`
andy54321
  • 浏览: 433637 次
  • 性别: Icon_minigender_1
  • 来自: 上海
社区版块
存档分类
最新评论

HTTPS的实现及其原理

    博客分类:
  • J2EE
阅读更多

在以前的一个项目中,需要使用到SSL得加密链接访问,所以对HTTP做了一点功课。

今天,把这些知识点,做个总结和描述。

 

1.https的实现原理

(此处参考阿密果同学的博文)

 

有两种基本的加解密算法类型:

1)对称加密 :密钥只有一个,加密解密为同一个密码,且加解密速度快,典型的对称加密算法有DES、AES等;

2)非对称加密 :密钥成对出现(且根据公钥无法推知私钥,根据私钥也无法推知公钥),加密解密使用不同密钥(公钥加密需要私钥解密,私钥加密需要公钥解密),相对对称加密速度较慢,典型的非对称加密算法有RSA、DSA等。

 

https的通信过程:

 


 

https通信的优点:

 

1)客户端产生的密钥只有客户端和服务器端能得到;

2)加密的数据只有客户端和服务器端才能得到明文;

3)客户端到服务端的通信是安全的。

 

2.在项目中实现

 

1)tomcat的配置

 放开原先注释的一段代码:

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS"
               keystoreFile="c:/tomcat.keystore" keystorePass="tomcat" />
 

2)key的生成

   键入命令并依次填入相应信息,

C:\>keytool -genkey -alias tomcat -keyalg RSA -keysize 1024 -validity 365 -keystore tomcat.keystore
Enter keystore password:  tomcat
What is your first and last name?
  [Unknown]:  vincent
What is the name of your organizational unit?
  [Unknown]:  beijing
What is the name of your organization?
  [Unknown]:  peking
What is the name of your City or Locality?
  [Unknown]:  shanghai
What is the name of your State or Province?
  [Unknown]:  shanghai
What is the two-letter country code for this unit?
  [Unknown]:  sh
Is CN=vincent, OU=beijing, O=peking, L=shanghai, ST=shanghai, C=sh correct? (type "yes" or "no")
  [no]:  yes

Enter key password for <tomcat>:
        (RETURN if same as keystore password):
 

3)使用中发现的问题

 

4)此是单向认证,关于双向认证的知识还未补全。

 

 

---------------------

转载一篇配置过程实例:url:http://danwind.iteye.com/blog/603402

TOMCAT @ SSL 写道
Tomcat6.0配置SSL
一、为了节约时间,我这里就只根据我的配置过程进行描述,读者根据各自情况自己分析。
1、在命令行中进入%CATALINA_HOME%/bin目录下执行以下命令:
(1)%CATALINA_HOME%/bin> keytool -genkey -alias tomcat -keyalg RSA -keypass changeit -storepass changeit -keystore server.keystore -validity 3600
此时会在%TOMCAT_HOME%/bin下生成server.keystore 文件。
注:参数 -validity 指证书的有效期(天),缺省有效期很短,只有90天。
(2)%CATALINA_HOME%/bin> keytool -export -trustcacerts -alias tomcat -file server.cer -keystore server.keystore -storepass changeit
这一步用于导出证书,此时会在%TOMCAT_HOME%/bin下生成server.cer 文件。
(3)%CATALINA_HOME%/bin> keytool -import -trustcacerts -alias tomcat -file server.cer -keystore %JAVA_HOME%/jre/lib/security/cacerts -storepass changeit
这一步是导入到证书信任库,大家可以观察%JAVA_HOME%/jre/lib/security/cacerts 这个文件,执行完此命令后,文件变大。
附:keytool其它命令(列出信任证书库中所有已有证书,删除库中某个证书):
keytool -list -v -keystore D:/sdks/jdk1.5.0_11/jre/lib/security/cacerts
keytool -delete -trustcacerts -alias tomcat -keystore D:/sdks/jdk1.5.0_11/jre/lib/security/cacerts -storepass changeit

