基于OpenSSL的安全协议SSL的应用

析 。 用 Ａ ａｈ ｅ 务 器和 开 源 软 件 Ｏ ｅ ＳＬ在 Ｌｎ ｘ环境 下 为通 信 双 方 建 立 证 书 、 使 ｐ ｃｅ ｂ服 Ｗ ｐｎＳ ｉｕ 协 商 密钥 ， 实现 安 全 通信 。
关键词 ： Ｓ Ｓ Ｌ安 全 协 议 ： ｅ Ｓ Ｌ； 全 传 送 Ｏｐ ｎ Ｓ 安
０ 引
～
—
—
—
Ｆｉ ｉ ｈｅ — ｎ ｓ ｄ
鏊
的长度 、 录数据 的长度等信息 ，Ｓ 记 Ｓ Ｌ记 录数据部分有 三个分量 ： Ａ — Ａ Ａ、 Ｃ Ｕ Ｌ Ｄ Ｔ Ｍ Ｃ Ｄ Ｔ Ａ Ｔ Ａ — Ａ Ａ和 Ｐ Ｄ Ｉ Ｇ Ａ ＤＮ — Ｄ Ｔ Ａ Ａ。ＭＡ Ｃ数 据 用 于 数 据 完 整 性 检 查 ． Ｃ Ｕ Ｌ ＡＴＡ — Ｄ Ｔ Ａ Ａ是被传 送 的应 用数据 ．Ａ Ｄ Ｎ — Ａ Ａ是 当采 Ｐ Ｄ ＩＧ Ｄ Ｔ
和压 缩 方 法
作后发在 通信对方 之间传送 Ｓ Ｌ记录协议 为每一个 Ｓ
ＳＬ连接提供保 密性 和完 整性两种服务 ： Ｓ （） １ 保密性 ： Ｓ ＳＬ记 录协议会协助双方产生一把共
有 的 密 钥 ．利 用 这 把 密 钥 来 对 Ｓ Ｌ 传 送 的 数 据 进 行 Ｓ所
加密 ， 防止数据在传输 过程中的泄露 ， 实现数据 的保密
／
用 于保护正常运行于 Ｔ Ｐ之上的任何应用协议 ．例如 Ｃ Ｈｒ Ｐ Ｆ Ｐ、ＭＴ 、 Ｔ Ｓ Ｐ等协议 ， ｒ 并且这些应用 协议均能够透
明 的建 立 于 Ｓ Ｌ协 议 之 上 Ｓ
接受 ， 如果都没有 问题的话 ． 发送一个或多个消息给服 务器。 如果服务器请求证书 的话 ， 则客户 首先发送一个 Ｃ ｒｆ ａ ｅ ｉｃｔ ｔ ｉ ｅ消息 ． 客户 没有证 书 。 若 则发送 一个 Ｎ Ｃ ｒ ｏ ｅ －
（ ） 成 握 手 协 议 ４完
首先 ． 户 端 发 送 一 个 Ｃ ａｇＣｐ ｅＳ ｅ 息 ， 客 ｈｎｅ ｉ ｒｐｃ消 ｈ 并
—
一
鬻 薯
且 把协商得 到的 ＣｐｅＳ ｉ ｉ ｒｕｔ ｈ ｅ拷贝到 当前连接的状态之 中； 然后 ， 客户端用 新 的算 法 、 密钥 参数发送 一个 Ｆｎ ｉ．
送 的 安 全性 【 １ １
传送 ＳＬ安全协议在 网络协 议层 中的位 置如 图 １ Ｓ 所
示 ：
针对 网络应用不断扩大 的需求和数据在 网络 中传 送的不安全性 问题 ．本文分析 了使用 Ｓ Ｌ安全协议保 Ｓ 护数据 基本原理 ．并使 用开源 软件 Ｏ ｅｓＳ ｐｎＳ Ｌ实现 了
着 Ｗｅ ｂ应 用 的 发 展 。Ｓ Ｌ安 全 协 议 可 以 在 浏 览 器 和 Ｓ
（ ） 户 鉴 别 和 密 钥 交 换 ３客 客 户 收 到 Ｓ ｒ ｒ ｅ 消 息 后 ．它 根 据 需 要 检 查 服 ｅｖ Ｈ ｌ ｅ ｌ
Ｗｅ ｂ服务器之 间建立一 条安全 通道 ．保证数据在传输
