Server Name Indication翻译（多证书TLS扩展）

最新推荐文章于 2023-10-22 23:18:20 发布
最新推荐文章于 2023-10-22 23:18:20 发布
阅读量2.3k 收藏
点赞数 1
分类专栏： 其他 文章标签： TLS SNI
原文：https://en.wikipedia.org/wiki/Server_Name_Indication


SNI（Server Name Indication）是一个对TLS计算机网络协议的扩展。握手过程开始时，通过这个协议一个客户端能够指示哪个主机名是它试图去链接的主机名。这允许一个服务器在同一个ip地址和tcp端口号的情况下能够拥有多个证书，因此允许多个安全的（https）网站（或其它使用TLS的服务）在使用同一个ip地址的情况下提供服务，但不要求所有这些网站使用相同的证书。这个机制在概念上等效于HTTP/1.1基于名称的虚拟主机，但对于HTTPS，被请求的主机名称是没有被加密的，所以一个窃听者能够看出那个网站正在被请求。


为了让SNI可用，与其它任何协议一样，绝大多数的访问者必须使用实现了SNI机制的web浏览器。这些没有实现SNI的浏览器的用户，提供了一个默认的证书，因此很可能接收到证书的告警。


内容
1.问题的背景
2.SNI如何修正此问题
3.实现
4.支持
5.参考
6.外部链接




问题背景
--------------------------------------------
当创建一个TLS的链接时，客户端将从web服务器请求一个数字证书。一旦服务器发送了证书，客户端会审查它，同时，会将它尝试去连接的名称与被证书包含在内的名称进行比较。确认是否在链接正常进行时能够匹配。如果不能匹配，用户可能被警告，同时链接可能终止，因为这个不匹配可能指示着中间人攻击的恶意企图。然而，一些应用允许用户的绕开这个警告，继续链接过程，用户会承担信任证书的责任。


一份证书能够包含多个主机名称。 X.509 v3 协议标准介绍了subjectAltName，允许一份证书能够指定超过一个域名，且在通用名称和备用主机领域（subjectAltName fields）中能够使用通配符。


然而，由于预先缺乏一份完整的所有名称的列表，去获取一份包含了服务器负责的所有名称的证书是困难的，甚至是不可能的。负责多个主机名称的服务器可能需要为每一个名称（或者小规模的名称群组）出示一份不同的证书。自2005年以来，CAcert 已经在做虚拟服务器环境中使用TLS的不同方法的实验。大多数的实验的结果是不让人满意，不切实际的。举个例子，可以使用subjectAltName在一个数字证书中包含多个域，但是这是一个证书，意味着所有的域必须被一个人拥有并控制。每次域名列表的变化，“统一通信的证书”必须重新发放。


基于名称的虚拟主机允许多个DNS主机名称被寄宿在使用同一个ip地址的单台服务器（通常是一台web服务器）。为了能实现这个目的，服务器使用客户提供的主机名作为协议的一部分（对于HTTP协议，主机头部提供名称）。然而，当使用HTTPS，TLS握手过程是在服务器查看任何HTTP头部之前发生。因此，对于服务器，使用在HTTP主机头部的信息来确定哪个证书被提供是不可能的，因此被相同证书包含的名称能够提供服务。


在实践中，这意味着一台https服务器只能服务于一个域名（或小规模的域名组）。为每个网站分配一个单独的ip地址增加了托管的花费，因为对ip地址的请求必须适应于区域因特网注册机构，且如今ipv4地址已被用尽了。而ipv6地址空间没有被耗尽，所以为ipv6的服务的网站不会受这个问题的影响。






SNI是如何处理这个问题
------------------------------
SNI通过客户端发送虚拟域的名称解决了这个问题，虚拟域名是作为TLS协商的一部分。这使得服务器去选择正确的虚拟域名，同时提供带有包含了正确名称的证书给浏览器。因此，带有一个单个ip地址的服务器能够为一组域名服务，为这组域名获取一个通用的证书是不切实际的。


SNI在2003年通过RFC3546（TLS扩展）标准协议被加到了IETF的internet RFCs。最近的标准版本是RFC6066.