2、修改%TOMCAT_HOME%\conf\server.xml

找到这段代码: Java代码
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />
这段代码本来是注释掉的,把注释去掉,并且加上两个属性之后,如下:
Java代码
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="D:\tomcat6.0\bin\server.keystore"
keystorePass="changeit" />

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="D:\tomcat6.0\bin\server.keystore"
keystorePass="changeit" />
3、启动tomcat,访问 https://localhost:8443/,弹出一个安全警告的页面就OK了。


SSL认证详解
单向认证 SSL 协议的具体过程
①客户端的浏览器向服务器传送客户端 SSL 协议的版本号,加密算法的种类,产生的随机数,以及其他服务器和客户端之间通讯所需要的各种信息。

②服务器向客户端传送 SSL 协议的版本号,加密算法的种类,随机数以及其他相关信息,同时服务器还将向客户端传送自己的证书。

③客户利用服务器传过来的信息验证服务器的合法性,服务器的合法性包括:证书是否过期,发行服务器证书的 CA 是否可靠,发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”,服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过,通讯将断开;如果合法性验证通过,将继续进行第四步。

④用户端随机产生一个用于后面通讯的“对称密码”,然后用服务器的公钥(服务器的公钥从步骤②中的服务器的证书中获得)对其加密,然后将加密后的“预主密码”传给服务器。

⑤如果服务器要求客户的身份认证(在握手过程中为可选),用户可以建立一个随机数然后对其进行数据签名,将这个含有签名的随机数和客户自己的证书以及加密过的“预主密码”一起传给服务器。

⑥如果服务器要求客户的身份认证,服务器必须检验客户证书和签名随机数的合法性,具体的合法性验证过程包括:客户的证书使用日期是否有效,为客户提供证书的CA 是否可靠,发行CA 的公钥能否正确解开客户证书的发行 CA 的数字签名,检查客户的证书是否在证书废止列表(CRL)中。检验如果没有通过,通讯立刻中断;如果验证通过,服务器将用自己的私钥解开加密的“预主密码 ”,然后执行一系列步骤来产生主通讯密码(客户端也将通过同样的方法产生相同的主通讯密码)。

⑦服务器和客户端用相同的主密码即“通话密码”,一个对称密钥用于 SSL 协议的安全数据通讯的加解密通讯。同时在 SSL 通讯过程中还要完成数据通讯的完整性,防止数据通讯中的任何变化。

⑧客户端向服务器端发出信息,指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥,同时通知服务器客户端的握手过程结束。

⑨服务器向客户端发出信息,指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥,同时通知客户端服务器端的握手过程结束。
⑩SSL 的握手部分结束,SSL 安全通道的数据通讯开始,客户和服务器开始使用相同的对称密钥进行数据通讯,同时进行通讯完整性的检验。

双向认证 SSL 协议的具体过程

① 浏览器发送一个连接请求给安全服务器。

② 服务器将自己的证书,以及同证书相关的信息发送给客户浏览器。

③ 客户浏览器检查服务器送过来的证书是否是由自己信赖的 CA 中心所签发的。如果是,就继续执行协议;如果不是,客户浏览器就给客户一个警告消息:警告客户这个证书不是可以信赖的,询问客户是否需要继续。

