SSL中针对伪装攻击的技术改进.docVIP

SSL中针对伪装攻击的技术改进 　　摘要：SSL协议是在TCP/IP的IP套接层的安全协议，应用越来越广泛，但是在实际应用过程中遇到的一些非法攻击，本文并对本文针对在SSL连接中出现的伪装攻击，提出一种安全可行的解决方案。 　　关键词：SSL；伪装攻击；信息安全 　　中图分类号：TP309.7 文献标识码：A文章编号：1007-9599 （2011） 05-0000-02 　　Technological Improvement for Disguised Attack in SSL 　　Liu Zhe,Xu Ruzhi,Zhao Huawei 　　（Shandong University of Finance School of ComputerInformation Engineering,Jinan250014,China） 　　Abstract:SSL protocol is the security protocol used in IP socket layer of TCP/IP,which is widely applied,but disguised attack appears in practical application,for the disguised attack in SSL,this article supplies a safe and feasible solutions. 　　Keywords:SSL;Disguised attack;Information safety 　　随着Intenet的迅猛发展，互联网通信已成为日常生活的一部分。但是，由于数据在传输过程中往往是以明文形式存在的，使得信息很容易被他人截获；从而造成个人信息的泄漏，企业机密的盗取，甚至威胁国家的安全。因此，一种全新的数据加密协议孕育而生――安全套接层SSL（Secure Socket Layer）。该协议是由Netscap公司设计开发的安全协议，主要用于提高应用程序之间数据的安全系数。SSL协议的概念可以概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP/IP协议的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施，通过协商必要的加密算法和密钥材料，创建一个安全的通信连接，为用户提供Internet和企业内联网的安全通信服务。 　　SSL协议在电子商务中得到广泛的应用。不仅是银行、证?坏冉鹑谄笠担?越来越多的政府部门也都采用了SSL协议。可见，SSL协议还是人们比较信任的安全协议。 　　本文先对SSL协议的工作原理进行简要介绍，然后指出在实际应用SSL过程中遇到的一些非法攻击，并对其进行重点分析；最后提出一种可行的解决方案。 　　一、SSL协议的工作原理 　　SSL协议处于应用层和传输层之间，独立于应用层。SSL协议可以适用于各种应用程序协议（如：Http、FTP、NMTP、Telenet等）；为TCP/IP连接提供数据加密、消息完整性、服务器认证等功能；从而实现应用程序之间的数据加密，确保数据在传输过程中的安全性以及完整性。 　　SSL协议通常经由两个部分来实现数据的传输安全。这两个部分分别是：SSL握手协议（Handshake Protocol）和SSL记录协议（Record Protocol）。 　　（一）SSL握手协议（Handshake Protocol） 　　该协议主要是用于在客户端与服务器之间协商保护数据的算法，确立在协商好的算法上使用的加密密钥，以及还会提供所需的服务器认证和客户端认证。如图1：握手协议。 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　 　　在这四个阶段过程中，客户端和服务器端分别会产生用于生成对称密钥的client_random、server_random； 除此以外，客户端也会产生一个48字节的pre_master_secret，并以密文的形式传输给服务器端。在握手协议的最后阶段，客户端和服务器端分别运算生成将要被使用的master_secret。 　　计算主秘密的技术规范如下： 　　master_secret=MD5（pre_master_secret||SHA（“A”||pre_master_secret||client_random || server_random））||MD5（pre_master_secret||SHA（“BB”||pre_master_secret||client_random||server_random））||MD5（pre_master_secret||SHA（“CCC”||