)，產(chǎn)生的隨機(jī)數(shù)，以及其他服務(wù)器和客戶(hù)端之間通訊所需要的各種信息。

2、服務(wù)器端向客戶(hù)端傳送SSL 協(xié)議的版本號(hào)，加密算法的種類(lèi)，隨機(jī)數(shù)以及其他相關(guān)信息，同時(shí)服務(wù)器端還將向客戶(hù)端傳送自己的證書(shū)。

3、客戶(hù)端利用服務(wù)器端傳送過(guò)來(lái)的信息驗(yàn)證服務(wù)器的合法性，服務(wù)器的合法性包括：發(fā)行ssl 服務(wù)器證書(shū)的CA 是否可靠，發(fā)行者證書(shū)的公鑰能否正確解開(kāi)服務(wù)器證書(shū)的" 發(fā)行者的數(shù)字簽名" ，證書(shū)是否過(guò)期，服務(wù)器證書(shū)上的域名是否和網(wǎng)站實(shí)際域名相匹配。如果合法性驗(yàn)證未通過(guò)，通訊將斷開(kāi); 如果合法性驗(yàn)證通過(guò)，將繼續(xù)進(jìn)行第四步。

4、用戶(hù)端隨機(jī)產(chǎn)生一個(gè)用于后面通訊的" 對(duì)稱(chēng)密碼" ，然后用服務(wù)器的公鑰(服務(wù)器的公鑰從步驟2中的服務(wù)器的證書(shū)中獲得) 對(duì)其加密，再將加密后的" 預(yù)主密碼" 傳送給服務(wù)器端。

5、如果服務(wù)器要求客戶(hù)端的身份認(rèn)證(在握手過(guò)程中為可選) ，用戶(hù)可以建立一個(gè)隨機(jī)數(shù)然后對(duì)其進(jìn)行數(shù)據(jù)簽名，將這個(gè)含有簽名的隨機(jī)數(shù)和客戶(hù)端自己的證書(shū)以及加密過(guò)的" 預(yù)主密碼" 一起傳給服務(wù)器端。

6、如果服務(wù)器端要求客戶(hù)端的身份認(rèn)證，服務(wù)器端必須檢驗(yàn)客戶(hù)端證書(shū)和簽名隨機(jī)數(shù)的合法性，具體的合法性驗(yàn)證過(guò)程包括：客戶(hù)端的證書(shū)使用日期是否有效，為客戶(hù)提供證書(shū)的CA 是否可靠，公鑰能否正確解開(kāi)客戶(hù)端證書(shū)的發(fā)行CA 的數(shù)字簽名，檢查客戶(hù)端的證書(shū)是否在證書(shū)廢止列表(CRL)中。檢驗(yàn)如果沒(méi)有通過(guò)，

通訊立刻中

專(zhuān)業(yè)互聯(lián)網(wǎng)基礎(chǔ)服務(wù)提供商

斷; 驗(yàn)證如果通過(guò)，服務(wù)器將用自己的私鑰解開(kāi)加密的" 預(yù)主密碼 " ，然后執(zhí)行一系列步驟來(lái)產(chǎn)生主通訊密碼(客戶(hù)端也將通過(guò)同樣的方法產(chǎn)生相同的主通訊密碼) 。

7、服務(wù)器端與客戶(hù)端用相同的主密碼即" 通話(huà)密碼" ，一個(gè)對(duì)稱(chēng)密鑰用于服務(wù)器證書(shū)的安全數(shù)據(jù)通訊的加密通訊。同時(shí)在加密通訊過(guò)程中還要完成數(shù)據(jù)通訊的完整性，防止數(shù)據(jù)通訊中的任何變化。

8、客戶(hù)端向服務(wù)器端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟7中的主密碼為對(duì)稱(chēng)密鑰，同時(shí)通知服務(wù)器客戶(hù)端的握手過(guò)程結(jié)束。

9、服務(wù)器向客戶(hù)端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟7中的主密碼為對(duì)稱(chēng)密鑰，同時(shí)通知客戶(hù)端服務(wù)器端的握手過(guò)程結(jié)束。

10、服務(wù)器證書(shū)的握手部分結(jié)束，SSL 安全通道的數(shù)據(jù)通訊開(kāi)始，客戶(hù)端和服務(wù)器端開(kāi)始使用相同的對(duì)稱(chēng)密鑰進(jìn)行數(shù)據(jù)通訊，同時(shí)進(jìn)行通訊完整性的檢驗(yàn)。

