55
２００４．１０
０引言
目前，随着Ｉｎｔｅｒｎｅｔ的迅速发展，信息安全引起了越来越多人的注意。特别是近年来电子商务、电子政务发展，如何保证传输数据的保密性、完整性已成为急需解决的问题。安全套接字层协议（Ｓｅｃｕｒｉｔｙ Ｓｏｃｋｅｔ Ｌａｙｅｒ Ｐｒｏｔｏｃｏｌ， ＳＳＬ）是Ｉｎｔｅｒｎｅｔ上进行保密通信的一个安全协议，它的使用，保证了网上信息传输的保密性和完整性。下面，对ＳＳＬ协议作一简单阐述。 １ ＳＳＬ协议概述
安全套接层协议（Ｓｅｃｕｒｉｔｙ Ｓｏｃｋｅｔ Ｌａｙｅｒ，ＳＳＬ）是由网景（Ｎｅｔｓｃａｐｅ）公司提出的基于公钥密码体制的网络安全协议，用于在浏览器软件（例如Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ、Ｎｅｔｓｃａｐｅ Ｎａｖｉｇａｔｏｒ）和Ｗｅｂ服务器之间建立一条安全通道，实现Ｉｎｔｅｒｎｅｔ 上信息传送的保密性。它包括服务器认证、客户认证（可选）、ＳＳＬ链路上的数据完整性和ＳＳＬ链路上数据保密性。现在一些对保密性要求较高的电子商务、电子事务等系统大多数是以ＳＳＬ协议为基础建立的，ＳＳＬ
协议已成为Ｗｅｂ安全方面的工业标准。目前广泛采用的是ＳＳＬｖ３。ＳＳＬ提供的面向连接的安全性具有以下在三个基本性质：
（１）连接是秘密的。在初始握手定义会话密钥后，用对称密码（例如用ＤＥＳ）加密数据。
（２）连接是可认证的。实体的身份能够用公钥密码（例如ＲＳＡ、ＤＳＳ等）进行认证。
（３）连接是可靠的。消息传输包括利用安全Ｈａｓｈ函数产生的带密钥的ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ，报文鉴别码）。 ２ ＳＳＬ协议的组成与结构
ＳＳＬ协议由两层组成，分别是握手协议层和记录协议层，见
下图。主要包括记录协议以及建立在记录协议之上的握手协议、警告协议、更改密码说明协议和应用数据协议等对会话和管理提供支持的子协议。在每一层，消息可以包括长度、描述和内容字段。ＳＳＬ发出消息，先把数据分为可管理的块，压缩、使用ＭＡＣ和加密并发出加密的结果。接受消息就解密、验证、解压和重组，再把结果发往更高一层的客户。下面分别说明几种协议：
记录协议：具体实现压缩／解压缩、加密／解密、计算ＭＡＣ等与安全有关的操作。
更改密码说明协议：此协议由一条消息组成，可由客户端或服务器发送，通知接收方后面的记录将被新协商的密码说明和密钥保护。接收方得此消息后，立即指示记录层把即将读状态变成当前读状态，发送方发送此消息后，应立即指示记录层把即将写状态变成当前写状态。
警告协议：警告消息传达消息的严重性并描述警告。一个致命的警告将立即终止连接。与其他消息一样，警告消息在当前状态下被加密和压缩。警告消息有以下几种：
关闭通知消息、意外消息、错误记录ＭＡＣ消息、解压失败消
息、握手失败消息、
无证书消息、错误证书消息、不支持的证书消息、证书撤回消息、证书期满消息、证书未知消息、非法参数消息等。 应用数据协议：把应用数据直接传递给记录协议。
握手协议：ＳＳＬ握手协议是用来在客户端和服务器端传输应
时子环
用数据之前建立安全
郭正荣 周城
重庆通信学院电子工程系 重庆４０００３５隔爆型防爆灯
作者简介：郭正荣（１９７９－），男，解放军重庆通信学院野战指挥自动化研究生，研究方向：野
战指挥自动化、网络
安全理论及应用。周城（１９６３－），男，重庆通信学院电子工程系副教授。