实现

--------------------------------------------



支持

----------------------------------------------------------

Support[edit]

Software Type Supported Notes Supported since
Internet ExplorerWeb browser YesSince version 7 on Vista (not supported on XP)2006
Mozilla FirefoxWeb browser YesSince version 2.02006
cURLCommand-line tool and library YesSince version 7.18.12008
SafariWeb browser YesNot supported on XP 
Google ChromeWeb browser YesSince 6.0[7]2010
BlackBerry 10Web browser YesSupported in all BB10 releases2013
BlackBerry OSWeb browser NoNot supported in 7.1 or earlier 
Windows MobileWeb browser YesSome time after 6.5 
Android default browserWeb browser YesHoneycomb (3.x) for tablets and Ice Cream Sandwich (4.x) for phones2011
wgetCommand-line tool YesSince version 1.142012
Nokia Browser for SymbianWeb browser No  
Opera Mobile for SymbianWeb browser NoNot supported on Series60 
IBM HTTP ServerWeb server Yes[8][9]Since version 9.0.0 
Apache TomcatWeb server YesNot supported before 8.5 (backport from 9) 
Apache HTTP ServerWeb server YesSince version 2.2.122009
Microsoft IISWeb server YesSince version 82012
nginxWeb server YesSince version 0.5.232007
JettyWeb server YesSince version 9.3.02015
QtLibrary YesSince version 4.82011
Mozilla NSS server sideLibrary No[10]  
4th DimensionLibrary NoNot supported in 15.2 or earlier 
JavaLibrary YesSince version 1.72011
ErlangLibrary YesSince version r172013
GoLibrary YesSince version 1.42011
PerlLibrary YesSince Net::SSLeay version 1.50 and IO::Socket::SSL version 1.562012
PHPLibrary YesSince version 5.62014
PythonLibrary YesSupported in 2.x from 2.7.9rc1 and 3.x from 3.2alpha4 (in ssl, urllib[2]and httplib modules)2011 for Python 3.x and 2014 for Python 2.x
RubyLibrary YesSince version 2.0 (in net/http)2011








