SSL là gì ?

Việc kết nối giữa một Web browser tới bất kỳ điểm nào trên mạng Internet đi qua rất nhiều các hệ thống độc lập mà không có bất kỳ sự bảo vệ nào với các thông tin trên đường truyền. Không một ai kể cả người sử dụng lẫn Web server có bất kỳ sự kiểm soát nào đối với đường đi của dữ liệu hay có thể kiểm soát được liệu có ai đó thâm nhập vào thông tin trên đường truyền. Để bảo vệ những thông tin mật trên mạng Internet hay bất kỳ mạng TCP/IP nào, SSL...
Nội dung trích xuất từ tài liệu:
SSL là gì ?I.SSL là gì?Nguồn:forum.t3h.vnViệc kết nối giữa một Web browser tới bất kỳ điểm nào trên mạng Internetđi qua rất nhiều các hệ thống độc lập mà không có bất kỳ sự bảo vệ nàovới các thông tin trên đường truyền. Không một ai kể cả người sử dụnglẫn Web server có bất kỳ sự kiểm soát nào đối với đường đi của dữ liệuhay có thể kiểm soát được liệu có ai đó thâm nhập vào thông tin trênđường truyền. Để bảo vệ những thông tin mật trên mạng Internet hay bấtkỳ mạng TCP/IP nào, SSL đã kết hợp những yếu tố sau để thiết lập đượcmột giao dịch an toàn:Xác thực: đảm bảo tính xác thực của trang mà bạn sẽ làm việc ở đầu kiacủa kết nối. Cũng như vậy, các trang Web cũng cần phải kiểm tra tính xácthực của người sử dụng.Mã hoá: đảm bảo thông tin không thể bị truy cập bởi đối tượng thứ ba. Đểloại trừ việc nghe trộm những thông tin “ nhạy cảm” khi nó được truyềnqua Internet, dữ liệu phải được mã hoá để không thể bị đọc được bởinhững người khác ngoài người gửi và người nhận.Toàn vẹn dữ liệu: đảm bảo thông tin không bị sai lệch và nó phải thể hiệnchính xác thông tin gốc gửi đến.Với việc sử dụng SSL, các Web site có thể cung cấp khả năng bảo mậtthông tin, xác thực và toàn vẹn dữ liệu đến người dùng. SSL được tíchhợp sẵn vào các browser và Web server, cho phép người sử dụng làmviệc với các trang Web ở chế độ an toàn. Khi Web browser sử dụng kếtnối SSL tới server, biểu tượng ổ khóa sẽ xuất hiện trên thanh trạng tháicủa cửa sổ browser và dòng “http” trong hộp nhập địa chỉ URL sẽ đổithành “https”. Một phiên giao dịch HTTPS sử dụng cổng 443 thay vì sửdụng cổng 80 như dùng cho HTTP.II.Giao thức SSLĐược phát triển bởi Netscape, ngày nay giao thức Secure Socket Layer(SSL) đã được sử dụng rộng rãi trên World Wide Web trong việc xác thựcvà mã hoá thông tin giữa client và server. Tổ chức IETF (InternetEngineering Task Force ) đã chuẩn hoá SSL và đặt lại tên là TLS(Transport Layer Security). Mặc dù là có sự thay đổi về tên nhưng TSL chỉlà một phiên bản mới của SSL. Phiên bản TSL 1.0 tương đương với phiênbản SSL 3.1. Tuy nhiên SSL là thuật ngữ được sử dụng rộng rãi hơn.SSL được thiết kế như là một giao thức riêng cho vấn đề bảo mật có thểhỗ trợ cho rất nhiều ứng dụng. Giao thức SSL hoạt động bên trên TCP/IPvà bên dưới các giao thức ứng dụng tầng cao hơn như là HTTP (HyperText Transport Protocol), IMAP ( Internet Messaging Access Protocol) vàFTP (File Transport Protocol). Trong khi SSL có thể sử dụng để hỗ trợ cácgiao dịch an toàn cho rất nhiều ứng dụng khác nhau trên Internet, thì hiệnnay SSL được sử dụng chính cho các giao dịch trên Web.SSL không phải là một giao thức đơn lẻ, mà là một tập các thủ tục đãđược chuẩn hoá để thực hiện các nhiệm vụ bảo mật sau:Xác thực