S协议概述SSL和TLS建立在TCP/IP协议的基础上分析一个日常购物的安全问题

基于SSL的加密通信SSL的安全证书SSL的证书的实现安全认证获取对应的SSL证书方式权威机构获得证书创建自我签名证书

JSSE介绍说明JSSE的核心控制类SSLServerSocketFactorySSLEngineSSLSocketFactory

在网络环境中信息在从发送端传输到接收端时通常会途径多台计算机。

在常规情况下这些中间的计算机并不会对经过的数据进行监听。

然而当我们进行网上银行交易或信用卡支付时存在潜在的风险即网络上的敏感信息可能被恶意第三方截获进而引发个人隐私的泄露风险。

鉴于Internet和Intranet的体系结构并非无懈可击存在一些安全漏洞这使得不法分子有机会截获并篡改用户发送的原始信息。

随着电子商务的蓬勃发展用户对信息安全的需求日益增强。

为了应对这一挑战Netscape公司推出了SSLServer

Socket

Layer协议旨在确保信息能在开放网络如Internet上实现安全、保密的传输。

SSL/TLS协议概述

Layer原本是一种用于在网络上的两个节点之间建立安全通信的协议它通过在通信双方之间建立安全连接确保数据在传输过程中的机密性、完整性和身份验证。

SSL/TLS协议通过一系列复杂的握手过程实现了密钥交换、数据加密和消息认证等功能从而保障了通信的安全性。

Engineering

SSL安全套接层及其后续版本TLS传输层安全性是构建在TCP/IP协议族之上的安全协议旨在确保网络通信的机密性、完整性和真实性。

它们为众多应用层协议提供了安全通信的保障包括广为人知的HTTP超文本传输协议和IMAP互联网消息访问协议。

当HTTP协议结合SSL/TLS使用时我们称之为HTTPS安全超文本传输协议。

这种结合使得数据在传输过程中被加密有效防止了数据被窃取或篡改。

在标准的网络配置中HTTP通常使用80端口进行通信而HTTPS则默认使用443端口确保用户与服务器之间的数据传输安全无忧。

问题用户的信用卡信息在通过互联网传输时存在着被未经授权的第三方截获的严重风险。

这意味着用户的敏感金融数据可能被恶意个体或团体窃取进而引发身份盗窃或信用卡欺诈等不法行为。

SSL通过采用先进的加密技术构建了一个安全可靠的通信通道确保通信数据的双重保障即数据的保密性和完整性。

这一机制不仅有效防止了数据在传输过程中被未经授权的第三方窃取或窥探还保证了数据在传输过程中不被篡改从而维护了数据的真实性和可信度。

问题当用户在网络上发送信息时这些信息有可能遭受非法篡改从而导致数据的完整性受到严重破坏。

数据完整性是确保信息在传输过程中保持原始、未经修改状态的关键属性。

解决SSL还提供了身份验证功能使得通信双方能够确认彼此的身份进一步增强了通信的安全性。

简而言之SSL为网络通信提供了全面的安全保障让用户能够放心地进行数据传输和交互。

当客户与服务器进行通信时网络上可能存在潜在的监听风险使得通信数据有可能被未经授权的计算机非法截获。

为了确保会话双方信息的安全传递SSL安全套接层技术应运而生。

SSL的核心在于其强大的加密技术它确保了数据在从一端发送到另一端的过程中得到保护。

如下图所示该图详细展示了采用SSL的通信过程。

从图中可以清晰地看到客户和服务器的加密通信需要在两端进行相应的加密和解密处理从而确保了整个通信过程的安全性。

在SSL的加密过程中发送者首先会对数据进行加密处理随后再将其传输至接收者。

这一举措确保了在网络上传输的是经过加密的数据从而大大提高了数据的安全性。

即便有人在网络上非法截获了这些加密数据由于缺乏相应的解密密钥也无法获取数据的原始内容。

当接收者收到这些加密数据时会先对数据进行解密处理随后再进行后续的数据处理操作。

这一过程确保了数据的完整性和保密性为客户和服务器的通信提供了坚实的安全保障。

除了实现数据加密通信外SSL还引入了身份认证机制这一机制确保通信的双方都能够准确无误地验证对方的真实身份。

这种认证机制与我们在现实生活中使用身份证来证明身份的方式相类似。

例如当你前往银行取款时如果你声称自己是张三那么如何能让银行相信你的真实身份呢此时出示身份证便成为了一个有效的解决方案。

同样地在SSL通信中身份认证机制确保了通信双方的真实身份得到验证从而增强了通信的安全性和可信度。

SSL利用安全证书来验证客户或服务器的身份。

当客户通过安全连接与服务器进行通信时服务器会首先向客户展示其安全证书。

这份证书不仅声明了服务器的安全性还确认了服务器的真实身份。

每个证书在全球范围内都是独一无二的这使得其他非法服务器无法冒充原始服务器的身份。

从这个角度来看我们可以将安全证书视为电子身份证。

许多服务器并不要求客户出示安全证书。

但在某些特定情境下如B2BBusiness

Business事务中服务器可能会要求客户提供安全证书以核实其身份。

在获取安全证书的过程中存在两种主要途径。

一种途径是选择从权威认证机构CA购买证书这种方式确保了证书的权威性和公信力因为权威机构会进行严格的身份验证和审核流程以确保颁发的证书符合安全标准。

另一种途径则是创建自我签名的证书这种方式更为灵活允许个人或组织在没有第三方认证的情况下自行生成证书。

权威机构获得证书

安全证书作为通信安全的基石能够显著增强通信双方身份的可信性。

这些证书采用先进的加密技术精心打造几乎无法被他人伪造或篡改从而确保了通信过程的安全性和完整性。

安全证书的可信性源于国际知名的证书颁发机构CA如VeriSignwww.verisign.com和Thawtewww.thawte.com它们经过严格的审核流程确保颁发的证书符合最高安全标准。

