“黑客”深度学习之“SSL宁静协议详解”

"SSL"协议关于黑客武艺学习,是必必要把握的,由于它在很多使用通讯中无处不在。

"SSL"这个名词，约莫各位没怎样听说过，但是它的一个使用各位一定都熟习，那就是"HTTPS"！

HTTPS是基于SSL宁静毗连的HTTP协议。HTTPS经过SSL提供的数据加密、身份验证和消息完备性验证等宁静机制，为Web拜候提供了宁静性确保，广泛使用于网上银行、电子商务等范畴。

"SSL"是不是很牛！今天我就给各位以本篇文章内容具体剖析一下"SSL"宁静协议！

一、"SSL"简介

1、基本界说

宁静套接字（Secure Socket Layer，SSL）协议是Web欣赏器与Web办事器之间宁静互换信息的协议，提供两个基本的宁静办事：辨别与保密。

2、产生背景

基于因特网的电子商务和网上银行等新兴使用，极大场合便了人们的平常生存，遭到人们的喜爱。由于这些使用都必要在网络上举行在线买卖，它们对网络通 信的宁静性提出了更高的要求。

传统的因特网协议HTTP不具有宁静机制——接纳明文的情势传输数据、不克不及验证通讯两边的身份、无法避免传输的数据被窜改 等，招致HTTP无法满意电子商务和网上银行等使用的宁静性要求。

Netscape公司提出的宁静协议SSL，使用数据加密、身份验证和消息完备性验证机制，为网络上数据的传输提供宁静性确保。SSL可以为HTTP提供宁静毗连，从而很大水平上改良了因特网的宁静性成绩

3、SSL武艺优点与不敷

优点：

1) 提供较高的宁静性确保

SSL使用数据加密、身份验证和消息完备性验证机制，确保网络上数据传输的宁静性。

2) 支持种种使用层协议。

固然SSL计划的初志是为了处理万维网宁静性成绩，但是由于SSL位于使用层和传输层之间，它可以为任何基于TCP等可靠毗连的使用层协议提供宁静性确保。

3) 摆设简便。

现在SSL以前成为网络中用来辨别网站和网页欣赏者身份，在欣赏器使用者及Web办事器之间举行加密通讯的举世化标准。SSL协议已被集成到大局部的欣赏器中，如IE、Netscape、Firefox等。这就意味着几乎随意一台装有欣赏器的盘算机都支持SSL毗连，不必要安装分外的客户端软件。

SSL协议的不敷：

1）SSL要求对每个数据举行加密息争密利用，因此在带来高功能的同时，对体系也要求高资源开支。

2）SSL协议主要是使用公开密钥体制和X.509数字证书武艺保护信息传输的奥密性和完备性，它不克不及确保信息的不成承认性，主要实用于点对点之间的信息传输，常用Web Server办法。 3）SSL为带有宁静功效的TCP/IP套接字使用步骤接口提供了一个交换的办法，实际上，在SSL之上可以宁静办法运转任何原有TCP/IP使用步骤而不需修正，但实践上，SSL现在还只是用在HTTP毗连上。

二、SSL协议的事情原理

1、SSL协议所处的地点

SSL介于使用层和TCP层之间。使用层数据不再直接转达给传输层，而是传

递给SSL层，SSL层对从使用层收到的数据举行加密，并增长本人的SSL头。

如上图所示，SSL位于使用层和传输层之间，它可以为任何基于TCP等可靠毗连的使用层协议提供宁静性确保。SSL协议本身份为两层：

表层为SSL握手协议（SSL handshake protocol）、SSL暗码厘革协议（SSL change cipher spec protocol）和SSL告诫协议（SSL alert protocol）

底层为SSL纪录协议（SSL record protocol）。

此中：

SSL握手协议：是SSL协议十分紧张的构成局部，用来协商通讯历程中使用的加密套件（加密算法、密钥互换算法和MAC算法等）、在办事器和客户端之间宁静地互换密钥、完成办事器和客户端的身份验证。