總結(jié)：?jiǎn)蜗蛘J(rèn)證只要求站點(diǎn)部署ssl 服務(wù)器證書(shū)就行，任何用戶(hù)都可以去訪(fǎng)問(wèn)(IP被限制除外等) 。

二、雙向服務(wù)器證書(shū)認(rèn)證過(guò)程

1、 瀏覽器發(fā)送一個(gè)連接請(qǐng)求給安全服務(wù)器。

2、 服務(wù)器將自己的證書(shū)，以及同證書(shū)相關(guān)的信息發(fā)送給客戶(hù)瀏覽器。

3、 客戶(hù)瀏覽器檢查服務(wù)器端發(fā)送過(guò)來(lái)的證書(shū)是否是由自己信賴(lài)的CA 簽發(fā)的。如果是，就繼續(xù)執(zhí)行協(xié)議; 如果不是，客戶(hù)瀏覽器就給客戶(hù)一個(gè)警告消息：警告客戶(hù)這個(gè)證書(shū)是不可以信賴(lài)的，詢(xún)問(wèn)客戶(hù)是否需要繼續(xù)。

4、接著客戶(hù)瀏覽器比較證書(shū)里的消息，例如域名和公鑰，與服務(wù)器剛剛發(fā)送的相關(guān)信息是否一致，如果是一致的，客戶(hù)瀏覽器就會(huì)認(rèn)可這個(gè)服務(wù)器的合法身份。

5、服務(wù)器要求客戶(hù)發(fā)送客戶(hù)自己的證書(shū)。收到后，服務(wù)器端驗(yàn)證客戶(hù)端證書(shū)，如果沒(méi)有通過(guò)驗(yàn)證，拒絕連接; 如果通過(guò)驗(yàn)證，服務(wù)器端獲得用戶(hù)的公鑰。

6、客戶(hù)瀏覽器告訴服務(wù)器自己所能夠支持的通訊對(duì)稱(chēng)密碼方案。服務(wù)器從客戶(hù)7、發(fā)送過(guò)來(lái)的密碼方案中，選擇一種加密程度最高的密碼方案，用客戶(hù)的公鑰加過(guò)密后通知瀏覽器。

專(zhuān)業(yè)互聯(lián)網(wǎng)基礎(chǔ)服務(wù)提供商

8、瀏覽器針對(duì)這個(gè)密碼方案，選擇一個(gè)通話(huà)密鑰，接著用服務(wù)器的公鑰加過(guò)密后發(fā)送給服務(wù)器。

9、服務(wù)器端接收到客戶(hù)瀏覽器端發(fā)送過(guò)來(lái)的消息，用自己的私鑰解密，獲得通話(huà)密鑰。

10、服務(wù)器、瀏覽器接下來(lái)的通訊都是用對(duì)稱(chēng)密碼方案，對(duì)稱(chēng)密鑰是加過(guò)密的。

總結(jié)：雙向服務(wù)器證書(shū)認(rèn)證需要服務(wù)器端與客戶(hù)端提供身份認(rèn)證，只能是服務(wù)端允許的客戶(hù)能去訪(fǎng)問(wèn)，安全性相對(duì)要高一些。

三、單向服務(wù)器證書(shū)認(rèn)證與雙向服務(wù)器證書(shū)認(rèn)證的主要區(qū)別

單向認(rèn)證 SSL 協(xié)議不需要客戶(hù)擁有CA 證書(shū)，具體的過(guò)程相對(duì)于上面的步驟，只需將服務(wù)器端驗(yàn)證客戶(hù)證書(shū)的過(guò)程去掉，以及在協(xié)商對(duì)稱(chēng)密碼方案，對(duì)稱(chēng)通話(huà)密鑰時(shí)，服務(wù)器發(fā)送給客戶(hù)的是沒(méi)有加過(guò)密的(這并不影響服務(wù)器證書(shū)加密過(guò)程的安全性) 密碼方案。雙向認(rèn)證 SSL 協(xié)議要求服務(wù)器端和用戶(hù)瀏覽器端雙方都有證書(shū)。這樣，雙方具體的通訊內(nèi)容，就是加過(guò)密的數(shù)據(jù)，如果有第三方攻擊，獲得的只是加密的數(shù)據(jù)，第三方要獲得有用的信息，就需要對(duì)加密的數(shù)據(jù)進(jìn)行解密，這時(shí)候的安全就依賴(lài)于密碼方案的安全。而幸運(yùn)的是，目前所用的密碼方案，只要通訊密鑰長(zhǎng)度足夠的長(zhǎng)，就足夠的安全。