開放、平等、協(xié)作、快速、分享
SSL:(Secure Socket Layer,安全套接字層),位于可靠的面向連接的網(wǎng)絡(luò)層協(xié)議和應(yīng)用層協(xié)議之間的一種協(xié)議層。SSL通過互相認(rèn)證、使用數(shù)字簽名確保完整性、使用加密確保私密性,以實現(xiàn)客戶端和服務(wù)器之間的安全通訊。該協(xié)議由兩層組成:SSL記錄協(xié)議和SSL握手協(xié)議。
TLS:(Transport LayerSecurity,傳輸層安全協(xié)議),用于兩個應(yīng)用程序之間提供保密性和數(shù)據(jù)完整性。該協(xié)議由兩層組成:TLS記錄協(xié)議和TLS握手協(xié)議。
SSL是Netscape開發(fā)的專門用戶保護Web通訊的,目前版本為3.0。最新版本的TLS 1.0是IETF(工程任務(wù)組)制定的一種新的協(xié)議,它建立在SSL 3.0協(xié)議規(guī)范之上,是SSL 3.0的后續(xù)版本。兩者差別極小,可以理解為SSL 3.1,它是寫入了RFC的。
為Netscape所研發(fā),用以保障在Internet上數(shù)據(jù)傳輸之安全,利用數(shù)據(jù)加密(Encryption)技術(shù),可確保數(shù)據(jù)在網(wǎng)絡(luò)上之傳輸過程中不會被截取。目前一般通用之規(guī)格為40 bit之安全標(biāo)準(zhǔn),美國則已推出128 bit之更高安全標(biāo)準(zhǔn),但限制出境。只要3.0版本以上之I.E.或Netscape瀏覽器即可支持SSL。
當(dāng)前版本為3.0。它已被廣泛地用于Web瀏覽器與服務(wù)器之間的身份認(rèn)證和加密數(shù)據(jù)傳輸。
SSL協(xié)議位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間,為數(shù)據(jù)通訊提供安全支持。SSL協(xié)議可分為兩層: SSL記錄協(xié)議(SSL Record Protocol):它建立在可靠的傳輸協(xié)議(如TCP)之上,為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等基本功能的支持。 SSL握手協(xié)議(SSL HandshakeProtocol):它建立在SSL記錄協(xié)議之上,用于在實際的數(shù)據(jù)傳輸開始前,通訊雙方進行身份認(rèn)證、協(xié)商加密算法、交換加密密鑰等。
1)認(rèn)證用戶和服務(wù)器,確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器;
2)加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊??;
3)維護數(shù)據(jù)的完整性,確保數(shù)據(jù)在傳輸過程中不被改變。
服務(wù)器認(rèn)證階段:
1)客戶端向服務(wù)器發(fā)送一個開始信息“Hello”以便開始一個新的會話連接;
2)服務(wù)器根據(jù)客戶的信息確定是否需要生成新的主密鑰,如需要則服務(wù)器在響應(yīng)客戶的“Hello”信息時將包含生成主密鑰所需的信息;
3)客戶根據(jù)收到的服務(wù)器響應(yīng)信息,產(chǎn)生一個主密鑰,并用服務(wù)器的公開密鑰加密后傳給服務(wù)器;
4)服務(wù)器恢復(fù)該主密鑰,并返回給客戶一個用主密鑰認(rèn)證的信息,以此讓客戶認(rèn)證服務(wù)器。
用戶認(rèn)證階段:在此之前,服務(wù)器已經(jīng)通過了客戶認(rèn)證,這一階段主要完成對客戶的認(rèn)證。經(jīng)認(rèn)證的服務(wù)器發(fā)送一個提問給客戶,客戶則返回(數(shù)字)簽名后的提問和其公開密鑰,從而向服務(wù)器提供認(rèn)證。
從SSL 協(xié)議所提供的服務(wù)及其工作流程可以看出,SSL協(xié)議運行的基礎(chǔ)是商家對消費者信息保密的承諾,這就有利于商家而不利于消費者。在電子商務(wù)初級階段,由于運作電子商務(wù)的企業(yè)大多是信譽較高的大公司,因此這問題還沒有充分暴露出來。但隨著電子商務(wù)的發(fā)展,各中小型公司也參與進來,這樣在電子支付過程中的單一認(rèn)證問題就越來越突出。雖然在SSL3.0中通過數(shù)字簽名和數(shù)字證書可實現(xiàn)瀏覽器和Web服務(wù)器雙方的身份驗證,但是SSL協(xié)議仍存在一些問題,比如,只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證,在涉及多方的電子交易中,SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系。在這種情況下,Visa和MasterCard兩大信用卡公組織制定了SET協(xié)議,為網(wǎng)上信用卡支付提供了全球性的標(biāo)準(zhǔn)。
