SSL单双向认证

一、TLS/SSL协议

1. HTTPS协议是在HTTP+TLS/SSL协议组成的可进行加密传输、身份认证的网络协议，旨在保证数据传输过程中的保密性、完整性和安全性。
2. HTTPS在HTTP和TCP之间，增加了TLS/SSL协议

3. 正是通过TLS协议，才能保证HTTP通信是安全的。
4. TLS主要通过信息加密、校验机制和身份证书来保证数据安全，其中信息加密是保证HTTP交互信息是被加密的，第三方无法知晓真实信息；校验机制是来校验信息在传输过程中是否被篡改；身份证书是用来确认这个网址的身份的。
5. TLS会进行四次握手，是在TCP连接建立三次握手之后进行。因为HTTPS都是基于TCP传输协议实现的，得先建立完可靠的TCP连接才能继续TLS握手。

二、SSL单向认证

SSL协议用到了对称加密和非对称加密，在建立连接时，SSL首先对对称加密密钥使用非对称加密。连接建立好后，SSL对传输内容使用对称加密。单向认证是客户端不携带证书，服务端存在证书，在认证过程中，仅验证服务端的身份，当客户端访问服务器时，浏览器会去检查服务器的SSL证书，来验证网站服务器的合法性。一般web端应用都是采用单向认证的。

单向认证过程

1. 客户端向服务端发送SSL协议的版本号、加密算法种类、随机数等信息，建立连接；

2. 服务端给客户端返回SSL协议版本号、加密算法种类、随机数等信息，以及服务端证书（证书中有公钥）；

3. 客户端用返回的信息，进行对服务端的校验，验证通过则继续通信，否则告警，验证内容：

   • 证书是否过期
   • 服务器证书签发的CA机构是否可靠
   • 公钥是否能解开证书中的数字签名
   • 服务器证书上的域名是否和服务器实际域名相匹配

4. 客户端向服务器发送自己所能支持的对称加密方案，供服务器进行选择；

5. 服务器选择加密程度高的加密方式；

6. 服务器将选择好的加密方式以明文方式返回给客户端；

7. 客户端收到加密方案后，使用该加密方案生成随机码，用作通信过程中对称加密的密钥，使用服务端返回的公钥进行加密，将加密后的随机码发送给服务器；

8. 服务端收到客户端返回的加密信息后，使用自己的私钥解密，获取对称加密密钥，接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信的信息安全。

三、双向认证

双向认证是指在SSL握手的过程中，同时验证客户端和服务器的身份，所以双向认证SSL证书至少包括两个或两个以上的证书，一个是服务器证书，另一个或多个是客户端证书。

双向认证过程

1. 客户端向服务器发送SSL协议的版本号、加密算法种类、随机数等信息，建立连接；
2. 服务端给客户端返回SSL协议版本号、加密算法种类、随机数等信息，以及服务端证书（证书中有公钥）；
3. 客户端使用服务端返回的信息验证服务器的合法性，验证内容跟单向认证一样；
4. 客户端校验通过后，将自己的证书及公钥发送到服务器；
5. 服务器验证客户端的证书，校验通过后，可获取到客户端的公钥；
6. 客户端发送自己的可支持的对称加密方案给服务器供其选择；
7. 服务器端在客户端发送的加密方案中先择加密程度高的方案，将加密方式通过客户端发送证书中的公钥加密后，返回给客户端；
8. 客户端收到服务端返回的加密方案密文后，用私钥解密，获取加密方案的明文，产生随机码，作为对称加密密钥，使用服务端公钥加密后，发送给服务端；
9. 服务端使用私钥解密得到对称加密的密钥，接下来的会话中，服务器和客户端将使用该密钥进行对称加密，保证通信安全。

四、SSL单向和双向认证区别

SSL单向认证只要求服务端部署了SSL证书，任何用户都可访问，仅服务器提供身份认证。SSL双向认证则是服务端和客户端均部署证书，进行身份认证，只能是服务端允许的客户去访问，安全性相对高。