【网络安全技术】传输层安全——SSL-TLS

一、TLS位置及架构

TLS建立在传输层TCP/UDP之上，应用层之下。

所以这可以解决一个问题，那就是为什么抓不到HTTP和SMTP包，因为这两个在TLS之上，消息封上应用层的头，下到TLS层，TLS层对上层消息整个做了加密，然后套了TLS头下到传输层，套上TCP头给IP，IP套上IP头然后路由，找到下一跳之后ARP问MAC地址，然后封上MAC头，进链路层传输。所以能看到的是TLS头、TCP头，IP头和MAC头。

下面这个图是TLS的架构，TLS内部也分了层，最上层相当于是消息的类型，这几种类型的消息都要下到Record层，套Record头，走Record结构来传输。

握手协议就是建连接的，改变Cipher
spec协议就是协商用到的加密算法什么的东西的，Alert协议是返回一些警报，HTTP就是正常的加密的数据，心跳协议是用来维持连接的。

等下可以通过抓到的包来更清晰的看出来这个架构。

二、TLS握手协议

整体流程如下，从RFC 5246文档里偷过来的，

      Client                                               Server

      ClientHello                  -------->
                                                      ServerHello
                                                     Certificate*
                                               ServerKeyExchange*
                                              CertificateRequest*
                                   <--------      ServerHelloDone
      Certificate*
      ClientKeyExchange
      CertificateVerify*
      [ChangeCipherSpec]
      Finished                     -------->
                                               [ChangeCipherSpec]
                                   <--------             Finished
      Application Data             <------->     Application Data

1.Phase 1

一步一步看，先看绿色框起来的两个hello

client
hello是第一个消息，注意区分这个握手和TCP握手之间的区别，TCP三次握手是建TCP连接用的，而TLS要走TCP连接，所以在TLS握手之前，TCP已经握完三次手了。

这是访问一个页面https协议的过程，虽然不知道为什么所有包都有两个，但还是可以清晰地看出，TCP三次握手是在TLS
ClientHello之前完成的，同时，看TLS下面的这两个TCP ACK，这也说明了TCP在TLS之下，所以TLS不能加密TCP的头。

我们来看看这个hello包长什么样。首先能看出TLS所在的层级，正如刚才所说，他在TCP之上。

其次TLS的内容，这里是handshake Protocol，使用TLS Record
protocol封装，所以TLS的所有内容协议，包括握手协议、改变Cipher spec协议、Alert协议、HTTP、心跳协议都是走Record
Layer的，所以实际上TLS分两层，在TCP紧上面那层是Record 协议，然后在上边是剩下的协议。

然后看内容吧，对比刚才那张图，这里包括了TLS的版本，随机数，session ID，cipher
suite（也就是客户端能接受的加密、认证、密钥交换算法），还有压缩方法。剩下的一堆extension列出了更加细节的客户端所支持的算法，这样服务器只能在这些列出的里面选择。

接下来是Server hello，

他会选择一系列的方法，作为响应回复给Client。这里的一些extension例如session_ticket是用来当session断开时客户端快速连接到服务器的凭证，以及下面的对于应用层协议的下协商。

2.Phase 2

这里阶段二还是抓个包看看，这wireshark不知道抽什么风，这三个Certificate，Server Key Exchange和Server Hello
Done都在一层的一个包里，他给分了两个。

看这三个东西还都是封到了Record
Layer里，这三个分别顾名思义，证书就是服务器把他的X.509证书给客户端，交换密钥就是服务器通过hello里跟客户端商量的协商密钥算法来交换公钥，这里是椭圆曲线DH。这之后还有可选的服务器向客户端要证书。之后就是server
hello done表示他这边结束了，该客户端了。

别忘了这些包都是走的TCP，到了对方那都要回ACK的。

3.phase 3

前面二阶段server发来的证书，client首先会验一下真假，使用CA的公钥来验证证书的签名。对了之后，首先，如果先前服务器要了客户端的证书，客户端会先把他的证书回给服务器。然后他会用server的公钥来验server发来的key
exchange参数的签名，之后再生成自己的公钥交换信息，

这就是下面抓到的包，第一个就是client Key exchange的record。

接下来还有一个certificate verify，这个是只有刚才客户端发送了有签名能力的证书才有的一步。

4.phase 4

然后是Change Cipher
Spec，这个消息你看长度就1字节，他就是简单的告诉对方我已经将刚才咱们商量的加密什么的投入使用了，所以他发的接下来的包都是使用刚才协商好的东西加密或认证的了。在这之前，客户端和服务器交换完密钥，获得了一个比如DH公共秘密之后，这个公共秘密叫做pre-
master secret，这个结合一些其他的例如随机数之类的信息，再来生成最终的session key，Change Cipher
Spec代表的就是这个最终的session key投入使用。

后面跟的是client finished，这个永远紧跟在Change Cipher
Spec之后，用于验证整个握手的成功。客户端会计算之前所有的握手消息的一个mac，加密之后传给服务器。所以下面抓的包显示这是加密的信息。

这之后，服务器端收到刚才客户端发来的那条消息之后，由于之前在hello里说好了要有new session
ticket用来之后快速恢复session，所以这第一个record就是new session ticket，然后是服务器端的Change Cipher
Spec，之后是服务器的finish，和client的同理，是计算先前的所有握手消息的mac，同样是加密之后发送。

这之后握手就结束了，这期间任何的错误都会引起alert协议报错，从而终止过程。

三、Alert Protocol

这个就是报各种错误，包括下面这些

• bad_record_mac

• handshake_failure

• decryption_failed

• bad_certificate

四、Heartbeat protocol

这个就是周期性的发送信号，比如用来同步。

他有两个目的，一个是确保双方还活着，另一个是防止有些防火墙会关闭空闲连接。

五、Record protocol

这个刚才也看了，就是封装刚才提到的所有的东西的，格式就是下面这样

content type就会是比如刚才所有握手阶段的Record都是handshake（22），实际发的包的type会是Application
Data（23），也可能回事Alert（21）等等。

两个Version就是哪个版本，前面讲的例子都是TLSv1.2，长度就是后面的东西有多长。

接下来看看这个Record是怎么生成的吧，比如有加密、认证、分段、压缩等步骤。

首先拿到具体的数据之后，要分成小于等于2的14次方byte的段，然后如果之前协商了压缩，那么就会压缩。

接下来计算MAC然后接上去，对整个东西加密，然后再套上TLS Record的头，这就是完整的TLS处理完的，可以直接发给下层TCP的东西了。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！