过 程 中 的安 全 性 。Ｏ ｅＳ Ｌ开 源 工 具 包 是 最 常 用 的一 ｐｎ Ｓ
站． 例如使用 ｈｔ ：１７ ． １ ｔ ｓＵ ２ ． ０ 进行测试 。 ｐ ０ ．
个 Ｓ Ｌ实现软件 ．它提供 Ｓ Ｌ算法的 函数库和标准接 Ｓ Ｓ
口供 其 他程 序调 用
３ Ｓ Ｌ协议 的安 全 性 分 析 Ｓ
Ｓ Ｌ协 议 是 一 个 独 立 于 平 台 并 独 立 于 应 用 的 协 Ｓ
应 用层 协议
｜ ｒ ｒ
Ｆ≥ Ｓ 一 ● ｒ ｉ … Ｐ ｌ Ｔ Ｐ ●
ｓ Ｓ密钥曩 ¨ ｓ￣Ｗ ¨ Ｌ ｓ
一悔议
≤ 录 赞 囊 滔Ｓ 一
Ｓ Ｌ 协议 Ｓ层
Ｓ Ｌ安全协议 ． ｓ 在通信双 方之间建立安全通道 。 保证数 据在传送 过程 中的安全性 。
￣ ： ＿
一
ｓ 。－ ｅ ｒ ｐ ｄ ｈｎ ｅ ｉｈ ａｇ Ｃｐ — Ｆｉｌ ｓｈ ｄ ｌ ｎ ｓ ｅｄ ｉ ｅ
一
图 ２ Ｓ Ｌ握 手 协 议 流 程 Ｓ
用 分 组 码 时 所 需 要 的填 充 数 据
（ ） 立 连 接 １建 首先 ． 户 端 向服 务 器 发 送 一 个 Ｃｉ ｔ ｅ ｏ 息 ． 客 ｌ ｎＨ ｌ 消 ｅ ｌ
Ｓ Ｌ记录 协议根 据 Ｓ Ｌ握手 协议协 商 的参数 ． Ｓ Ｓ 对 应用层 送来 的数据进行 加密 、 压缩 、 计算 ＭＡ Ｃ值等操
发送的 内容主要包括协 议版本 、 随机数 、 会话 Ｉ 客户 Ｄ、 支持 的密码算法列表 、客户支持的压缩方法 列表等参
数 。 然 后 ． 务 器 收 到 Ｃｉ ｔ ｌ 服 ｌ ｎ ｌ 息 后 。 客 户 端 发 ｅ Ｈｅｏ消 向 送 Ｓ ｒｅＨ ｌ 消 息 ．发 送 的 内容 主要 包 括 选 用 的协 议 ｅｖｒ ｅ ｏ ｌ 版 本 、 务 器 产 生 的 随机 数 、 话 Ｉ 选 用 的 密 码 算 法 服 会 Ｄ、
性：
（ ）￣ ２ Ｊ 务器鉴别 和密钥交换 Ｊ
首 先 ． 务 器 向客 户 端 发 送 自 己 的证 书 Ｃ ｒｆ ａ 服 ｅｔ ｅｔ ｉ ｅ ｉ 和 ＳｒｅＫ ｙ ｘｈｎｅ消 息 ： 后 ， 务 器 发 送 Ｃ ｒｆ ｅ ｒｅ Ｅ ｃａ ｇ ｖ 然 服 ｅｔ — ｉ ｉ
（ ） 整性 ： Ｓ ２完 Ｓ Ｌ记 录协 议 会 协 助 双 方 产 生 另 一 把
协 议 包 含 如 图 ２所 示 的 五个 阶段 ：
￣ Ｃ ｉ ｎ Ｈ １ ——— １ ｅ ｔ ｅｌ ｏ
最后 ， 客户发送一个 Ｃ ｒｆ ａ Ｖ ｒｙ ｅ ｉｃｔ ｅ ｆ 消息 ． 中包含一 ｔ ｉ ｅ ｉ 其
个 签 名 ． 从 第 一 条 消 息 以来 的 所 有 握 手 消 息 的 ＭＡ 对 Ｃ 值 进行签名
的同时也带来 了巨大 的安全 隐患 人们通过 网络进行
操作 、 交易 的命令 、 验证信息等数据需要通过 网络进 行 传送 ． 很容易被攻击者截获和篡改 ０因此 ． 保证数据 在