SSL暗码厘革协议：客户端和办事器端经过暗码厘革协议关照对端，随后的报文都将使用新协商的加密套件和密钥举行保护和传输。

SSL告诫协议：用来向通讯对端报告告警信息，消息中包含告警的严峻级别和形貌。

SSL纪录协议：主要卖力对表层的数据（SSL握手协议、SSL暗码厘革协议、SSL告诫协媾和使用层协议报文）举行分块、盘算并添加MAC值、加密，并把处理后的纪录块传输给对端。

2、协议宁静机制

1) 传输数据的奥密性

网络上传输的数据十分容易被不法用户盗取，SSL接纳在通讯两方之间创建加密通道的办法确保传输数据的奥密性。

所谓加密通道，是指发送方在发送数据前，使用加密算法和加密密钥对数据举行加密，然后将数据发送给对方。吸收方吸收到数据后，使用解密算法息争密密钥从密文中获取明文。没有解密密钥的第三方，无法将密文规复为明文，从而保 证传输数据的奥密性。

SSL加密通道上的数据加解密使用对称密钥算法，主要支持的算法有DES、3DES、AES等，这些算法都可以好效地避免交互数据被窃听。

2) 身份验证机制

电子商务和网上银行等使用中必需确保要登录的Web办事器是真实的，以免紧张信息被不法盗取。SSL使用数字署名来验证通讯对端的身份。

非对称密钥算法可以用来完成数字署名。由于经过私钥加密后的数据只能使用对应的公钥举行解密，因此依据解密对否告捷，就可以推断发送者的身份，好像发送者对数据举行了"署名"。

SSL客户端必需验证SSL办事器的身份，SSL办事器对否验证SSL客户端的身份，则由SSL办事器决定。

使用数字署名验证身份时，必要确保被验证者的公钥是真实的，不然，不法用户约莫会假冒被验证者与验证者通讯。如下图所示，Cindy假冒Bob，将本人的公钥发给Alice，并使用本人的私钥盘算出署名发送给Alice，Alice使用"Bob"的公钥（实践上为Cindy的公钥）告捷验证该署名，则Alice以为Bob的身份验证告捷，而实践上与Alice通讯的是假冒Bob的Cindy。SSL使用PKI提供的机制确保公钥的真实性。PKI武艺在我之前的文章里有具体论述。

3) 消息完备性验证

为了制止网络中传输的数据被不法窜改，SSL使用基于MD5或SHA的MAC算法来确保消息的完备性。

MAC算法是在密钥到场下的数据择要算法，能将密钥和随意长度的数据转换为安稳长度的数据。使用MAC算法验证消息完备性的历程如下图所看到的。

发送者在密钥的到场下，使用MAC算法盘算出消息的MAC值。并将其加在消息之后发送给吸收者。吸收者使用相反的密钥和MAC算法盘算出消息的MAC值。并与吸收到的MAC值比較。假定二者相反。则报文没有改动；不然，报文在传输历程中被窜改，吸收者将丢弃该报文。

MAC算法具有如以下特性，使其可以用来验证消息的完备性：

消息的不管什么改动，都市惹起输入的安稳长度数据产生厘革。经过比較MAC值，可以确保吸收者可以发觉消息的改动。

MAC算法必要密钥的參与。因此没有密钥的不法用户在改动消息的内容后，无法到场准确的MAC值。从而确保不法用户无法随意窜改消息内容。

3、SSL协议握手历程

SSL经过握手历程在客户端和办事器之间协商会话参数，并创建会话。会话包含的主要参数有会话ID、对方的证书、加密套件（密钥互换算法、数据加密算法和MAC算法等）以及主密钥（master secret）。经过SSL会话传输的数据，都将接纳该会话的主密钥和加密套件举行加密、盘算MAC等处理。

不同情况下，SSL握手历程存在差别。底下将分散形貌以下三种情况下的握手历程：

1) 只验证办事器的SSL握手历程

历程如下：

(1) SSL客户端经过Client Hello消息将它支持的SSL版本、加密算法、密钥互换算法、MAC算法等信息发送给SSL办事器。

(2) SSL办事器确定本次通讯接纳的SSL版本和加密套件，并经过Server Hello消息关照给SSL客户端。假如SSL办事器允许SSL客户端在今后的通讯中重用本次会话，则SSL办事器会为本次会话分派会话ID，并经过Server Hello消息发送给SSL客户端。