server: Cho phép người sử dụng xác thực được server muốn kếtnối. Lúc này, phía browser sử dụng các kỹ thuật mã hoá công khai đểchắc chắn rằng certificate và public ID của server là có giá trị và được cấpphát bởi một CA (certificate authority) trong danh sách các CA đáng tin cậycủa client. Điều này rất quan trọng đối với người dùng. Ví dụ như khi gửimã số credit card qua mạng thì người dùng thực sự muốn kiểm tra liệuserver sẽ nhận thông tin này có đúng là server mà họ định gửi đến không.Xác thực Client: Cho phép phía server xác thực được người sử dụngmuốn kết nối. Phía server cũng sử dụng các kỹ thuật mã hoá công khai đểkiểm tra xem certificate và public ID của server có giá trị hay không vàđược cấp phát bởi một CA (certificate authority) trong danh sách các CAđáng tin cậy của server không. Điều này rất quan trọng đối với các nhàcung cấp. Ví dụ như khi một ngân hàng định gửi các thông tin tài chínhmang tính bảo mật tới khách hàng thì họ rất muốn kiểm tra định danh củangười nhận.Mã hoá kết nối: Tất cả các thông tin trao đổi giữa client và server được mãhoá trên đường truyền nhằm nâng cao khả năng bảo mật. Điều này rấtquan trọng đối với cả hai bên khi có các giao dịch mang tính riêng tư.Ngoài ra, tất cả các dữ liệu được gửi đi trên một kết nối SSL đã được mãhoá còn được bảo vệ nhờ cơ chế tự động phát hiện các xáo trộn, thay đổitrong dữ liệu. ( đó là các thuật toán băm – hash algorithm).Giao thức SSL bao gồm 2 giao thức con: giao thức SSL record và giaothức SSL handshake. Giao thức SSL record xác định các định dạng dùngđể truyền dữ liệu. Giao thức SSL handshake (gọi là giao thức bắt tay) sẽsử dụng SSL record protocol để trao đổi một số thông tin giữa server vàclient vào lấn đầu tiên thiết lập kết nối SSL.III.Các thuật toán mã hoá dùng trong SSLCác thuật toán mã hoá (cryptographic algorithm hay còn gọi là cipher) làcác hàm toán học được sử dụng để mã hoá và giải mã thông tin. Giaothức SSL hỗ trợ rất nhiều các thuật toán mã hoá, được sử dụng để thựchiện các công việc trong quá trình xác thực server và client, truyền tải cáccertificates và thiết lập các khoá của từng phiên giao dịch (sesion key).Client và server có thể hỗ trợ các bộ mật mã (cipher suite) khác nhau tuỳthuộc vào nhiều yếu tố như phiên bản SSL đang dùng, chính sách củacông ty về độ dài khoá mà họ cảm thấy chấp nhận được - điều này liênquan đến mức độ bảo mật của thông tin, ….Các bộ mật mã được trình bày ở phần sau sẽ đề cập đến các thuật toánsau:DES (Data Encryption Standard) là một thuật toán mã hoá có chiều dàikhoá là 56 bit.3-DES (Triple-DES): là thuật toán mã hoá có độ dài khoá gấp 3 lần độ dàikhoá trong mã hoá DESDSA (Digital Signature Algorithm): là một phần trong chuẩn về xác thựcsố đang được được chính phủ Mỹ sử dụng.KEA (Key Exchange Algorithm): là một thuật toán trao đổi khoá đangđược chính phủ Mỹ sử dụng.MD5 (Message Digest algorithm): được phát thiển bởi Rivest.RSA: là thuật toán mã hoá công khai dùng cho cả quá trình xác thực vàmã hoá dữ liệu được Rivest, Shamir, and Adleman phát triển.RSA key exchange: là thuật toán trao đổi khoá dùng trong SSL dựa trênthuật toán RSA.RC2 and RC4: là các thuật toán mã hoá được phát triển bởi Rivest dùngcho RSA Data Securi ...