创建自我签名证书

在某些情况下通信的双方主要关注的是数据在网络传输过程中的安全性而非对方的身份验证。

此时可以创建自我签名self-signed的证书来满足这一需求。

例如借助Sun公司提供的keytool工具用户可以轻松地生成此类证书。

然而这类证书类似于个人自制的名片虽能展示信息但缺乏权威性因此无法实现身份认证的功能。

安全证书不仅包含用于数据加密的密钥还具备证实通信双方身份的数字签名。

其核心依赖于公钥加密技术这是一种利用非对称密钥对包括公钥和私钥进行加密和解密的方法。

公私钥传输加解密

公钥作为***息可被广泛分享私钥则保持私密严格保密。

利用公钥加密的数据只有对应的私钥才能解密反之私钥加密的信息也仅能被公钥解密。

这种非对称特性赋予公钥加密技术在确保数据安全性方面的重要优势使其成为网络通信中的关键技术。

在安全证书中这对非对称的密钥扮演着核心角色。

私钥是高度保密的仅由安全证书的所有者掌握。

当通信方A欲与通信方B建立安全通信时A会将其安全证书中的公钥发送给B。

随后B可以利用这个公钥对需要发送给A的数据进行加密。

由于公钥加密的特性只有持有对应私钥的A才能成功解密这些数据从而确保通信内容的私密性和完整性。

在SSL握手过程中非对称加密方法被巧妙运用以传递关键数据从而建立起一个安全可靠的通信会话。

一旦SSL握手顺利完成通信双方将转而采用高效的对称加密方法来传输实际的应用数据确保数据传输的速度与安全性得到双重保障。

在安全证书中数字签名就如同通信方A的电子身份证它不仅证实了信息的真实性也保证了信息的完整性和原始性即信息确实是由通信方A发出的既未被伪造也未被篡改。

总体流程如下所示

客户端发送SSL版本号、加密参数、会话数据等必要信息至服务器同时接收服务器的SSL版本、加密参数、会话数据及服务器证书。

若服务器要求验证客户端还需提供其安全证书。

客户端生成预备主密码pre-master

服务器验证客户端证书若要求并使用私钥解密预备主密码生成会话的主密码master

双方基于主密码生成会话密钥对称密钥用于后续通信的加密和解密。

这一方法提高了运算效率。

握手过程结束会话建立。

后续通信均使用此会话密钥进行加密和解密。

JSSE介绍说明

Extension作为Java平台的一个关键组件巧妙地封装了底层复杂的安全通信机制极大地简化了开发人员构建安全网络应用程序的复杂性。

javax.net.ssl

SSLSocket它们分别用于服务器端和客户端的安全套接字通信。

javax.net

包虽然javax.net包本身并不直接包含与SSL相关的类但它与javax.net.ssl协同工作提供基础的网络通信功能。

然而你提到的SSLServerSocketFactory和SSLSocketFactory实际上是javax.net.ssl包的一部分它们用于创建SSLServerSocket和SSLSocket的实例。

java.security.cert

包这个包包含处理安全证书的类其中最重要的是X509Certificate类。

它用于表示符合X.509标准的数字证书该标准由国际电信联盟ITU-T和其他组织共同制定用于公钥基础设施PKI中的证书管理。

com.sun.net.ssl

包这个包包含了SUN公司提供的Java安全套接字扩展JSSE的实现细节。

通常情况下应用程序开发人员不需要直接使用这个包中的类除非有特殊需求或定制扩展。

这些类通常作为内部实现细节由javax.net.ssl包中的公共API所使用。

在JSSEJava

Extension框架中安全通信的核心构建基石是SSLServerSocket类和SSLSocket类它们分别继承了ServerSocket和Socket类以提供加密和验证功能。

SSLSocket实例通常通过SSLSocketFactory的实例化方法来创建而SSLServerSocket的accept()方法则在接受新的连接请求时生成相应的SSLSocket对象。

SSLServerSocket对象则由SSLServerSocketFactory负责创建它确保了服务端能够监听并接受加密的连接请求。

值得注意的是无论是SSLSocketFactory、SSLServerSocketFactory还是SSLEngine对象它们的实例化都依赖于SSLContext对象。

SSLContext作为安全通信的上下文环境提供了创建这些工厂类和引擎类的方法。

SSLEngine

特SSLEngine类在JSSE中扮演了支持非阻塞安全通信的关键角色。

与传统的阻塞式通信不同非阻塞通信允许应用程序在等待数据传输完成的同时继续执行其他任务从而提高了系统的整体性能和响应速度。

通过SSLEngine开发者能够灵活地实现基于事件驱动或异步I/O的安全通信模型。

SSLSocketFactory

当SSLSocketFactory的createSocket()方法创建一个SSLSocket对象时这仅仅意味着建立了一个基础的TCP连接。

此时SSL握手过程尚未启动。

在通信的双方中当任一方首次尝试通过调用SSLSocket的getOutputStream()或getInputStream()方法来发送或接收数据时会触发SSL握手。

这个握手过程本质上是通过已建立的TCP连接来交换密钥和进行身份验证等信息从而确保后续通信的安全性。