(3) SSL办事器将携带本人公钥信息的数字证书经过Certificate消息发送给SSL客户端。

(4) SSL办事器发送Server Hello Done消息，关照SSL客户端版本和加密套件协商完毕，开头举行密钥互换。

(5) SSL客户端验证SSL办事器的证书合法后，使用证书中的公钥加密SSL客户端随机天生的premaster secret，并经过Client Key Exchange消息发送给SSL办事器。

(6) SSL客户端发送Change Cipher Spec消息，关照SSL办事器后续报文将接纳协商好的密钥和加密套件举行加密和MAC盘算。

(7) SSL客户端盘算已交互的握手消息（除Change Cipher Spec消息外一切已交互的消息）的Hash值，使用协商好的密钥和加密套件处理Hash值（盘算并添加MAC值、加密等），并经过Finished消息发送给SSL办事器。SSL办事器使用相反的办法盘算已交互的握手消息的Hash值，并与Finished消息的解密后果比力，假如二者相反，且MAC值验证告捷，则证实密钥和加密套件协商告捷。

(8) 相反地，SSL办事器发送Change Cipher Spec消息，关照SSL客户端后续报文将接纳协商好的密钥和加密套件举行加密和MAC盘算。

(9) SSL办事器盘算已交互的握手消息的Hash值，使用协商好的密钥和加密套件处理Hash值（盘算并添加MAC值、加密等），并经过Finished消息发送给SSL客户端。SSL客户端使用相反的办法盘算已交互的握手消息的Hash值，并与Finished消息的解密后果比力，假如二者相反，且MAC值验证告捷，则证实密钥和加密套件协商告捷。

SSL客户端吸收到SSL办事器发送的Finished消息后，假如解密告捷，则可以推断SSL办事器是数字证书的拥有者，即SSL办事器身份验证告捷，由于仅有拥有私钥的SSL办事器才干从Client Key Exchange消息中解密取得premaster secret，从而直接地完成了SSL客户端对SSL办事器的身份验证。

2) 验证办事器和客户端的SSL握手历程

历程如下：

(1) SSL办事器发送Certificate Request消息，哀求SSL客户端将其证书发送给SSL办事器。

(2) SSL客户端经过Certificate消息将携带本人公钥的证书发送给SSL办事器。SSL办事器验证该证书的合法性。

(3) SSL客户端盘算已交互的握手消息、主密钥的Hash值，使用本人的私钥对其举行加密，并经过Certificate Verify消息发送给SSL办事器。

(4) SSL办事器盘算已交互的握手消息、主密钥的Hash值，使用SSL客户端证书中的公钥解密Certificate Verify消息，并将解密后果与盘算出的Hash值比力。假如二者相反，则SSL客户端身份验证告捷。

3) 恢复原有会话的SSL握手历程

(1) SSL客户端发送Client Hello消息，消息中的会话ID设置为方案重用的会话的ID。

(2) SSL办事器假如允许重用该会话，则经过在Server Hello消息中设置相反的会话ID来应对。如此，SSL客户端和SSL办事器就可以使用原有会话的密钥和加密套件，不必重新协商。

(3) SSL客户端发送Change Cipher Spec消息，关照SSL办事器后续报文将接纳原有会话的密钥和加密套件举行加密和MAC盘算。

(4) SSL客户端盘算已交互的握手消息的Hash值，使用原有会话的密钥和加密套件处理Hash值，并经过Finished消息发送给SSL办事器，以便SSL办事器推断密钥和加密套件对否准确。

(5) 相反地，SSL办事器发送Change Cipher Spec消息，关照SSL客户端后续报文将接纳原有会话的密钥和加密套件举行加密和MAC盘算。

(6) SSL办事器盘算已交互的握手消息的Hash值，使用原有会话的密钥和加密套件处理Hash值，并经过Finished消息发送给SSL客户端，以便SSL客户端推断密钥和加密套件对否准确