传送 过程中的安全性是进行 网络应用的必要条件 Ｓ Ｌ Ｓ 安全套接层协 议（ｅｕｅＳｃ ｅ Ｌ ｙｒ在数 据的收发双 Ｓ ｃｒ ｏｋｔ ａｅ） 方之间建立 了一个安全通道 ．保证 了数据在 网络 中传
收稿 日期 ：０ ２ ０ —１ 修 稿 日期 ：０ ２ ０ — １ ２１— １ ６ ２ １ － ２ ０
Ｓ Ｌ安 全 协 议 是 位 于 应 用 层 协 议 之 下 、传 送 层 协 Ｓ
源自文库
议之上 的中间层 协议。Ｓ Ｌ安全协议本身 也是一个 两 Ｓ 层协议族 ．低层位于可靠传送协议 Ｔ Ｐ之上 ；高层是 Ｃ
Ｓ Ｌ的 主 要 配置 过 程 如 下 ： Ｓ （ ） 装 ｏｅ ｓ － ．． １安 ｐｎｄ ０ ８ ９ ａ
＃ ａ ｘ ｆ ｐ ｎ ｓ－ ． ．ａｔ ｒ ｚ ｔ ｒ ｖ ｅ ｓｌ Ｏ９ ８ ． ． ｚ ｏ ａｇ ＃ ｄ ｏ ｅ ｓｌ０９８ ｃ ｐ ｎ ｓ ． ．ａ －
＃． ｏ ｆｇ ／ ｎ ｃ ｉ
据 两 部 分 组 成 。 中 ． 录头 一 般 包 含 的信 息 有 记 录 头 其 记
～ — —
ｃ ｅ ｔ ｅ ￣ ｒｈ＝ Ｈ ｎ Ｋ… Ｙ ｖ … … ｃ ｒ ｌ ｉ ａｔ Ｖ ｅ ｔｆ ｃ ｅ — …
“
ｅｒ
ｉ ； ～
“
— —
—
—
— —
Ｃ ａｇ Ｃｐ ｅ Ｓ ｄ ｈ ｎ ｅ ｉ ｈ ｒ ｐｅ
共有的密钥 ， 利用这把 密钥来 计算 出消息认 证码 ． 实现 数据的完整性
ｃｔ ｅｕ ｓ消息 向客户请求 一个证书 ： ａ Ｒ ｑ ｅｔ ｅ 最后 。 服务器发
送 Ｓ ｒｅＨｅｌＤ ｎ 。 ｅｖ ｒ ｌ ｏ ｅ ｏ
２ 基 于 Ｏｐ ｎ Ｓ ｅ Ｓ Ｌ安 全协 议 的应 用
数据安 全是 Ｗｅ ｂ应用 的一个重要 问题 ． 直接影 响
用 均 是 通 过 网 络进 行 。 然而 ． 网络 发 展 给 人 们 带来 方便
Ｓ Ｌ安全协议是一个两层 的协议族 ． Ｓ 高层是以 Ｓ Ｌ Ｓ 握手 协议 为代表的协议族 ． 低层是 Ｓ Ｌ记录协议 。Ｓ Ｌ Ｓ Ｓ 握 手协 议组族 由 Ｓ Ｌ握手 协议 、Ｓ Ｓ Ｓ Ｌ密钥交 换协议 和 Ｓ Ｌ警 告协议等组成 ．主要 负责在客户端 和服务器 之 Ｓ 间建立安全连接 ．协商加 密算 法和加密密钥 以及完 成 通 信双方身份验证 等功能。ＳＬ记录协议 的作用是将 Ｓ 上层 协议组和数据封装为记录 ．在通信双方之 间进行
传送 层 协议
＿ ＿ ； ｌ Ｉ ｌ 一 ＝
１ Ｓ ＳＬ安 全 协 议
Ｓ Ｌ安全套接字层协议 是由 Ｎ ｔ ａｅ 司于 １９ Ｓ ｅ ｃｐ 公 ｓ ９６
图１ Ｓ ＳＬ安 全协 议 在 网络 协 议 层 中的 位 置
年推 出的安全协议 ．它是使用公钥和私钥技术组合 的 安全 网络通信协议 。 为通信双方提供数据 的数据加 密 、 数据完整性以及可认证性等安全服务［ 使用 Ｓ Ｌ保证 ２ １ 。 Ｓ