TLS(Transport Layer Security Protocol):安全傳輸層協(xié)議
安全傳輸層協(xié)議(TLS)用于在兩個通信應(yīng)用程序之間提供保密性和數(shù)據(jù)完整性。該協(xié)議由兩層組成: TLS 記錄協(xié)議(TLS Record)和 TLS 握手協(xié)議(TLS Handshake)。較低的層為 TLS 記錄協(xié)議,位于某個可靠的傳輸協(xié)議(例如 TCP)上面。
TLS 記錄協(xié)議提供的連接安全性具有兩個基本特性:
· 私有――對稱加密用以數(shù)據(jù)加密(DES 、RC4 等)。對稱加密所產(chǎn)生的密鑰對每個連接都是唯一的,且此密鑰基于另一個協(xié)議(如握手協(xié)議)協(xié)商。記錄協(xié)議也可以不加密使用。
· 可靠――信息傳輸包括使用密鑰的MAC進行信息完整性檢查。安全哈希功能( SHA、MD5 等)用于 MAC 計算。記錄協(xié)議在沒有 MAC 的情況下也能操作,但一般只能用于這種模式,即有另一個協(xié)議正在使用記錄協(xié)議傳輸協(xié)商安全參數(shù)。
TLS記錄協(xié)議用于封裝各種高層協(xié)議。作為這種封裝協(xié)議之一的握手協(xié)議允許服務(wù)器與客戶機在應(yīng)用程序協(xié)議傳輸和接收其第一個數(shù)據(jù)字節(jié)前彼此之間相互認(rèn)證,協(xié)商加密算法和加密密鑰。 TLS 握手協(xié)議提供的連接安全具有三個基本屬性:
· 可以使用非對稱的,或公共密鑰的密碼術(shù)來認(rèn)證對等方的身份。該認(rèn)證是可選的,但至少需要一個結(jié)點方。
· 共享加密密鑰的協(xié)商是安全的。對偷竊者來說協(xié)商加密是難以獲得的。此外經(jīng)過認(rèn)證過的連接不能獲得加密,即使是進入連接中間的攻擊者也不能。
· 協(xié)商是可靠的。沒有經(jīng)過通信方成員的檢測,任何攻擊者都不能修改通信協(xié)商。
TLS的最大優(yōu)勢就在于:TLS是獨立于應(yīng)用協(xié)議。高層協(xié)議可以透明地分布在TLS協(xié)議上面。然而, TLS 標(biāo)準(zhǔn)并沒有規(guī)定應(yīng)用程序如何在TLS上增加安全性;它把如何啟動 TLS 握手協(xié)議以及如何解釋交換的認(rèn)證證書的決定權(quán)留給協(xié)議的設(shè)計者和實施者來判斷。
TLS 協(xié)議包括兩個協(xié)議組――TLS記錄協(xié)議和TLS握手協(xié)議――每組具有很多不同格式的信息。在此文件中我們只列出協(xié)議摘要并不作具體解析。具體內(nèi)容可參照相關(guān)文檔。
TLS記錄協(xié)議是一種分層協(xié)議。每一層中的信息可能包含長度、描述和內(nèi)容等字段。記錄協(xié)議支持信息傳輸、將數(shù)據(jù)分段到可處理塊、壓縮數(shù)據(jù)、應(yīng)用MAC 、加密以及傳輸結(jié)果等。對接收到的數(shù)據(jù)進行解密、校驗、解壓縮、重組等,然后將它們傳送到高層客戶機。
TLS連接狀態(tài)指的是TLS記錄協(xié)議的操作環(huán)境。它規(guī)定了壓縮算法、加密算法和MAC算法。
TLS記錄層從高層接收任意大小無空塊的連續(xù)數(shù)據(jù)。密鑰計算:記錄協(xié)議通過算法從握手協(xié)議提供的安全參數(shù)中產(chǎn)生密鑰、 IV 和MAC密鑰。
TLS 握手協(xié)議由三個子協(xié)議組構(gòu)成,允許對等雙方在記錄層的安全參數(shù)上達成一致、自我認(rèn)證、例示協(xié)商安全參數(shù)、互相報告出錯條件。
最新版本的TLS(Transport LayerSecurity,傳輸層安全協(xié)議)是IETF(Internet Engineering Task Force,Internet工程任務(wù)組)制定的一種新的協(xié)議,它建立在SSL 3.0協(xié)議規(guī)范之上,是SSL 3.0的后續(xù)版本。在TLS與SSL3.0之間存在著顯著的差別,主要是它們所支持的加密算法不同,所以TLS與SSL3.0不能互操作。
1.TLS與SSL的差異