4、使用抓包东西直观分析SSL握手毗连历程

底下从抓包数据来具体分析这一历程并分析各局部数据的作用以及照完成前方列出的握手的目标，固然了，最紧张的照旧分析为何这一历程是宁静可靠的，第三方无法截获，窜改大概假冒。

SSL一次哀求与呼应全体流程图：

1) client发送ClientHello

每一条消息都市包含有ContentType,Version,HandshakeType等信息。

2) server回应ServerHello

这里多了个session id,假如SSL毗连断开，再次毗连时，可以使用该属性重新创建毗连，在两边都有缓存的情况下可以省略握手的步调。

server端也会天生随机的RN，用于天生session key使用。

server会从client发送的Cipher suite列表中跳出一个，这里挑选的是RSA+RC4+MD5

这次server共发送的3个handshake 消息:Serverhello，Certificate和ServerHelloDone，共用一个ContentType:Handshake

3) server发送Certificate

server的证书信息，只包含public key，server将该public key对应的private key保存好，用于证实server是该证书的实践拥有者，那么怎样验证呢？原理很简便：client随机天生一串数，用server这里的public key加密(显然是RSA算法)，发给server，server用private key解密后前往给client，client与原文比力，假如一律，则分析server拥有private key，也就分析与client通讯的正是证书的拥有者，由于public key加密的数据，仅有private key才干解密，现在的武艺还没发破解。使用这个原理，也能完成session key的互换，加密前的那串随机数就可用作session key，由于除了client和server，没有第三方能取得该数据了。原理很简便，实践使用时会繁复很多，数据颠末多次hash，伪随机等的运算，前方提到的client和server端得RN都市到场盘算。

4) Server发送ServerHelloDone

5) Client发送ClientKeyExchange

client拿到server的certificate后，就可以开头使用certificate里的public key举行session key的互换了。从图中可以看出，client发送的是130字节的字节流，显然是加过密的。client随机天生48字节的Pre-mastersecret，padding后用public key加密就取得这130字节的数据发送给server，server解密也能取得Pre-mastersecret。两边使用pre-master secret, "mastersecret"常量字节流，前一阶段互换的server端RN和client的RN作为参数，使用一个伪随机函数PRF，但是就是hash之后再hash，最初取得48字节的master secret。master secret再与"key expansion"常量，两边RN颠末伪随机函数运算取得key_block，PRF伪随机函数可以可以仿佛循环输入数据，因此我们想取得几多字节都可以，就如Random伪随机函数，给它一个种子，后续用hash盘算能取得多数个随机数，假如每次种子相反，取得的序列是一样的，但是这里的输入时48字节的master secret，2个28字节的RN和一个字符串常量，碰撞的约莫性是很小的。取得key block后，算法，就从中取出session key，IV(对称算法中使用的初始化向量)等。client和server使用的session key是不一样的，但只需两边都晓得对方使用的是什么就行了。这里会取出4个：client/server加密要文的key，client/server盘算handshake数据hash的key。

6) Client发送ChangeCipherSpec

client指示Server从如今开头发送的消息都是加密过的。

7) 7.Client发送Finished

client发送的加密数据，这个消息十分紧张，一是能证实握手数据没有被窜改正，二也能证实本人的确是密钥的拥有者(这里是单边验证，仅有server有certificate，server发送的Finished能证实本人含有private key，原理是一样的)。client将之前发送的一切握手消息存入handshakemessages缓存，举行MD5和SHA-1两种hash运算，再与前方的master secret和一串常量"client finished"举行PRF伪随机运算取得12字节的verify data，还要颠末改良的MD5盘算取得加密信息。为什么能证实上述两点呢，前方说了仅有密钥的拥有者才干解密取得pre-master key，master key，最初取得key block后，举行hash运算取得的后果才与发送方的一律。

8) Server发送ChangeCipherSpec

Server指示client从如今开头发送的消息都是加密过的。

9) Server发送Finishd

与client发送Finished盘算办法一律。server发送的Finished里包含hash给client，client会举行校验，假如经过，分析握手历程中的数据没有被第三方窜改正，也分析server是之前互换证书的拥有者。如今两边就可以开头后续通讯，进入Application context了。