作 者 简介 ： 吕翠 萍 （９７ ， ， 东济 宁 人 ， 师 ， 士 ， 究 方 向 为计 算机 网络 １７ 一）女 山 讲 硕 研
国 硐
管加 ｏ １ ｎ ｎ９ ９
嚼
Ｓ Ｌ握 手 协 议 族 ． 于 Ｓ Ｌ记 录 协 议 之 上 Ｓ Ｌ协 议 可 Ｓ 位 Ｓ Ｓ 务 器 提 供 的 证 书 ．并 判 断 ＳｒｅＨ ｌ ｅｖｒ ｅ ｏ的参 数 是 否 可 以 ｌ
言
数据 安全性 的基本原理是在网络环境中为两个通信实 体建 立一个 安全通 道 ， 数据在通道 内传送 ． 使 避免攻击
者 的非 法 获 取 和 篡 改
随 着计 算 机 技 术 和 Ｉｔ ｔ ｎｅ ｍｅ 的发 展 ． 网络 平 台 的 开
放性和便捷 性正逐渐 改变着人们 的工作 和生活 方式 ． 越来越 多的应用活动正逐渐从现实世界转移到虚拟 的 网络 中进 行 。 例如远 程操作 、 电子商务 、 视频会 议等应
ｔ ｃｔ 警 告 ， 后 客 户 发 送 Ｃｉ ｔ ｅＥ ｃ ａｇ 息 。 ｉ ａ ｉ ｆ ｅ 然 ｌ ｎＫ ｙ ｘｈｎｅ消 ｅ
１１ Ｓ 握 手 协 议 ． Ｓ Ｌ
Ｓ Ｌ握手协议是 用来在通 信双方传 送数据 之前建 Ｓ 立安全通 道 通信双方经过 多次握手协商加密 算法和 加 密密钥 以及 完成对通信 双方身份 的认证 Ｓ Ｌ握手 Ｓ
本文在 Ｌｎｘ环境下 实现基 于开源软 件 Ｏ ｅＳ Ｌ ｉｕ ｐｎＳ 的安全协议 ． ｂ服务器选 用支持 ＳＬ协议 的 Ａ ａｈ Ｗｅ Ｓ ｐｃ ｅ 服 务器 。 安装 开源 软件 Ｏ ｅｓｌ０９ ａ 进 行相 应 的配 ｐｎｓ ．８ ， 一 ． 置。 创建证书 和其他相关文件用 以实现 Ｓ Ｌ安全传输 。 Ｓ
＼
实 践 与 经验
基 于 Ｏｐ ｎ Ｓ ｅ Ｓ Ｌ的安全协议 Ｓ Ｌ的应 用 Ｓ
吕翠萍 ， 王 磊 ， 王 师琪
（ 宁职 业 技 术 学 院 ， 宁 ２ ２ ０ ） 济 济 ７ １０
摘 要 ： 绍 Ｓ Ｌ安 全 协 议 的组 成部 分 以及 实现 原理 ， 析 Ｓ Ｌ的 握 手 过 程 ， 对 其 安 全 性 进 行 分 介 Ｓ 分 Ｓ 并
ｉ ｅ 息 服 务 器 同样 发 送 Ｃ ａｇ Ｃｐ ｅＳ ｅ 消 息 和 ｓ ｄ消 ｈ ｈ ｎｅ ｉ ｒｐｃ ｈ ｉ ｓ ｄ消 ｆ ｉ ｅ 息 完 成 握 手 过 程 ｎｈ
Ｊ ｆ————一 Ｓ ｒ ｅ Ｈ ｌ ｏ ｅｖ ｒｅ ｌ－
器
，
＿ ＿ ＿ － － － － － － － －
Ｃｅ ｒｔ１ｔ１ ｃａ
然蒜 髫
— — — — — — 一
ｒ￣ ｌ
； ｔ Ｄ三 ￣Ｏ二 Ｏｔ二 ￣
一
蠢 登 甍
＆ ∞ ： ：
当握手过程完成时 ． 通信双方即可交换 数据 １２ Ｓ 记 录协 议 ． Ｓ Ｌ 在使用 Ｓ Ｌ安全协议进行传送时 ．所有 的数据 被 Ｓ 封装在 ＳＬ记录 中 一个 Ｓ Ｌ记 录由和非零长度 的数 Ｓ Ｓ