Статус: Новичок
Группы: Участники
Зарегистрирован: 19.07.2012(UTC)
Сообщений: 5
|
Имею абстрактное представление о том, как работает SSL. Прикрепил картинку. Скажите, пожалуйста, исходя из картинки, я правильно понимаю принцип работы SSL? Для обмена по SSL необходимо чтобы на обеих сторонах была пара закрытый/открытый ключ? 
|
|
|
|
|
|
Статус: Активный участник
Группы: Администраторы
Зарегистрирован: 29.12.2007(UTC) Сообщений: 1,036  Откуда: КРИПТО-ПРО Поблагодарили: 36 раз в 25 постах
|
Немного не так. Никаких проверок в УЦ нет.
Сначала ПК1 получает от сертификат сервера и проверяет его на действительность: срок действия сертификата наступил и не окончен, он издан УЦ корневой сертификат которого в списке доверенных ЦС, сертификат сервера не отозван (проверяется по CRL или OCSP).
Потом ПК1 по запросу от сервера отдаёт свой сертификат серверу (если сервер настроен на двухсторонний SSL). Сервер проверяет сертификат ПК1 на действительность. Если сервер настроен на односторонний SSL то ПК1 не передаёт сертификат серверу.
Потом ПК1 и сервер вырабатывают сессионный симметричный ключ шифрования.
И на этом сессионном симметричном ключе шифруется вся информация (весь траффик) передавемая между ПК1 и сервером (туда и обратно). Пока соединение не разорвётся.
Если очень грубо, то SSL выглядит вот так.
|
С уважением,
КРИПТО-ПРО |
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,087  Сказал «Спасибо»: 612 раз
Поблагодарили: 2375 раз в 1868 постах
|
|
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239 Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
Юрий Маслов написал:
Сначала ПК1 получает от сертификат сервера и проверяет его на действительность:...
Потом ПК1 по запросу от сервера отдаёт свой сертификат серверу (если сервер настроен на двухсторонний SSL). Сервер проверяет сертификат ПК1 на действительность. Если сервер настроен на односторонний SSL то ПК1 не передаёт сертификат серверу.
Потом ПК1 и сервер вырабатывают сессионный симметричный ключ шифрования.
И на этом сессионном симметричном ключе шифруется вся информация (весь траффик) передавемая между ПК1 и сервером (туда и обратно). Пока соединение не разорвётся...
Если я правильно понял, инструменты для реализации данной технологии уже встроены в Internet Explorer??? IE такой умный, что сам с помощью CryptoAPI вызывает функции криптопровайдера??? |
С уважением,
Сергей |
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,087 Сказал «Спасибо»: 612 раз
Поблагодарили: 2375 раз в 1868 постах
|
ssm_2005 написал:Юрий Маслов написал:
Сначала ПК1 получает от сертификат сервера и проверяет его на действительность:...
Потом ПК1 по запросу от сервера отдаёт свой сертификат серверу (если сервер настроен на двухсторонний SSL). Сервер проверяет сертификат ПК1 на действительность. Если сервер настроен на односторонний SSL то ПК1 не передаёт сертификат серверу.
Потом ПК1 и сервер вырабатывают сессионный симметричный ключ шифрования.
И на этом сессионном симметричном ключе шифруется вся информация (весь траффик) передавемая между ПК1 и сервером (туда и обратно). Пока соединение не разорвётся...
Если я правильно понял, инструменты для реализации данной технологии уже встроены в Internet Explorer??? IE такой умный, что сам с помощью CryptoAPI вызывает функции криптопровайдера??? да, а что в этом удивительного? Если в браузере есть поддержка SSL\TLS - кто же еще, как не он, будет вызывать необходимые функции у криптопровайдера? Отредактировано пользователем 17 августа 2012 г. 14:04:47(UTC)
| Причина: Не указана |
|
|
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 17.02.2012(UTC)
Сообщений: 19
Откуда: г.Пенза
Сказал(а) «Спасибо»: 1 раз
Поблагодарили: 1 раз в 1 постах
|
Юрий Маслов написал:Немного не так. Никаких проверок в УЦ нет.
Сначала ПК1 получает от сертификат сервера и проверяет его на действительность: срок действия сертификата наступил и не окончен, он издан УЦ корневой сертификат которого в списке доверенных ЦС, сертификат сервера не отозван (проверяется по CRL или OCSP).
А как проходит проверка, если CRL установлен, но просрочен, а адрес сервера издателя не доступен (как я понимаю это адрес где лежит корневой сертификат)?
|
|
|
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close