三、SSL的使用场景

SSL协议主要使用于"HTTPS"和"SSL VPN"两大场景。

HTTPS经过SSL提供的数据加密、身份验证和消息完备性验证等宁静机制，为Web拜候提供了宁静性确保。

比如某银举动了便利客户，提供了网上银行业务，客户可以经过拜候银行的Web办事器举行帐户查询、转帐等。经过在客户和银行的Web办事器之间创建SSL毗连，可以确保客户的信息不被不法盗取

SSL VPN是以SSL为基本的VPN武艺，使用SSL提供的宁静机制，为用户长程拜候公司内里网络提供了宁静确保。SSL VPN经过在长程接入用户和SSL VPN网关之间创建SSL宁静毗连，允许用户经过种种Web欣赏器，种种网络接入办法，在任何场合长程拜候企业网络资源，并可以确保企业网络的宁静，保护企业内里信息不被盗取。

四、SSL有缺陷吗？可否被"黑客"攻破？

宁静套接层(SSL)被用于保护多数的网络用户，但是它有什么缺陷呢?迩来几年显现了很多专门打击SSL的打击。固然这个武艺实践上照旧比力宁静的，但是打击者不休在寻觅毛病绕过宁静协媾和标准。此中SSL是他们的主要目标。SSL被用于保护敏感的超文本传输协议(HTTP)流量。有一些打击者则不如此想，他们不休在寻觅拜候敏感数据的新办法。

底下主要先容稀有"SSL"打击办法：

1、诈骗伎俩

诈骗用户接入一个错误的证书。这是一种打击SSL用户的常用办法。其办法是让用户掉臂看到的告诫或错误，仍旧坚持拜候这个网站。固然倡导这种打击很简便，但是它要求受打击者承受一个分明有成绩的证书。大大多用户都市发觉这种诈骗举动;因此，这种要挟的级别较低。

2、虚伪证书

固然这种办法听起来有一些牵强，但是它以前取得告捷。偶尔打击者可以取得一个好效的证书，然后用它们实行恶意举动。比如，在2011年，有打击者攻破了荷兰证书受权的宁静机制，然后伪造了雅虎、谷歌、Wordpress等网站的证书。在取得好效的证书之后，这些打击者绕过了HTTPS保护。但是，这种打击的全体级别仍旧比力低。

3、移除SSL，直接经过明文发送数据

2009年显现了一种新的SSL打击办法，它来自于SSLStrip。这个东西不会让用户看到告诫信息，而是充任一个署理办事器的作用，去掉了HTTPS的S(宁静性)，如此用户就只能经过HTTP直接拜候。SSLStrip还允许打击者给用户看到加锁网站图标，以是发觉错误的唯一办法就是欣赏器地点栏只体现HTTP，而不是HTTPS。假如用户没有注意到这个渺小不同，那么打击者就可以拜候到受保护的数据。这种打击的要挟级别属于中级。

4、破解密钥

现在大大多证书都使用1024位或2048位密钥。2048位密钥十分可靠，想要使用一台平凡桌面电脑来暴力破解它，这几乎是不成能的。即使云云，以前有报告指出，National Security Agency以前告捷取得了SSL流量的拜候。固然有人以为NSA约莫发觉了新的量子盘算武艺，但是这个机构完全有约莫直接取得了加密密钥大概在软件和硬件中植入了后门(入口)。NSA及其他拜候宁静数据的办法的要挟级别还不确定。

5、正中人打击

这种打击是一种主动窃听情势，打击者将经过独立毗连拜候打击目标，然后向办事器发送信息。此中一个例子就是Lucky 13，它是用传输层宁静媒体拜候控制盘算的13位头信息定名的。固然这种密文打击在实际上是约莫完成的，但是它要求先控制情况，并且必要很长的时间;以是，它的要挟级别十分低。

6、边信道打击

已往几年显现了多次边信道打击，它以前证实可用于规复验证所使用的HTTP哀求和Cookies。 经过顺应性超文本紧缩完成的欣赏器侦测和泄漏(BREACH)就是一个例子。BREACH使用紧缩和HTPP呼应，它们寻常都使用gzip等机制紧缩。关于约莫遭到打击的使用，它必需使用HTTP级紧缩，在HTTP呼应中到场用户输入，然后暴露HTTP呼应体的跨站哀求伪造令牌。固然这在实际上是可行的，但是有一些办法可以克制这种打击，因此它的要挟级别也较低。

