技术频道

戏说SSL安全连接技术原理

  SSL(Secure Socket Layer),中文直译为安全插接层协议层,听不明白?说白了就是在原有的协议上加上一层加密以及认证这类东西,目的是保证信息安全。举个简单的例子我给你发一串数据,不用SSL,被邪恶的第三方将其截获,就能看出我的意图,如果加上不带认证的SSL将数据加密,即使被第三方得到,他拿到的也是无法看懂的数据,一点用都没有。这只是一个比较浅显的比方,可能有人问:我把我要发送的数据写一个加密算法加密后再发出去,这算不算SSL呢?我无法给出正确答案,请直接阅读下面的文字。

  SSL有两个最核心的技术,一个是加密,一个是认证。认证是比较深层次的东西(至少我这么认为),暂且不说认证,单说加密。

  广义上的SSL是包含只把信息加密的这种作法,只是从字面上来讲。如果严格遵循SSL提出者写的规范,这种加密的作法也有限定,用什么样的加密方法是有规定。那如果有人要问SSL用的是什么加密算法?我会反问你,你知道多少种算法呢?看着他们茫然的眼神,我心里暗暗笑,开个玩笑而已,下面简单介绍一下加密方面的知识。

  加密共分为带钥匙加密和不带钥匙加密,这是以我的习惯划分。不带钥匙加密好理解,就是一个算法,不依赖于任何外部数据,这种算法不好的地方是一旦被破解就不能使用,就相当于我知道你是用这种方法加密,那么你的信息也毫无安全可言,也就不好在网络连接这方面使用。

  另外一种是带钥匙加密,也就是说破解的人既要知道是什么算法也要知道钥匙是什么,只知道其一不能破解。一旦破解,再换一个钥匙,还可以继续用,这个钥匙就是参与加密算法的外部数据。

  那么,带钥匙加密的算法又分为两种,一种是对称加密的算法,另一种是不对称加密的算法。对称是指加密用的什么钥匙,解密也得用这个钥匙。不对称加密是指加密用的是一种钥匙,解密用的是另外一种钥匙。SSL用的就是不对称加密算法。具体用的什么,好像还不止一种,有兴趣的读者可以查询相关资料,这里只是简介,将大概原理介绍一下。

  假如通信双方甲和乙,甲给乙发信息,乙给甲发信息,如何确保第三方看不到(或看不懂)他们之间发送的数据呢?采用不对称加密。甲给乙发信,甲要给它加密,用一个钥匙加好了,好比现在发的内容是火星文,谁也看不懂,那么乙接收了,要想知道是什么内容,就得解密。

  前面说这是不对称加密:一,乙必然要知道这个算法;二,乙必然要知道解密所需要的钥匙。这个钥匙哪里来的,甲给的?不是。解密的钥匙远比加密的钥匙重要得多,只能自己知道,别人,哪怕是甲方也不行,因为一旦你的解密钥匙让别人知道,加密算法又是公开,那么就等于所有发给你的信息内容也就全部公开了。所以解密密钥只能自己知道。

  由于不对称加密的两个密钥是一对,所以用什么钥匙解密,就得用相对应的钥匙加密,这话虽然反过来说比较通顺一点,但都是一个意思。这么说来,先前甲方加密数据所用的钥匙和乙方解密数据所用的钥匙是一对,是由乙方来制作。现在清楚了,乙方产生了一个钥匙对,把其中一个告诉甲方,让他用来加密,另一个放在自家的保险柜里,只有自己知道,用来解密甲方传来的信息。甲给乙发信是这样的,乙给甲发信也一样,用甲给他的钥匙加密,发给甲,甲再用自己的钥匙解密。这就是一个公钥,一个私钥。公钥发布出去,别人用来加密,私钥自己拿着用来解密。

  有人问公钥别人知道了,会不会被人推算出私钥,我可以这么回答,会,只是时间的问题。你说,时间不是问题,我可以等。我告诉你,问题是你没那么多时间等。

  破解不对称加密,可简可繁,是根据密钥的长短来决定,密钥越短,破解时间越短,密钥越长,破解时间越长。一个足够长的密钥,等破解出来要等到天荒地老,这是现在的情况,也许过些年这种情况会有改观。

  说完加密,再说认证,认证相对加密来说会复杂一些,还可能说不太清楚,这里一样只是对原理做一些简单介绍,认证,打个比方说,你如何证明你的身份,用身份证,什么?你用一个假的身份证,那么我再查你的电子身份证等等。我来调查你的身份,这个过程就叫认证。认证是为了防止有人假冐成别人发信息。

  再回顾一下,甲和乙发信息,甲先把公钥发给乙,让乙用来加密信息,这时,如果有一个第三方丙,截获到公钥,则他就可以用甲的公钥加密信息,并且假冒成乙给甲发信。如果甲在接收乙的公钥时要求乙提供“身份证”,术语叫证书,那丙就傻眼了。

  这种证书是由一些机构签发,这些机构被称为证书颁发机构,这些机构被人信任,证书发给你时,还是经过这机构签名,就像微软颁发给你MVP证书时上面有比尔盖茨的签名一样,不同的是这里是数字签名。关于数字签名,又是一套很复杂的理论,这里暂不表露。有数字签名之后,证书基本上就不能造假。又有人问,如果证书颁发机构发给你一个错误的证书怎么办?这是个很严肃的问题,责任要由证书颁发机构承担。当甲方要求乙出示证书后,乙把证书提交上去,上面有颁发机构的名字和签名,也有乙的名字,这样甲就可以放心地和乙交流,这样第三方就无从插足。

  甲和乙互发信息聊得火爆,第三方丙即使截获信息也看不懂,但他不甘寂寞,使出最后一招--篡改。这是个损人不利已的活,对付这种捣蛋的人,可以使用哈希值的办法,俗称电子摘要。固定的内容对应固定的电子摘要,当通信内容被篡改后,接收方再计算一次电子摘要,生成出来的就和原来的对不上了,这不就发现内容被篡改了吗?

  总之SSL利用很多对付监听、伪造和篡改等行为的技术,来保障网络双方安全地交流。目前随着监听与反监听、伪造和反伪造、篡改与反篡改技术的不断进步,SSL技术也在不断发展,两方面是一对不可调和的矛盾,却起到互相促进,共同发展的作用。表面上十分平静的互联网,这里的战争悄无声息却异常激烈。

文章版权归西部工控xbgk所有,未经许可不得转载。