Web在當今已經(jīng)是十分流行的工具，伴隨著Internet的流行，Web的安全性已經(jīng)變得十分重要。目前在Web方面的安全性有不少解決方案，最常用的是安全套接字層協(xié)議。

SSL（Secure Sockets Layer，SSL）協(xié)議是由Netscape公司提出的1個安全協(xié)議，它是在套接字端口上工作，可以用在任何建立在套接字端口上的協(xié)議，包括telnet、ftp、http等等。很多SSL的功能也是IPv6的一部分。SSL提供了對一個對話（session）進行加密、對1個服務(wù)器（有時一個客戶機）甚至一個信息進行鑒別的功能，SSL握手協(xié)議和應(yīng)用協(xié)議都在SSL記錄協(xié)議上操作。SSL記錄層運行在TCP上。對話建立需要5到8個信息來完成，對于服務(wù)器的鑒別，SSL建筑在密鑰認證機制的基礎(chǔ)上，但是，在1個對話內(nèi)SSL不提供密鑰重新協(xié)商功能。

所有SSL協(xié)議可以傳送最高達32 767 B的數(shù)據(jù)，每一個數(shù)據(jù)有一個2或3B的協(xié)議頭，這個協(xié)議頭包含了1個安全轉(zhuǎn)義功能、一個指明是否有填充信息的標志、信息的長度等信息，2B的頭表示沒有填充而3B則表示有填充的信息。協(xié)議頭數(shù)據(jù)結(jié)構(gòu)如下：

這里，#位為0表示3B頭部，最大長度32767B；為1表示2B頭部，最大長度16383B。S位表示安全轉(zhuǎn)義功能是否存在。在SSL記錄協(xié)議頭部，沒有協(xié)議版本信息。

在一個記錄內(nèi)，有三種部件：MAC-DATA、實際數(shù)據(jù)（Actual-Data）和填充數(shù)據(jù)（Padding-Data）。MAC代表信息鑒別碼（Message Authentication Code），實際數(shù)據(jù)是需要發(fā)送的實際數(shù)據(jù)，填充數(shù)據(jù)就是在數(shù)據(jù)不到有關(guān)長度時用作填充的無用數(shù)據(jù)。MAC-DATA是一個密鑰、數(shù)據(jù)、填充以及序號的哈稀（hash）函數(shù)，這個密鑰是（發(fā)送者）寫密鑰，它和（接受者）讀密鑰是相同的。對于基于塊的加密方法，可能數(shù)據(jù)不是正好加密所需的塊長度（或塊長度的倍數(shù)），這時就需要填充數(shù)據(jù)。

序號是一個32位無符號的整數(shù)，每發(fā)送一個數(shù)據(jù)，就調(diào)整這個序號，當數(shù)字大于0xFFFFFFFF時，重新設(shè)置為0。如果發(fā)送錯誤，如鑒別失敗、解密失敗、或其他問題，會產(chǎn)生I/O差錯，同時關(guān)閉連接。

當一臺計算機企圖使用SSL建立連接時發(fā)生握手操作，在SSL中，有3類基本握手，第一類是最近（比如100s）沒有連接存在，第二類是有一系列的連接存在時的握手，第三類是當需要客戶機鑒別時的握手。

第一類握手的基本過程如圖1所示。當一個客戶機希望建立安全連接，它發(fā)送CLIENT-HELLO消息，包括一個質(zhì)疑以及希望或能夠支持的加密體系；服務(wù)器以SERVER-HELLO消息作為回答，包括連接標識、密鑰證書以及服務(wù)器可以支持的加密體系，加密體系的選擇由客戶機負責；然后，客戶機檢驗服務(wù)器的公開密鑰，并且向服務(wù)器發(fā)送CLIENT-MASTER-KEY消息，這是一個隨機產(chǎn)生的主密鑰，這個密鑰在發(fā)送時由服務(wù)器的公開密鑰加密；發(fā)送CLIENT-MASTER-KEY后，客戶機發(fā)送CLIENT-FINISHED消息，包括被客戶寫密鑰加密的連接標識；服務(wù)器發(fā)送SERVER-VERIFY消息，包括一個被服務(wù)器寫密鑰加密的對客戶機的質(zhì)疑；最后，服務(wù)器發(fā)送SERVER-FINISHED消息，包含了一個被服務(wù)器寫密鑰加密的新的對話標識。服務(wù)器寫密鑰從CLIENT-MASTER-KEY消息中的主密鑰中產(chǎn)生。

圖1：SSL第一類握手協(xié)議

對于第二類握手，整個過程基本相似，如圖2所示。如果已經(jīng)存在一個對話，那么，客戶機發(fā)送CLIENT-HELLO消息，包括一個質(zhì)疑、對話標識以及希望或能夠支持的加密體系；服務(wù)器以SERVER-HELLO消息作為回答，包括連接標識、密鑰證書以及服務(wù)器可以支持的加密體系，這時設(shè)置“對話標識命中”位；客戶機發(fā)送CLIENT-FINISHED消息，包括被客戶寫密鑰加密的連接標識；服務(wù)器發(fā)送SERVER-VERIFY消息，包括一個被服務(wù)器寫密鑰加密的對客戶機的質(zhì)疑；最后，服務(wù)器發(fā)送SERVER-FINISHED消息，包含了一個被服務(wù)器寫密鑰加密的對話標識。

圖2：SSL第二類握手協(xié)議

對于第三類握手方式，需要使用客戶機鑒別，那么，服務(wù)器必須在適當?shù)臅r間發(fā)送REQUEST-CERTIFICATE消息，包括一個質(zhì)疑和期望的鑒別方法，客戶機以CLIENT-CERTIFICATE消息作為回答，這個消息包括客戶機的證書類型、證書本身以及其他回答數(shù)據(jù)，最后服務(wù)器才發(fā)送SERVER-FINISH消息，如圖3所示。

圖3：SSL第三類握手協(xié)議

整個過程中使用了好幾個密鑰：服務(wù)器公開密鑰、主密鑰、客戶機讀密鑰、客戶機寫密鑰等等。客戶機寫密鑰和客戶機讀密鑰從主密鑰、順序字、質(zhì)疑、連接標識等的安全哈稀（Secure Hash）算法得到。常用的哈稀算法是MD5算法。

如前所述，SSL實際上是應(yīng)用層（如HTTP協(xié)議，瀏覽器使用）和運輸層（TCP，Internet的傳輸控制協(xié)議）之間的協(xié)議，它的兩個主要目標是為私有信息的安全交換提供加密方法以及提供認證服務(wù)，這樣用戶可以知道服務(wù)器是它所聲稱的。它加密應(yīng)用層產(chǎn)生的信息M，然后把結(jié)果傳給運輸層，再傳送給服務(wù)器端的運輸層。那個運輸層再傳給它的SSL實體，這里它被解密為M，最后傳給服務(wù)器應(yīng)用層。

SSL已經(jīng)開發(fā)出很多版本，每一種都比前一種安全有提高，且有更多的選項。

最后，我們再簡單提一下TLS（Transport Layer Security）。TLS是IETF為最終替代SSL的目的而基于SSL 3.0開發(fā)的。TLS和SSL間有一些差異，比如，怎樣定義填充字符以產(chǎn)生正確長度的塊和TLS支持附加的報警碼（當有不正確情況時報警給用戶的碼字）等。盡管TLS和SSL一般不互通信，不過TLS有能力恢復為SSL 3.0。