ssl安全连接如何使用,无法使用ssl连接怎么解决

"SSL"协议对于黑客技术学习,是必须要掌握的,因为它在很多应用通信中无处不在。

"SSL"这个名词，可能大家没怎么听说过，但是它的一个应用大家肯定都熟悉，那就是"HTTPS"！

HTTPS是基于SSL安全连接的HTTP协议。HTTPS通过SSL提供的数据加密、身份验证和消息完整性验证等安全机制，为Web访问提供了安全性保证，广泛应用于网上银行、电子商务等领域。

"SSL"是不是很牛！今天我就给大家以本篇文章内容详细解析一下"SSL"安全协议！

1、基本定义

安全套接字（Secure Socket Layer，SSL）协议是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。

2、产生背景

基于因特网的电子商务和网上银行等新兴应用，极大地方便了人们的日常生活，受到人们的青睐。由于这些应用都需要在网络上进行在线交易，它们对网络通 信的安全性提出了更高的要求。

传统的因特网协议HTTP不具备安全机制——采用明文的形式传输数据、不能验证通信双方的身份、无法防止传输的数据被篡改 等，导致HTTP无法满足电子商务和网上银行等应用的安全性要求。

Netscape公司提出的安全协议SSL，利用数据加密、身份验证和消息完整性验证机制，为网络上数据的传输提供安全性保证。SSL可以为HTTP提供安全连接，从而很大程度上改善了因特网的安全性问题

3、SSL技术优点与不足

优点：

1) 提供较高的安全性保证

SSL利用数据加密、身份验证和消息完整性验证机制，保证网络上数据传输的安全性。

2) 支持各种应用层协议。

虽然SSL设计的初衷是为了解决万维网安全性问题，但是由于SSL位于应用层和传输层之间，它可以为任何基于TCP等可靠连接的应用层协议提供安全性保证。

3) 部署简单。

目前SSL已经成为网络中用来鉴别网站和网页浏览者身份，在浏览器使用者及Web服务器之间进行加密通信的全球化标准。SSL协议已被集成到大部分的浏览器中，如IE、Netscape、Firefox等。这就意味着几乎任意一台装有浏览器的计算机都支持SSL连接，不需要安装额外的客户端软件。

SSL协议的不足：

1）SSL要求对每个数据进行加密和解密操作，因而在带来高性能的同时，对系统也要求高资源开销。

2）SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用Web server方式。 3）SSL为带有安全功能的TCP/IP套接字应用程序接口提供了一个替代的方法，理论上，在SSL之上可以安全方式运行任何原有TCP/IP应用程序而不需修改，但实际上，SSL目前还只是用在HTTP连接上。

1、SSL协议所处的位置

SSL介于应用层和TCP层之间。应用层数据不再直接传递给传输层，而是传

递给SSL层，SSL层对从应用层收到的数据进行加密，并增加自己的SSL头。

如上图所示，SSL位于应用层和传输层之间，它可以为任何基于TCP等可靠连接的应用层协议提供安全性保证。SSL协议本身分为两层：

上层为SSL握手协议（SSL handshake protocol）、SSL密码变化协议（SSL change cipher spec protocol）和SSL警告协议（SSL alert protocol）

底层为SSL记录协议（SSL record protocol）。

其中：

SSL握手协议：是SSL协议非常重要的组成部分，用来协商通信过程中使用的加密套件（加密算法、密钥交换算法和MAC算法等）、在服务器和客户端之间安全地交换密钥、实现服务器和客户端的身份验证。

SSL密码变化协议：客户端和服务器端通过密码变化协议通知对端，随后的报文都将使用新协商的加密套件和密钥进行保护和传输。

SSL警告协议：用来向通信对端报告告警信息，消息中包含告警的严重级别和描述。

SSL记录协议：主要负责对上层的数据（SSL握手协议、SSL密码变化协议、SSL警告协议和应用层协议报文）进行分块、计算并添加MAC值、加密，并把处理后的记录块传输给对端。

2、协议安全机制

1) 传输数据的机密性

网络上传输的数据非常容易被非法用户窃取，SSL采用在通信两方之间建立加密通道的方法保证传输数据的机密性。

所谓加密通道，是指发送方在发送数据前，使用加密算法和加密密钥对数据进行加密，然后将数据发送给对方。接收方接收到数据后，利用解密算法和解密密钥从密文中获取明文。没有解密密钥的第三方，无法将密文恢复为明文，从而保 证传输数据的机密性。

SSL加密通道上的数据加解密使用对称密钥算法，主要支持的算法有DES、3DES、AES等，这些算法都能够有效地防止交互数据被窃听。

2) 身份验证机制

电子商务和网上银行等应用中必须保证要登录的Web服务器是真实的，以免重要信息被非法窃取。SSL利用数字签名来验证通信对端的身份。

非对称密钥算法可以用来实现数字签名。由于通过私钥加密后的数据只能利用对应的公钥进行解密，因此根据解密是否成功，就可以判断发送者的身份，如同发送者对数据进行了"签名"。

SSL客户端必须验证SSL服务器的身份，SSL服务器是否验证SSL客户端的身份，则由SSL服务器决定。

使用数字签名验证身份时，需要确保被验证者的公钥是真实的，否则，非法用户可能会冒充被验证者与验证者通信。如下图所示，Cindy冒充Bob，将自己的公钥发给Alice，并利用自己的私钥计算出签名发送给Alice，Alice利用"Bob"的公钥（实际上为Cindy的公钥）成功验证该签名，则Alice认为Bob的身份验证成功，而实际上与Alice通信的是冒充Bob的Cindy。SSL利用PKI提供的机制保证公钥的真实性。PKI技术在我之前的文章里有详细阐述。