7、Downgrade（升级打击）

升级打击是一种对盘算机体系大概通讯协议的打击，在升级打击中，打击者存心使体系丢弃新型、宁静性高的事情办法，反而使用为向下兼容而准备的老式、宁静性差的事情办法，升级打击常被用于正中人打击，讲加密的通讯协议宁静性大幅减弱，得以举行原本不成能做到的打击。 在古代的回退防守中，使用单独的信号套件来指示志愿升级举动，必要了解该信号并支持更高协议版本的办事器来停止协商，该套件是TLS_FALLBACK_SCSV(0x5600)

8、CRIME（罪行打击）

CRIME(CVE-2012-4929)，全称Compression Ratio Info-leak Made Easy，这是一种因SSL紧缩形成的宁静隐患，经过它可盗取启用数据紧缩特性的HTTPS或SPDY协议传输的私密Web Cookie。在告捷读取身份验证Cookie后，打击者可以实行会话挟制和倡导进一步打击。

SSL 紧缩本人述版本是默许关闭的： nginx 1.1.6及更高/1.0.9及更高（假如使用了 OpenSSL 1.0.0及更高）， nginx 1.3.2及更高/1.2.2及更高（假如使用较旧版本的 OpenSSL）。

假如你使用一个早前版本的 nginx 或 OpenSSL，并且你的刊行版没有向后移植该选项，那么你必要重新编译没有一个 ZLIB 支持的 OpenSSL。这会克制 OpenSSL 使用 DEFLATE 紧缩办法。假如你禁用了这个，你仍旧可以使用常规的 HTML DEFLATE 紧缩。

9、Heartbleed（心血毛病）

Heartbleed(CVE-2014-0160) 是一个于2014年4月公布的 OpenSSL 加密库的毛病，它是一个被广泛使用的传输层宁静（TLS）协议的完成。无论是办事器端照旧客户端在 TLS 中使用了有缺陷的 OpenSSL，都可以被使用该缺陷。由于它是因 DTLS 心跳扩展（RFC 6520）中的输入验证不准确（短少了界限反省）而招致的，以是该毛病依据"心跳"而定名。这个毛病是一种缓存区超读毛病，它可以读取到本不应该读取的数据。假如使用带缺陷的Openssl版本，无论是办事器照旧客户端，都约莫因此遭到打击。

10、POODLE毛病（卷毛狗打击）

2014年10月14号由Google发觉的POODLE毛病，全称是Padding Oracle On Downloaded Legacy Encryption vulnerability，又被称为"高朋犬打击"（CVE-2014-3566），POODLE毛病只对CBC形式的明文举行了身份验证，但是没有对添补字节举行完备性验证，打击者盗取接纳SSL3.0版加密通讯历程中的内容，对添补字节修正并且使用预置添补来规复加密内容，以到达打击目标。

11、TLS POODLE（TLS卷毛狗打击）

TLS POODLE(CVE-2014-8730) 该毛病的原理和POODLE毛病的原理一律，但不是SSL3协议。由于TLS添补是SSLv3的一个子集，因此可以重新使用针对TLS的POODLE打击。TLS关于它的添补格式好坏常严厉的，但是一些TLS完成在解密之后不实行添补布局的反省。即使使用TLS也不会容易遭到POODLE打击的影响。

12、DROWN（溺水打击/溺亡打击）

2016年3月发觉的针对TLS的新毛病打击——DROWN（Decrypting RSA with Obsolete and Weakened eNcryption，CVE-2016-0800），也即使用过时的、弱化的一种RSA加密算法来解密破解TLS协议中被该算法加密的会话密钥。 具体说来，DROWN毛病可以使用过时的SSLv2协议来解密与之共享相反RSA私钥的TLS协议所保护的流量。 DROWN打击依托于SSLv2协议的计划缺陷以及着名的Bleichenbacher打击。