前言

TSL协议的前身是由网景(Netscape)公司于1994年研发的安全套接字(Secure Socket Layer)协议。它建立在TCP协议栈的传输层,用于保护面向连接的TCP通信。实际TSL1.0就是SSL3.1,因此文献中常用SSL/TSL统称它们,下文仅用TSL。
TSL工作在TCP之上,应用层之下。而在TSL中又分为上下两层,所以用一个简单的示意图描述它们在协议栈中的位置如下图,想要更了解SSL/TSL可以查看图解SSL/TSL

实验

本次实验是在windows7下完成,采用的工具是wireshark1.8,浏览器为IE10。
任意选择一个采用https协议的网站,我这里选择的是www.baidu.com。
开启wireshark抓包模式,然后再浏览器中输入百度的url,等待百度首页加载完成,停止抓包,筛选器的字段为ip.addr == 61.135.169.125 && tcp
首先是我们熟悉的TCP三次握手过程,绿框圈住的部分,之前分析过TCP三次握手过程,所以就不再仔细剖析它了:

然后就是TLS协议,先从整体上看一下TSL握手的整个过程。用五颜六色框住的就是跟TSL握手过程有关的数据包(右侧有标注,由于wireshark数据包本身就有颜色,所以这里标注的颜色难免有些受影响,仔细看还是可以看清楚的)。:

大体上看下来,得出的结论就是百度采用的TSL握手协议为单向认证的握手,即只验证服务器端,而不验证客户端。百度肯定希望尽可能多的用户使用,所以肯定不会采用双向验证,据此推测我们常用的网站都是采用单向验证,事实证明也是如此,我查看了“BAT”有关的网站,甚至包括京东,都是这样。

接下来我们把这6个包都来分析一下:

客户端向服务器端say hello,当三次握手完成后,紧接着客户端就向服务器端发送ClientHello消息,该消息包括客户端推荐的密码算法标识、参数和一个在密钥协商中协议需要的一个随机数。图中被黄颜色框住的为重要信息。其中Random和Cipher Suites没有被框出来,压缩算法为空。

服务器端向客户端say hello。一方面是为了回应客户端发来的握手请求,另一方面也携带了一些必要的信息,比如:某个随机数,服务器选定的加密算法等。图中用红色框住的就是关于该数据包的关键信息。密钥交换算法为RSA,数据加密为128位密钥的AES算法,数据校验算法为SHA256(下面可以看到为什么是256)。

服务器端向客户端发送certificate消息,该消息包含服务器的公钥证书。

接下来就是服务器端向服务端发送的ServerHelloDone消息,表示响应完毕。有一个问题就是在这个包中还包含一个ServerKeyExchange,在单向认证过程中应该没有这条消息的,不知道为什么会出现,还望老师帮忙解释。

随后就是ClientKeyExchange和ChangeCipherSpec消息,由客户端在收到服务器端响应后,对服务器的公钥证书进行验证,验证不通过就会出现TLS警告;验证通过后向服务器端发送。其中ChangeCipherSpec表示客户端已经按照商定的算法改变了加密策略。这里密钥交换算法为DH(Diffie-Hellman),如图中被蓝色框住的部分;红色框住的为该数据包中包含的TSL握手消息。

最后是服务器端发送给客户端的ChangeCipherSpec,表示确认。至此整个单向验正的TLS握手过程完成,接下来双方开始进行加密数据传输连接,即以后所有的数据都被加密传输。

总结:

上面的过程是采用单向认证的TLS握手协议过程,所以我想找一个采用双向握手的,双向认证需要使用客户端的公钥,而我接触到要用到自己公钥的网站和应用就只有git(国外和国内oschina都可以),而且公钥还是自己生成的,最重要的是只有使用git等命令推送或拷贝代码时才会验证公钥,鉴于限制条件比较多,所以我就没有测试。
TLS容易遭受某些 DoS 攻击。例如,攻击者创建很多TCP连接,就可以让服务器忙于做 RSA 解密计算。其实TSL协议本身就需要很长的计算时间,由于现今服务器端的升级以及网速地提高正好可以弥补这些消耗带来的不便。任何事情的发展都符合这个规律,没有的时候,有就是发展的目标,有了之后质量更高就会成为新的目标。比如我们国家从“站起来”到“富起来”的转变。尽管TLS有很大的不便,但相比HTTP协议,HTTPS协议更符合当下时代的要求。

【网络与系统安全】关于SSL/TSL协议的分析的更多相关文章

  1. SSL/TLS协议概览

    SSL/TLS协议是什么 计算机网络的OSI七层模型和TCP/IP四层模型想必大家都知道.其中SSL/TLS是一种介与于传输层(比如TCP/IP)和应用层(比如HTTP)的协议.它通过"握手 ...

