标签： SSL

如前所述，为了确认服务器的真实性，身份验证过程通过公钥加密（非对称加密）和数字签名进行。但是，一旦服务器身份验证完成，对于会话的其余部分，客户端和服务器将使用批量/对称密钥加密，以加密所有交换的信息并检测任何篡改。

换句话说，非对称加密在SSL握手时用作验证方法，其中浏览器和服务器协商加密连接并交换会话密钥。会话密钥使用对称加密在整个安全会话期间进一步通信。

让我们了解一下两者之间的区别：

非对称加密

批量/对称加密

对称加密是一种加密方法，它涉及一个密钥来加密和破译信息。这是旧技术之一，它使用数字，单词或随机字母字符串作为密钥。

但是，若要加密和解密邮件，收件人必须知道密钥。对称加密算法的一些例子是Blowfish，AES，DES，RC4，RC5和RC6。其中，使用最广泛的算法是AES-128，AES-192和AES-256。

另一方面，与对称加密相比，非对称加密（也称为公钥加密）是一种新方法。它使用两个不同的密钥来加密纯文本。在这里，密钥通过大型网络或互联网进行交换，同时确保它不会被滥用。任何想要向您发送消息的人都可以使用公钥，并且第二个私钥仅对您保密。

此外，通过公钥加密的消息只能通过其私钥解密，而通过私钥加密的消息只能使用其公钥解密。但是，公钥不需要任何安全性，任何人都可以通过互联网使用它。最后，非对称加密是互联网上日常通信中使用最广泛的加密之一。一些众所周知的非对称密钥加密算法是ElGamal，RSA和DSA。

身份验证是身份确认最简单的术语之一。它是用于网络交互的过程之一，它还涉及一方对另一方的识别。此外，有多种方法可以通过网络使用身份验证，证书就是其中之一。

网络通信通常在两个客户端之间完成，例如，Web 浏览器和服务器。这里，客户端身份验证是由服务器对客户端的标识，而服务器身份验证是由客户端对服务器的标识。（例如，客户端是使用软件/Web 浏览器的人员，服务器是在网络地址上运行其服务器的组织。

服务器和客户端身份验证不限于证书支持的身份验证形式，而且还确保了不可否认性。例如，具有数字签名和证书相结合的电子邮件可识别并验证邮件的发件人，同时使签名者难以判断该电子邮件不是由该人发送的。

需要注意的一点是，基于证书的客户端身份验证是 SSL 协议的一部分。在这里，客户端对随机生成的一段数据进行数字签名，并将该签名数据以及证书发送到网络。最后，服务器在验证签名后确认证书的有效性。

以下是说明如何通过服务器对客户端进行身份验证的步骤：
1. 客户端软件管理一个数据库，该数据库由与为该客户端颁发的所有证书中发布的公钥相对应的私钥组成。在这里，客户端要求输入数据库的密码，以便首次访问任何给定会话的数据库。例如，尝试访问启用了 SSL 的服务器的用户需要对基于证书的客户端进行身份验证。

注意： 输入密码后，在整个会话期间不会再次询问密码，甚至无法访问其他启用了SSL的服务器。

1. 之后，客户端解锁由私钥组成的数据库，并将其检索为用户的证书，并使用该私钥对从服务器和客户端输入中随机生成的数据进行签名。作为回报，数据和数字签名可以作为私钥有效的证据。此外，数字签名仅使用私钥创建，并使用相应的公钥根据已签名的数据进行验证，并且它对SSL会话保持唯一。

3.随机生成的数据以及用户的证书都由客户端通过网络发送

4. 为了验证用户的身份，服务器同时使用签名数据和证书。

5. 服务器还可以执行其他身份验证任务，例如检查证书是否存储在客户端显示的用户条目中的 LDAP 目录中。一旦检查，它还会评估是否允许已识别的用户访问请求的资源。此外，评估过程可以使用其他授权机制，可能是公司数据库或由LDAP目录组成的信息。如果评估结果为正，则服务器将允许客户端访问请求的资源。

在这里，客户端和服务器交互的身份验证部分被证书所取代。不是请求用户频繁地通过网络发送密码，而是使用单一登录功能。在这里，用户首次输入私钥数据库的密码，而不通过网络发送。完成整个会话后，客户端将提供用户的证书，以对用户遇到的每个新服务器进行身份验证。最后，现有授权不受影响，这是基于经过身份验证的用户标识。