④ 接着客户浏览器比较证书里的消息,例如域名和公钥,与服务器刚刚发送的相关消息是否一致,如果是一致的,客户浏览器认可这个服务器的合法身份。

⑤ 服务器要求客户发送客户自己的证书。收到后,服务器验证客户的证书,如果没有通过验证,拒绝连接;如果通过验证,服务器获得用户的公钥。

⑥ 客户浏览器告诉服务器自己所能够支持的通讯对称密码方案。

⑦ 服务器从客户发送过来的密码方案中,选择一种加密程度最高的密码方案,用客户的公钥加过密后通知浏览器。

⑧ 浏览器针对这个密码方案,选择一个通话密钥,接着用服务器的公钥加过密后发送给服务器。

⑨ 服务器接收到浏览器送过来的消息,用自己的私钥解密,获得通话密钥。

⑩ 服务器、浏览器接下来的通讯都是用对称密码方案,对称密钥是加过密的。

上面所述的是双向认证 SSL 协议的具体通讯过程,这种情况要求服务器和用户双方都有证书。单向认证 SSL 协议不需要客户拥有 CA 证书,具体的过程相对于上面的步骤,只需将服务器端验证客户证书的过程去掉,以及在协商对称密码方案,对称通话密钥时,服务器发送给客户的是没有加过密的(这并不影响 SSL 过程的安全性)密码方案。这样,双方具体的通讯内容,就是加过密的数据,如果有第三方攻击,获得的只是加密的数据,第三方要获得有用的信息,就需要对加密的数据进行解密,这时候的安全就依赖于密码方案的安全。而幸运的是,目前所用的密码方案,只要通讯密钥长度足够的长,就足够的安全。这也是我们强调要求使用 128 位加密通讯的原因。
 

 

 

 

 

 

  • 大小: 27.6 KB
分享到:
评论
2 楼 songfantasy 2010-11-09  
注意请求https时端口要为tomcat中ssl配置的端口,请求后,要把端口换回来。
1 楼 songfantasy 2010-11-09  
公司刚要求采用https传输数据,学习啦,很不错。

相关推荐

    基于C++的递归下降语法分析设计原理与实现.zip

    语法分析的设计方法和实现原理;LL(1)文法及其判定;无回朔的递归下降分析的设计与实现; (1)输入串应是词法分析的输出二元式序列,即某算术表达式“专题 1”的输出结果,输出为输入串是否为该文法定义的算术...

    第11课:星空对话BERT Paper 论文解密、数学推导及完整源码实现.mp4

    2.1、视频标题: Transformer中BERT解密Encoder内部各组件 ...从贝叶斯Bayesian的角度剖析BERT背后的高阶数学原理及其在BERT不同部分的应用,每晚9点B站直播相关内容https://live.bilibili.com/23818388

    网安面试必考题合集及答案(PDF资料)

    目录 (安全基侧、Web 安全、渗透测试、CMS安全、服务器中间件安全、数据安全、应急响应、流量分析) 一、安全基侧 1、CA三元组 2、HTTPS的实现原理 ...25、防火墙的类别及其原理 字数首先无法完全展示

    (Python3)数据结构–队列的原理及实现

    原理和需要注意的点 先进先出 注意:栈是先进后出 灵感来源于生活,也许这个“队列”就是根据生活中的排队的队列所命名的。因为它们的特点是共通的,都是先来排队的先出去,即先进先出。因此在想到数据结构中的队列...

    【大厂面试题】史上最详细的一线大厂前端面试题详解及其答案

    【大厂面试题】史上最详细的一线大厂前端面试题详解及其答案 目录: 1、如何避免CDN为PC端缓存移动端页面 2、响应式开发剖析 3、页面渲染原理剖析 4、HTTPS工作流程 5、js防抖和节流剖析 6、js解决获取浏览器的唯一...

    史上最详细的【一线大厂面试题】详解及其答案

    ④HTTPS工作流程 ⑤js防抖和节流剖析 ⑥js解决获取浏览器的唯一标识 ⑦js实现对数字自定义格式输出 ⑧js实战之全部替代一个子串为另一个子串 2、JavaSE目录 1、递归算法之输出某个目录下所有文件和子目录列表 2、...

    极限学习机(ELM)的MATLAB完整实现程序(完整注释,包含数据集文件)

    极限学习机(ELM)的MATLAB完整实现程序,有完整注释并已测试通过,资源中包含了测试脚本和数据集,算法的原理和实现讲解可参考本人博客https://wuxian.blog.csdn.net/article/details/90760481。

    看透springMvc源代码分析与实践

    全面介绍Spring MVC的架构、原理、核心概念和操作,通过案例完整呈现Tomcat的实现,系统总结Spring MVC九大组件的处理以及常用的技巧和实践   在大型网站和复杂系统的开发中,Java具有天然的优势,而在Java的Web...