  2. 聊聊HTTPS和SSL/TLS协议

    要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识.1. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义2. 大致了解 HTTP 和 TCP 的关系(尤其是“短连接”VS“长连接 ...

  3. 浅谈HTTPS和SSL/TLS协议的背景和基础

    相关背景知识要说清楚HTTPS协议的实现原理,至少要需要如下几个背景知识.大致了解几个基础术语(HTTPS.SSL.TLS)的含义大致了解HTTP和TCP的关系(尤其是"短连接"和 ...

  4. 浅谈 HTTPS 和 SSL/TLS 协议的背景与基础

    来自:编程随想   >> 相关背景知识 要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义 大致了解 HTTP 和 ...

  5. 好程序员带你了解一下HTTPS和SSL/TLS协议的背景与基础

    >> 相关背景知识 要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义 大致了解 HTTP 和 TCP 的关系(尤其 ...

  6. SSL/TLS 协议详解

    SSL(Secure Sockets Layer,安全套接层),及其继任者 TLS(Transport Layer Security,传输层安全)是为网络通信提供安全及数据完整性的一种安全协议.TLS ...

  7. 聊聊HTTPS和SSL/TLS协议 分类: 计算机网络 2015-07-11 21:41 4人阅读 评论(0) 收藏

    要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识. 1. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义 2. 大致了解 HTTP 和 TCP 的关系(尤其是"短连接 ...

  8. 【转】聊聊HTTPS和SSL/TLS协议

    要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识.1. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义2. 大致了解 HTTP 和 TCP 的关系(尤其是“短连接”VS“长连接 ...

  9. HTTPS SSL/TLS协议

    要说清楚 HTTPS 协议的实现原理,至少需要如下几个背景知识.1. 大致了解几个基本术语(HTTPS.SSL.TLS)的含义2. 大致了解 HTTP 和 TCP 的关系(尤其是“短连接”VS“长连接 ...

随机推荐

  1. Angular 学习笔记——$provider

    <!DOCTYPE HTML> <html ng-app="myApp"> <head> <meta http-equiv="C ...

  2. 已经入了vim的坑

    一.移动光标 1.左移h.右移l.下移j.上移k 2.向下翻页ctrl + f,向上翻页ctrl + b 3.向下翻半页ctrl + d,向上翻半页ctrl + u 4.移动到行尾$,移动到行首0(数 ...

  3. odoo12新特性: 会计改进

    改进分析会计 分析会计层级结构 分析分配 分析分录增加了表格视图     ============== SPECIFICATIONS ============== a. Hierarchy  - Cr ...

  4. STL学习笔记(string)

    动机 C++标准程序库中的string class使我们可以将string当做一个一般型别.我们可以像对待基本型别那样地复制.赋值和比较string, 再也不必但系内存是否足够.占用的内存实际长度等问 ...

  5. 基于bootstrsp的jquery富文本编辑器的手冊说明

    重点:当在页面插入文本编辑器后.无法用js/jq的方式去将某些值写入到文本编辑器.如:$("textarea").val("111");$("text ...

  6. 编写批处理命令来执行JAVA文件

    http://baobeituping.iteye.com/blog/802543 1. JAVA工程路径结构 Project    ------lib    ------src    ------W ...

  7. .NET CORE 2.0小白笔记(六):

    跟着大牛的视频看,基本看不懂了,简单捋一遍视频,有个印象行啦,撸代码自己摸索一下吧! 新建项目: 这里注意<身份验证> 生成完毕后,修改一下配置 到这里,要初始化一下数据库,否则启动之后会 ...

  8. OSX: 命令行制作U盘Recovery HD

    使用命令行操作,非常easy,可是操作不当非常危急! 免责声明:假设操作不当造成的数据丢失,本人概不负责. 为什么? 不是有OSX恢复磁盘助理嘛?是的.假设仅仅想使用GUI的软件.能够去苹果官方站点: ...

  9. Mac下安装LNMP(Nginx+PHP5.6)环境(转)

    安装Homebrew 最近工作环境切换到Mac,所以以OS X Yosemite(10.10.1)为例,记录一下从零开始安装Mac下LNMP环境的过程 确保系统已经安装xcode,然后使用一行命令安装 ...

  10. 《大话操作系统——做坚实的project实践派》(4)

     操作系统内核必需要关注一个详细硬件平台的设备 watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbG1ub3M=/font/5a6L5L2T/fontsi ...