lushengitzone
关注
专栏目录
Nginx配置多个证书
Sand_Ant的专栏
08-29 9039
一、安装 1、创建用户 /usr/sbin/groupadd www /usr/sbin/useradd -g www www 2、安装pcre tar zxvf pcre-7.9.tar.gz cd pcre-7.9/ ./configure make && make install3、安装openssl yum install openssl-devel4、安装nginx (open
TLS：总结下ClientHello和ServerHello中的扩展项
大力海棠的博客
04-06 5114
目录 TLS/SSL协议扩展 SNI服务器名称指示 Max Fragment Length分块最大数量 Status Request证书状态请求 Signature Algorithm签名和摘要算法 ALPN应用层协议协商扩展 以前的我一直很少在意扩展项这部分（除了证书扩展外），但是后来接触的TLS/SSL协议越多，发现扩展项很多地方都出现，而且挺重要的，如证书链结构里的CRL分发点...
SNI(Server Name Indication)
热门推荐
浴血重生-学习空间
11-22 6万+
Server Name Indication（SNI）SNI (Server Name Indication)是用来改善服务器与客户端 SSL (Secure Socket Layer)和 TLS (Transport Layer Security) 的一个扩展。主要解决一台服务器只能使用一个证书(一个域名)的缺点，随着服务器对虚拟主机的支持，一个服务器上可以为多个域名提供服务
Server Name Indication（SNI），HTTP/TLS握手过程解析
最新发布
chen1415886044的博客
10-22 3009
Server Name Indication（SNI）是一种TLS扩展，用于在TLS握手过程中传递服务器的域名信息。在未使用SNI之前，客户端在建立TLS连接时只能发送单个IP地址，并且服务器无法知道客户端请求的具体域名。这导致服务器需要使用默认证书进行握手，无法正确选择合适的证书。 使用SNI扩展后，客户端在发送ClientHello消息时会包含所请求的服务器的域名。服务器根据该域名来选择对应的证书进行握手，从而实现了多个域名共享同一个IP地址并使用不同证书的能力。
HTTPS & SNI(Server Name Indication)
来啊 快活啊
07-30 3943
HTTPS与SNI扩展，一个IP绑定多个SSL证书 SNI(Server Name Indication)
C开发, 支持 Server Name Indication (SNI)
linuxmail的专栏
01-30 617
Server Name Indication (SNI) 关于 Server Name Indication (SNI), 可以参考文章 https://blog.csdn.net/firefile/article/details/80532161 https://blog.51cto.com/zengestudy/2170245 如何支持SNI 第一, 服务器在执行SSL_accept的时候...
Nginx支持SNI证书，已经ssl_server_name的使用
zzhongcy的专栏
10-07 1224
传统的应用场景中，一台服务器对应一个IP地址，一个域名，使用一张包含了域名信息的证书。随着云计算技术的普及，在云中的虚拟机有了一个IP，对应多个域名，使用多张证书的应用场景，SNI技术应运而生。SNI（Server Name Indication），即实现了一个服务器使用多个域名证书的TLS扩展，支持用户配置多个域名证书。
服务器sni协议,关于 https 的 SNI(Sever Name Indication) 问题记录
weixin_39534759的博客
08-11 1186
1 虚拟主机要讨论 SNI 的问题，首先需要来介绍一个虚拟主机的概念。1.1 概念虚拟主机一般使用的技术为软硬件，它可以把一台真实的物理电脑主机进行划分，让它变成多个逻辑的存储单元，每一个单元中不会再有物理的实体，但是在单元内，却可以和真实的物理主机一样正常的工作，实现 IP 地址，单独的域名，完整的 Internet 服务器的工作。其中关键一点就是，虚拟主机的主要技术是在同一操作系统，同一硬件平...
tls的server name
05-22
当客户端向服务器发起TLS握手时，会在Client Hello消息中发送Server Name Indication (SNI)，以告知服务器客户端希望连接的主机名或域名。 服务器可以根据SNI来选择使用哪个证书进行身份验证，以及使用哪个私钥进行...
Windows 2012/IIS8多网站用相同端口部署多张证书（SNI）
09-30
在Windows Server 2012中，IIS 8引入了一项名为服务器名称标识符（Server Name Indication，简称SNI）的创新技术，这极大地改变了多站点HTTPS服务的部署方式。SNI允许在同一台服务器上使用相同的IP地址和端口（例如...
IIS8中添加的对于SNI(Server Name Indication)的支持使IIS能对应多个服务器证书
u011394575的博客
02-26 2066
在IIS绑定的时候选择对应的SSL证书，并且一定要勾选“需要服务器名称只是”。 ok，你的IIS服务器将可以使用多个域名证书了。
nginx多域名、多证书
weixin_30535043的博客
04-22 529
环境： 一台nginx服务器 192.168.10.251 两台windowsserver2012 IIS服务器 （192.168.10.252、192.168.10.253） 从阿里云上下载ssl证书并上传到nginx服务器 nginx配置文件 添加证书 upstream test_1.com { # ip_hash; server ...
C++ and C# 从TLS握手二进制中获取SNI(服务器名称指示)域名
liulilittle的博客
08-02 696
TLS客户端首帧连接TLS服务器时，会发送ClientHello消息请求服务器进行SSL/TLS握手，早年的SSL/TLS协议是不提供SNI扩展的，但后续因为服务器上需求SNI区分域的必要性，SSL/TLS协议标准制定了SNI扩展标准，发展到今天没有SNI的SSL/TLS连接几乎都不能被大多数的SSL/TLS服务器受理处理。...
mbedtls使用openssl生成的自签名证书进行TLS实验
@则强的博客
03-26 7093
目录1、使用openssl生成自签名证书2、mbdtls默认对证书的要求3、mbdtls测试例子详解4、运行测试程序 1、使用openssl生成自签名证书 详情请参考我的博文OpenSSL安装与使用，如果自定义域名不行的话，可以使用localhost进行测试 2、mbdtls默认对证书的要求 配置的结构体位于x509_crt.c const mbedtls_x509_crt_profi......
SSL/TLS协议运行机制的概述
maikforever 的专栏
02-11 926
作者： 阮一峰 日期： 2014年2月 5日 互联网的通信安全，建立在SSL/TLS协议之上。 本文简要介绍SSL/TLS协议的运行机制。文章的重点是设计思想和运行过程，不涉及具体的实现细节。如果想了解这方面的内容，请参阅RFC文档。 一、作用 不使用SSL/TLS的HTTP通信，就是不加密的通信。所有信息明文传播，带来了三大风险。 （1） 
nginx server中的server_name配置的域名在客户机上无法访问
weixin_33716557的博客
08-21 780
nginx配置如下： nginx.conf： #user nobody; worker_processes 2; #error_log logs/error.log; #error_log logs/error.log notice; #error_log logs/error.log info; #pid logs/nginx.pid; ...
$_SERVER中的SERVER_NAME 和HTTP_HOST的区别
野蛮秘籍
01-17 8685
当满足以下三个条件时，两者会输出相同信息。 1. 服务器为80端口 2. apache的conf中ServerName设置正确 3. HTTP/1.1协议规范 不同点： 通常情况： _SERVER[“HTTP_HOST”] 在HTTP/1.1协议规范下，会根据客户端的HTTP请求输出信息。 _SERVER[“SERVER_NAME”] 默认情况下直接输出apache的配置文件htt
mbedtls学习4.mbedtls_RAM/ROM优化指南
joneming的博客
02-23 3161
MbedTLS RAM 和 ROM 资源占用优化指南 mbedtls 软件包采用了模块化的设计，可以使用 config.h 文件来进行功能模块的配置选择。 mbedtls 默认提供的 config.h 文件是一个通用的、全功能的配置，占用了非常大的 RAM 和 ROM 空间，但是...
转：mbedtls学习2.mbedtls从0使用指南
joneming的博客
02-23 2926
1.使用指南 这里主要介绍 mbedtls 程序的基本使用流程，并针对使用过程中经常涉及到的结构体和重要 API 进行简要说明。 mbedtls 的基本工作流程如下所示： 初始化 SSL/TLS 上下文建立 SSL/TLS 握手发送、接收数据交互完成，关闭连接 menucon...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值