摘要：本文首先介绍了ＳＳＬ协议的组成与结构，分析了ＳＳＬ协议的具体握手过程，讨论了几种常见的ＳＳＬ协议应用模式。然后通过某个应用为例，介绍了Ｗｅｂ服务器证书的安装与建立ＳＳＬ安全通道的具体步骤。最后，指出了ＳＳＬ协议的一些缺点和局限性。
关键词：ＳＳＬ协议；握手协议；记录协议；数字证书
ＳＳＬ协议工作过程及其应用
图１ ＳＳＬ协议在ＴＣＰ／ＩＰ中的位置
56
２００４．１０
通信机制。首次通信时，双方通过握手协议协商密钥加密算法、数据加密算法和文摘算法。然后互相验证对方身份，最后使用协商好的密钥交换算法产生一个只有双方知道的秘密信息，客户端和服务器
各自根据这个秘密信息确定数据加密算法的参数（一般是密钥）。
ＳＳＬ协议在网络协议族中处于ＨＴＴＰ、ＦＴＰ、ＴＥＬＮＥＴ等应用层协议和ＴＣＰ、ＵＤＰ等传输层协议之间，其设计对应用层透明。
３ＳＳＬ协议工作过程原理
ＳＳＬ协议具体握手过程描述如下：
（１）Ｃｌｉｅｎｔ 发送Ｃｌｉｅｎｔ Ｈｅｌｌｏ消息给Ｓｅｒｖｅｒ，Ｓｅｒｖｅｒ回应ＳｅｒｖｅｒＨｅｌｌｏ。这个过程建立的安全参数包括协议版本、“会话”标识、加密算法、压缩方法。另外，还交换２个随机数：ＣｌｉｅｎｔＨｅｌｌｏ．ｒａｎ－ｄｏｍ和 ＳｅｒｖｅｒＨｅｌｌｏ．ｒａｎｄｏｍ，用以计算“会话主密钥”。
（２）Ｈｅｌｌｏ消息发送完后，Ｓｅｒｖｅｒ会发送它的证书或密钥交换信息，如果Ｓｅｒｖｅｒ被认证，它会请求Ｃｌｉｅｎｔ的证书，然后Ｓｅｒｖｅｒ发送Ｈｅｌｌｏ－ｄｏｎｅ消息以示握手协议完成。
（３）Ｓｅｒｖｅｒ请求Ｃｌｉｅｎｔ证书时，Ｃｌｉｅｎｔ要返回证书或“没有证书”的提示，然后Ｃｌｉｅｎｔ发送密钥交换消息。
（４）Ｓｅｒｖｅｒ回答“握手完成”消息。
（５）握手协议完成后，Ｃｌｉｅｎｔ 和Ｓｅｒｖｅｒ就可以传输加密数据。完整握手的消息交换过程如图２所示：
图２ 完整握手的消息交换过程
说明：
（１）带＊号的命令是可选的，或依据状态而发的消息。（２）改换加密算法协议（ＣｈａｎｇｅＣｉｐｈｅｒＳｐｅｃ）并不是实际的握手协议中，它的作用是Ｃｌｉｅｎｔ和Ｓｅｒｖｅｒ协商新的加密ＳＳＬ数据包的算法。
如果客户端和服务器决定恢复前一个会话或者重复一个已经存在的会话，则可省略不必要的握手消息，采取如图３所示的握手过程。
４ ＳＳＬ的应用
由于ＳＳＬ协议简洁、透明、易于实现等一些特点，使得它有着广泛的应用。根据应用场合不同，ＳＳＬ协议有多种应用模式。
（１）匿名ＳＳＬ连接：这种模式是ＳＳＬ安全连接的最基本模式，便于使用，主要的浏览器都支持这种方式，很适合单向的安全数据传输应用。这种模式下客户端没有数字证书，用户以匿名方式访问服务器。服务器具有数字证书，以使用户能确认是自己要访问的站
点。用户知道服务器的身份，但服务器不能确
定用户的身份。建立ＳＳＬ连接时客户端先随机地生成公私密钥对，再用这对密钥进行ＳＳＬ握手协议，一个会话完成后，这对密钥就丢弃。典型的应用是当用户进行网站注册时，为防止私人信息（如信用卡号、口令、电话）泄露，就采用匿名ＳＳＬ连接该网站。
图４ 匿名ＳＳＬ连接
（２）对等安全服务：这种模式通信双方都可以发起和接收ＳＳＬ连接请求，既作服务器又作客户端。通信双方可以是应用程序、安全协议代理服务器。下图所示的是一种类似ＶＰＮ的应用。双方的内部通信可以不用安全协议，中间的公用网部分用ＳＳＬ协议连接。其中，安全协议代理服务器相当于一个加密／解密网关，把内部对外部网络的访问转换为ＳＳＬ数据包，接收时把ＳＳＬ数据包解密。这种模式不需要为每一主机申请数字证书，简化了数字证书的管理和使用。
图５ 类似ＶＰＮ的应用
