專業(yè)互聯(lián)網(wǎng)基礎服務提供商單向ssl 服務器證書與雙向ssl 服務器證書的主要區(qū)別電子商務已經(jīng)滲透到我們生活的方方面面，網(wǎng)絡安全問題也越來越受到大家的廣泛關注。ssl 服務器證書就是針對網(wǎng)站服務器端和客

專業(yè)互聯(lián)網(wǎng)基礎服務提供商

單向ssl 服務器證書與雙向ssl 服務器證書的主要區(qū)別

電子商務已經(jīng)滲透到我們生活的方方面面，網(wǎng)絡安全問題也越來越受到大家的廣泛關注。ssl 服務器證書就是針對網(wǎng)站服務器端和客戶瀏覽器之間信息傳輸安全性的協(xié)議，簡單來講就是我們訪問網(wǎng)頁地址欄會出現(xiàn)https 以及鎖形標識，有單向服務器證書和雙向服務器證書之分，相信很多人并不了解他們有何異同，下面我們來了解下二者的主要區(qū)別。

一、單向服務器證書認證過程

1、客戶端的瀏覽器向服務器傳送客戶端加密協(xié)議的版本號，加密算法的種類，產(chǎn)生的隨機數(shù)，以及其他服務器和客戶端之間通訊所需要的各種信息。

2、服務器端向客戶端傳送SSL 協(xié)議的版本號，加密算法的種類，隨機數(shù)以及其他相關信息，同時服務器端還將向客戶端傳送自己的證書。

3、客戶端利用服務器端傳送過來的信息驗證服務器的合法性，服務器的合法性包括：發(fā)行ssl 服務器證書的CA 是否可靠，發(fā)行者證書的公鑰能否正確解開服務器證書的" 發(fā)行者的數(shù)字簽名" ，證書是否過期，服務器證書上的域名是否和網(wǎng)站實際域名相匹配。如果合法性驗證未通過，通訊將斷開; 如果合法性驗證通過，將繼續(xù)進行第四步。

4、用戶端隨機產(chǎn)生一個用于后面通訊的" 對稱密碼" ，然后用服務器的公鑰(服務器的公鑰從步驟2中的服務器的證書中獲得) 對其加密，再將加密后的" 預主密碼" 傳送給服務器端。

5、如果服務器要求客戶端的身份認證(在握手過程中為可選) ，用戶可以建立一個隨機數(shù)然后對其進行數(shù)據(jù)簽名，將這個含有簽名的隨機數(shù)和客戶端自己的證書以及加密過的" 預主密碼" 一起傳給服務器端。

6、如果服務器端要求客戶端的身份認證，服務器端必須檢驗客戶端證書和簽名隨機數(shù)的合法性，具體的合法性驗證過程包括：客戶端的證書使用日期是否有效，為客戶提供證書的CA 是否可靠，公鑰能否正確解開客戶端證書的發(fā)行CA 的數(shù)字簽名，檢查客戶端的證書是否在證書廢止列表(CRL)中。檢驗如果沒有通過，

通訊立刻中

專業(yè)互聯(lián)網(wǎng)基礎服務提供商

斷; 驗證如果通過，服務器將用自己的私鑰解開加密的" 預主密碼 " ，然后執(zhí)行一系列步驟來產(chǎn)生主通訊密碼(客戶端也將通過同樣的方法產(chǎn)生相同的主通訊密碼) 。

7、服務器端與客戶端用相同的主密碼即" 通話密碼" ，一個對稱密鑰用于服務器證書的安全數(shù)據(jù)通訊的加密通訊。同時在加密通訊過程中還要完成數(shù)據(jù)通訊的完整性，防止數(shù)據(jù)通訊中的任何變化。

8、客戶端向服務器端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟7中的主密碼為對稱密鑰，同時通知服務器客戶端的握手過程結(jié)束。

9、服務器向客戶端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟7中的主密碼為對稱密鑰，同時通知客戶端服務器端的握手過程結(jié)束。

10、服務器證書的握手部分結(jié)束，SSL 安全通道的數(shù)據(jù)通訊開始，客戶端和服務器端開始使用相同的對稱密鑰進行數(shù)據(jù)通訊，同時進行通訊完整性的檢驗。

總結(jié)：單向認證只要求站點部署ssl 服務器證書就行，任何用戶都可以去訪問(IP被限制除外等) 。

二、雙向服務器證書認證過程

1、 瀏覽器發(fā)送一個連接請求給安全服務器。

2、 服務器將自己的證書，以及同證書相關的信息發(fā)送給客戶瀏覽器。

3、 客戶瀏覽器檢查服務器端發(fā)送過來的證書是否是由自己信賴的CA 簽發(fā)的。如果是，就繼續(xù)執(zhí)行協(xié)議; 如果不是，客戶瀏覽器就給客戶一個警告消息：警告客戶這個證書是不可以信賴的，詢問客戶是否需要繼續(xù)。

4、接著客戶瀏覽器比較證書里的消息，例如域名和公鑰，與服務器剛剛發(fā)送的相關信息是否一致，如果是一致的，客戶瀏覽器就會認可這個服務器的合法身份。

5、服務器要求客戶發(fā)送客戶自己的證書。收到后，服務器端驗證客戶端證書，如果沒有通過驗證，拒絕連接; 如果通過驗證，服務器端獲得用戶的公鑰。

6、客戶瀏覽器告訴服務器自己所能夠支持的通訊對稱密碼方案。服務器從客戶7、發(fā)送過來的密碼方案中，選擇一種加密程度最高的密碼方案，用客戶的公鑰加過密后通知瀏覽器。

專業(yè)互聯(lián)網(wǎng)基礎服務提供商

8、瀏覽器針對這個密碼方案，選擇一個通話密鑰，接著用服務器的公鑰加過密后發(fā)送給服務器。

9、服務器端接收到客戶瀏覽器端發(fā)送過來的消息，用自己的私鑰解密，獲得通話密鑰。

10、服務器、瀏覽器接下來的通訊都是用對稱密碼方案，對稱密鑰是加過密的。

總結(jié)：雙向服務器證書認證需要服務器端與客戶端提供身份認證，只能是服務端允許的客戶能去訪問，安全性相對要高一些。

三、單向服務器證書認證與雙向服務器證書認證的主要區(qū)別

單向認證 SSL 協(xié)議不需要客戶擁有CA 證書，具體的過程相對于上面的步驟，只需將服務器端驗證客戶證書的過程去掉，以及在協(xié)商對稱密碼方案，對稱通話密鑰時，服務器發(fā)送給客戶的是沒有加過密的(這并不影響服務器證書加密過程的安全性) 密碼方案。雙向認證 SSL 協(xié)議要求服務器端和用戶瀏覽器端雙方都有證書。這樣，雙方具體的通訊內(nèi)容，就是加過密的數(shù)據(jù)，如果有第三方攻擊，獲得的只是加密的數(shù)據(jù)，第三方要獲得有用的信息，就需要對加密的數(shù)據(jù)進行解密，這時候的安全就依賴于密碼方案的安全。而幸運的是，目前所用的密碼方案，只要通訊密鑰長度足夠的長，就足夠的安全。