1)版本號:TLS記錄格式與SSL記錄格式相同,但版本號的值不同,TLS的版本1.0使用的版本號為SSLv3.1。
2)報文鑒別碼:SSLv3.0和TLS的MAC算法及MAC計算的范圍不同。TLS使用了RFC-2104定義的HMAC算法。SSLv3.0使用了相似的算法,兩者差別在于SSLv3.0中,填充字節(jié)與密鑰之間采用的是連接運算,而HMAC算法采用的是異或運算。但是兩者的安全程度是相同的。
3)偽隨機函數(shù):TLS使用了稱為PRF的偽隨機函數(shù)來將密鑰擴展成數(shù)據(jù)塊,是更安全的方式。
4)報警代碼:TLS支持幾乎所有的SSLv3.0報警代碼,而且TLS還補充定義了很多報警代碼,如解密失?。╠ecryption_failed)、記錄溢出(record_overflow)、未知CA(unknown_ca)、拒絕訪問(access_denied)等。
5)密文族和客戶證書:SSLv3.0和TLS存在少量差別,即TLS不支持Fortezza密鑰交換、加密算法和客戶證書。
6)certificate_verify和finished消息:SSLv3.0和TLS在用certificate_verify和finished消息計算MD5和SHA-1散列碼時,計算的輸入有少許差別,但安全性相當(dāng)。
7)加密計算:TLS與SSLv3.0在計算主密值(master secret)時采用的方式不同。
8)填充:用戶數(shù)據(jù)加密之前需要增加的填充字節(jié)。在SSL中,填充后的數(shù)據(jù)長度要達到密文塊長度的最小整數(shù)倍。而在TLS中,填充后的數(shù)據(jù)長度可以是密文塊長度的任意整數(shù)倍(但填充的最大長度為255字節(jié)),這種方式可以防止基于對報文長度進行分析的攻擊。
2.TLS的主要增強內(nèi)容
TLS的主要目標(biāo)是使SSL更安全,并使協(xié)議的規(guī)范更精確和完善。TLS 在SSL v3.0 的基礎(chǔ)上,提供了以下增強內(nèi)容:
1)更安全的MAC算法
2)更嚴(yán)密的警報
3)“灰色區(qū)域”規(guī)范的更明確的定義
3.TLS對于安全性的改進
1)對于消息認(rèn)證使用密鑰散列法:TLS 使用“消息認(rèn)證代碼的密鑰散列法”(HMAC),當(dāng)記錄在開放的網(wǎng)絡(luò)(如因特網(wǎng))上傳送時,該代碼確保記錄不會被變更。SSLv3.0還提供鍵控消息認(rèn)證,但HMAC比SSLv3.0使用的(消息認(rèn)證代碼)MAC 功能更安全。
2)增強的偽隨機功能(PRF):PRF生成密鑰數(shù)據(jù)。在TLS中,HMAC定義PRF。PRF使用兩種散列算法保證其安全性。如果任一算法暴露了,只要第二種算法未暴露,則數(shù)據(jù)仍然是安全的。
3)改進的已完成消息驗證:TLS和SSLv3.0都對兩個端點提供已完成的消息,該消息認(rèn)證交換的消息沒有被變更。然而,TLS將此已完成消息基于PRF和HMAC值之上,這也比SSLv3.0更安全。
4)一致證書處理:與SSLv3.0不同,TLS試圖指定必須在TLS之間實現(xiàn)交換的證書類型。
5)特定警報消息:TLS提供更多的特定和附加警報,以指示任一會話端點檢測到的問題。TLS還對何時應(yīng)該發(fā)送某些警報進行記錄。
以上,是為大家分享的“SSL與TLS有什么區(qū)別”的全部內(nèi)容,如果用戶遇到的問題不能解決,可通過wosign官網(wǎng)客服尋求幫助,凡是選擇wosign ssl證書的網(wǎng)站用戶,wosign可提供免費一對一的ssl證書技術(shù)部署支持,免除后顧之憂。
(Nginx,Apache,Tomcat,IIS)開啟TLS1.2協(xié)議教程
TLS 是獨立于應(yīng)用協(xié)議。高層協(xié)議可以透明地分布在 TLS 協(xié)議上面。該協(xié)議由兩層組成: TLS 記錄協(xié)議(TLS Record)和 TLS 握手協(xié)議(TLS Handshake)。較低的層為 TLS 記錄協(xié)議,位于某個可靠的傳輸協(xié)議(例如 TCP)上面。下面要為大家介紹的是如何在各大配置服務(wù)器中開啟TLS1.2協(xié)議。
詳解 HTTPS、TLS、SSL、HTTP區(qū)別和關(guān)系
HTTPS,也稱作HTTP over TLS。TLS的前身是SSL,TLS 1.0通常被標(biāo)示為SSL 3.1,TLS 1.1為SSL 3.2,TLS 1.2為SSL 3.3。下圖描述了在TCP/IP協(xié)議棧中TLS(各子協(xié)議)和HTTP的關(guān)系。
上一篇:SDK獲取及使用說明