（３）电子商务：在电子商务中，一般有顾客、商家、银行参与到交易中。顾客到商家指定的网站去填写订单，向商家报出信用卡号，商家向银行查询信用卡号，有效了才能继续交易。其中顾客可以没有数字证书，商家和银行必须有数字证书。在顾客与商家通信中采用匿名ＳＳＬ连接。而商家与银行之间传送的是顾客数据，必须互相验证对方的数字证书，采用ＳＳＬ连接保证传输信息的安全。
结合上面介绍的两种运用，网上交易的安全方案如图所示。
图６ 网上交易的安全方案
图３ 握手过程
超高压汞灯
57
２００４．１０
５Ｗｅｂ服务器证书的安装与ＳＳＬ安全通道的开放
下面以“重庆轻轨工程申报表审批流程跟踪公示系统”为例，介绍Ｗｅｂ服务器证书安装与建立ＳＳＬ安全通道的具体步骤。
“重庆轻轨工程申报表审批流程跟踪公示系统”是重庆市建委信息中心设计开发的网上信息化项目，重庆市ＣＡ中心提供保障系统信息安全所需的数字证书及其相关技术。由于系统使用了数字证书及相关技术，所以审批方可以确认申报方的身份。同时由于申报文件数据属于敏感信息，采用数字证书的加密技术，利用ＳＳＬ安全套接层协议对传输信息进行加密，从而保证了申报文件的保密性和完整性。
５．１生成服务器证书请求文件
（１）单击开始－＞程序－＞管理工具－＞Ｉｎｔｅｒｎｅｔ 服务管理器，进入Ｉｎｔｅｒｎｅｔ信息服务界面，右键点击“默认Ｗｅｂ站点”，选属性项，然后点击“目录安全性”页面，单击“服务器证书”项；
（２）选择“创建一个新证书”，单击“下一步”；（３）输入要申请的证书的名称并选择加密密钥的位长；（４）以后依次填写所在组织、站点和有关地理信息的信息，（５）单击“完成”，服务器的证书
请求就生成了，默认的请求代码是放在ｃｅｒｔｒｅｑ．ｔｘｔ内，打开该文件，即可看到生成的请求代码，如图７所示。液压滑环
图７ 生成的请求代码
５．２申请服务器证书
将该请求文件作为附件形式发送至重庆市ＣＡ中心，并在邮件内附上生成请求时所填写的相关信息，如：组织、组织部门、公用名称、省、市、自治区等。等待ＣＡ中心对证书申请进行批准。
５．３发布服务器证书
（１）ＣＡ中心收到用户的请求文件后，在对用户身份审核通过后，进入证书签发服务器的证书申请页面，添入与用户申请时相对应的信息（如图８）。
远控多叶排烟口
图８ 证书申请页面
提交后得到用户参考码和用户授权码（如图９）。
图９ 用户参考码和用户授权码
进入下载页面后输入两次确认密码，并选择ＰＫＣＳ１０申请书（如图１０）。然后将请求文件内的代码拷贝到申请框内（如图１１），点击下载，就可以得到由重庆ＣＡ中心颁发的后缀名为．ｃｅｒ的批准证书文件。
图１０ 下载证书步骤１
图１１ 下载证书步骤２
（２）用户从重庆ＣＡ中心那里得到一个后缀名为．ｃｅｒ的批准文件后，再打开Ｉｎｔｅｒｎｅｔ 服务管理器，进入Ｉｎｔｅｒｎｅｔ信息服务界面，右键点击“默认 Ｗｅｂ 站点”，选属性项，然后点击“目录安全性”页面，单击“服务器证书”项，点击下一步；
（３）选择“处理挂起的请求并安装证书”，单击“下一步”；（４）点击“浏览”，打开得到的批准文件，单击“下一步”，会看到生成证书摘要；
（５）单击“下一步”、“完成”。至此，服务器证书安全成功，单击“查看证书”项，可以查看当前的服务器证书。
（６）回到“目录安全性”页面，单击“编辑项”，选中“申请安全通道 （ＳＳＬ） （Ｒ）”选项和“申请客户证书”；
［下转５４页］
54
２００４．１０
涂料分散机