    VS2017-boost-linux环境连接调试

    C++ 开发 Web 服务框架 - HTTPS 的原理及其 Web 框架的设计与实现的源码实现。采用vs2017连接linux环境配置,调用boost库。

    SVM分类器的设计与应用代码+实验报告

    1、熟悉SVM的基本设计原理。 2、掌握SVM的使用方法。 3、利用SVM实现人脸识别。 博客链接:https://blog.csdn.net/weixin_43442778/category_9481732.html

    c51_usb_hid_全套好资料(usb枚举过程+原理图+上位机+vc++源码+usb驱动源码

    c51_usb_hid_全套好资料,usb枚举过程+原理图+上位机+vc++源码+usb驱动源码。手把手教你写下位机、上位机、VC++源码,USB驱动源码,全部编译通过。内含USB HID 读写 测试工具(类似串口调试工具)及其源码。包括51...

    基于windows,macOS,linux等平台的远程桌面控制程序2020年最新版本(版本三)

    这是基于windows,macOS,linux等平台的远程桌面控制程序最新版本(版本三)。 提供远程控制,支持摄像头,多路音频,推流,集成各种直播...此软件的技术实现过程及其原理,请查阅CSDN上与此相关的十多篇BLOG文章。

    Kafk入门与实践

    相信读者阅读完本书之后,能够全面掌握Kafka的基本实现原理及其基本操作,能够根据书中的案例举一反三,解决实际工作和学习中的问题。此外,在阅读本书时,读者可以根据本书对Kafka理论的分析,再结合Kafka源码进行...

    温度监控系统的设计资料.doc

    引言 随着“信息时代”的到来,作为获取信息的手段——传感器技术得到了显著的进步,其应用领域...因此,不仅必须掌握各类传感器的结构、原理及其性能指标,还必须懂得传感器经过适当的接口电路调整才能满足信号的处理

    2048游戏.rar

    基于arm开发板的2048游戏的实现:实现功能及其原理如下: 2048是平面二维游戏,在4*4图片方格内,通过对滑动方向(上、下、左、右)的判断实 现对各个图片的移动、合并(在沿滑动方向上,两相邻元素值相等或者两相等...

    基于Python的毕业设计-线上兼职平台系统-2023资料齐全(完整源码,论文,PPT,sql文件,数据库设计报告)

    能很好的满足实际使用的需求,完善了对应的软体架设以及程序编码的工作,主要采取Mysql作为后台数据的主要存储单元,运用软件工程原理和开发方法,采用Python的Django技术进行业务系统的编码及其开发,实现了本系统...

    Personal-home-page-master.zip

    实验内容(实验原理、运用的理论知识、算法、程序、步骤和方法)*要求:*(1)结构要求:主页和二级页面美观,至少2段以上文字介绍自己,至少3个二级页面(主页超链接进入),至少3张图片,有背景音乐。(2)内容...

    基于python的双目立体视觉及三维重建源码+项目说明+代码注释.zip

    双目测距也属于双目立体视觉的一个应用领域,双目测距的基本原理主要是三角测量原理,即通过视差来判定物体的远近。 那么总结起来,双目测距的大致流程就是: **双目标定 --&gt; 立体校正(含消除畸变) --&gt; 立体匹配...

    leetcode卡-blogs:喜欢树形目录,不喜欢线性目录的博客

    k8s源码及其组件原理; Docker源码及其组件原理;(稍微查阅了一下docker是用go语言实现的,但是这个并不在我的技能学习列表里面,这就很尴尬了) 1.2. DevOps 1.2.1 常规部署与协同开发 git语法系统学习; git深度...

Global site tag (gtag.js) - Google Analytics