一 SSL技术介绍

SSL和TLS：其实应用最多的安全方法还是TLS

安全套接层俗称Secure Socket Layer1990年开发的，保障Word Wide Web通讯的安全，提供私密性，信息完整性，身份认证，私有协议

1994年改版为SSLv2 1995年改版为SSLv3

 

Transport Layer Security （TLS）1999年颁布公有协议，类似SSLv3，只是在SSLv3基础上做了增加和修改

SSl是一个不依赖于平台和运用程序的协议，保障TCP-based运用安全，有的说是会话层技术，这里说的是在应用层和TCP层之间的

SSL加密知名协议：1 HTTP over SSL加密网页流量是设计SSL初衷，也是第一个使用SSL保障安全的运用层协议，HTTPS工作在TCP443端口

                 2 Emailover SSL例如SMTP over TLS，POP3和IMAP over TLS

SSL建立的两个阶段：

第一阶段：Handshake phase握手阶段

A 协商加密算法   B 认证服务器   C 建立用于加密和MAC用的密钥

类似IPsec vpn ISAKMP的作用

第二阶段：Secure data transfer phase安全的数据传输阶段

在已经建立的SSL连接里安全的传输数据

类似IPsec vpn ESP作用

 

SSL 三大协议

一 Record protocol

二 Handshake protocol

三 Application Data protocol

其中2的握手协议中又分为三个子协议 1 Handshake 2 Alert  3 Change Cipher Spec修改密钥说明

记录协议相当于封装协议，用于封装上层4个协议，或者直接传输数据

握手协议负责建立和恢复SSL会话，由三个子协议组成

1 Handshake协商SSL会话的安全参数

2 Alert 用于对等体之间传输告警信息，如错误error 异常状况exception conditions通告notification会话终止了

3 Change Cipher Spec protocol用于在后续的记录中通告密钥策略转换

TLS的密钥交换不是用的DH而是用的RSA密钥交换的，具体是IE浏览器和server端进行通信，server会传递自己的证书，证书里有server的公钥给IE客户端自己产生的密钥进行加密，得到密文的密钥，发给server后，由server自己的私钥进行解密，得到相同的随机的密钥，后续的数据都用这个密钥进行加解密。

注意TLS里RSA密钥交换就不像IKE交换中一个包做一件事，因为TCPIP协议理念不同：

UDP：数据报协议。

不管数据多大，APP应用层给了多大内容，UDP封装头部和ip头部就发送了，容易产生分片

TCP：数据流协议。

根据流控机制，会认为APP发来的内容很小，1个报文就可以传递三个内容的流量大小

Application Data Protocol

包括 fragment是tcp的分片不是ip分片    compress压缩   Hmac  

握手协议的四大任务：类似IPsec 中的IKE过程

1 Negotiate security capabilities协商安全能力，处理协议版本和加密算法

2 Authentication                 认证，客户认证服务器，服务器也可以认证客户

3 Key exchange                   密钥交换，双方交换产生主密钥master keys信息

4 Key derivation                 密钥引出，主密钥用于数据加密和HMAC的密钥

 

DTLS介绍

SSL/TLS基于tcp传输，提供了可靠的，顺序的传输还有流控技术，不适合对数据报提供安全防护，SSLVPN可以封装UDP运用，但是要建立在TCP之上的TLS连接里传输，ip tcp 数据 udp。这样做，效率差，处理实时的流量比如语音，所以产生了Datagram TLS技术，用UDP传输TLS。Ip udp tls 数据。