传输时被截取。您可以通过ＩＩＳ证书向导程序来向证书授权机构—通常称为ＣＡ—即可信的第三方申请获得一个证书，然后将证书安装到ＷＥＢ服务器上。证书安装完以后，站点上的目录安全属性页上的编辑按钮会被加亮。你可以要求整个站点或者目录（真实的或者虚拟的）具有ＳＳＬ安全特性。要使整个站点或者目录具有安全特性，进入相应站点或者目录的目录安全属性页面，单击编辑按钮，会进入安全通信属性对话框。在这个页面中，选择请求安全通道：ＳＳＬ。这样会强迫所有访问这种资源（目录或者站点）的人执行安全通讯。任何使用ＨＴＴＰ连接访问资源的人都会被通知它们不能访问没有被保护的内容。
上述步骤只是实现了加密通讯，那如何进行访问控制呢？当客户访问你的系统时，你可以要求客户提供证书来进行身份验证。在安全通信属性对话框中选择“要求客户证书”。这样任何用户在它们的系统上如果没有安装证书，就不能访问你站点上的安全内容，但这样还不能进行身份验证。你还必须选择“启用客户证书映射”，然后单击编辑按钮，你可以将特定的客户证书“映射”到Ｗｉｎｄｏｗｓ用户账号，然后对这些Ｗｉｎｄｏｗｓ用户设置不同的权限，这样不仅实现的加密通信而且通过证书映射实现了权限控制。
２小结
以上方法只是从ＷＥＢ服务器和编程的角度对ＷＥＢ站点的权限进行控制，对于一些安全性要求比较高的站点，ＩＰ地址限制可以和身份验证结合起来使用。有的用户长期工作在家里，其计算机有固定ＩＰ地址，你可以只允许特定ＩＰ地址的机器才能连接并且在连接前进行安全的身份验证来加强Ｗｅｂ站点（或者站点的一部分）的安全性。另外，对于安全性要求更高的站点，可进一步采用防火墙、入侵检测以及在路由器或多层交换机上设置访问控制列表等方法提高网站的安全性。
〖参考文献〗
［１］Ｍａｒｋ Ｍｉｎａｓｉ．Ｗｉｎｄｏｗｓ ２０００ Ｓｅｒｖｅｒ从入门到精通［Ｍ］．北京：电子工业出版社．２００１
［２］李毅骋．Ｗｉｎｄｏｗｓ ２０００ Ｓｅｒｖｅｒ网络系统与服务［Ｍ］．北京：清华大学出版社．２００１
［３］徐跃进．计算机网络安全与应用技术［Ｍ］．北京：清华大学出版社．２００２
［４］徐国平．网页设计与制作教程［Ｍ］．北京：高等教育出版社．２００２
（７）选择“Ｗｅｂ站点”页面，将ＳＳＬ所需的４４３端口（默认）开放。经如上步骤就成功为服务器配置了数字证书，申请方（客户端）利用各自的数字证书就能和审批方（服务器）进行安全通信了。
说明：访问支持ＳＳＬ协议的页面时，必须使用ＨＴＴＰＳ协议，地址开头输入“ｈｔｔｐｓ：／／”，而不是“ｈｔｔｐ：／／”。
６结束语
（１）ＳＳＬ协议应用仅对双方通信的数据进行透明的加密传输，而不进行访问抑制。用户是否有权访问应用系统，应由应用系统或操作系统通过用户名和口令控制。
（２）ＳＳＬ使用复杂的数学公式进行数据加密和解密，这些公式
的复杂性根据密码的强度不同而不同。浏览器通过ＳＳＬ协议访问服务器时，浏览器的访问速度会有所降低。尤其在第一次连接时，由于要初始化ＳＳＬ会话和连接的状态信息，并协商加密和解密方案，因而速度降低更为明显。
（３）在电子商务中，ＳＳＬ协议可保证信息的完整性和保密性，但由于购买者不对订购信息进行数字签名，从而保证不了交易信息的不可否认性。
〖参考文献〗
［１］谢冬青，冷健． ＰＫＩ原理与技术．清华大学出版社．２００４
［２］李朔京．ＳＳＬ的原理与应用．微型机与应用．２００２［３］Ｔｈｅ ＳＳＬ Ｐｒｏｔｏｃｏｌ（Ｖ３．ｏ）（ＩＥＴＦ ｄｒａｆｔ ）
［４］雷信生等．电子商务安全技术．国防工业出版社．２００３
［上接５７页］
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议