面试-安全相关知识点
https中的中间人攻击
-
SSL协议位于TCP/IP协议与各种应用协议之间，是一种国际标准的加密及身份认证通信协议，为TCP提供一个可靠的端到端的安全服务，为两个通讯个体之间提供保密性和完整性。SSL层所处位置如下：
SSL协议使用通信双方的客户证书以及CA根证书。允许客户/服务器应用以一种不能被偷听的方式通信，在通信双方建立起了一条安全的、可信任的通信通道。SSL协议既用到了非对称加密技术又用到了对称加密技术。对称加密技术虽然比公钥加密技术的速度快，可是非对称加密技术提供的更好的身份认证技术。SSL的握手协议非常有效的让客户端和服务器之间完成相互之间的身份认证。其主要过程如下：
1)客户端向服务器传输客户端的SSL协议版本号，支持的加密算法的种类，产生的随机数Key1及其他信息
2)服务器在客户端发送过来的加密算法列表中选取一种，产生随机数Key2，然后发送给客户端
3)服务器将自己的证书发送给客户端
4)客户端验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的CA是否可靠，发行者的公钥能否正确解开服务器证书的”发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配，如果合法性验证没有通过，通信将断开，如果合法性验证通过，将继续向下进行；
5)客户端随机产生一个Pre-Master-Key，然后用服务器的公钥(从证书中获得)对其加密，然后将该Pre-Master-Key发送给服务器
6)服务器接收到Pre-Master-Key，则使用协商好的算法(H)计算出真正的用户通信过程中使用的对称加***Master-Key=H(C1+S1+PreMaster);
7)至此为止，服务器和客户端之间都得到Master-Key，之后的通信过程就使用Master-Key作为对称加密的**进行安全通信；