SSL协议基础实验

一、实验目的及要求：

1. 目的：

（1）掌握对Web数据进行SSL安全传输的技术。

（2）掌握证书申请的过程。

（3）熟悉X.509 v3证书格式。

1. 要求：

1. 能够综合运用专业基本理论和专业技术解决实际问题：

(1) 能够熟练使用计算机进行实验的操作；

(2) 能够完成自己的实验，并且与组员协作完成实验；

(3) 可以协助教师进行实验。

2. 本实验分为两次课，第一课搭建虚拟实验环境，第二课掌握对Web数据进行SSL安全传输的技术，掌握证书申请的过程。

3. 实验环境

（1）虚拟机A，安装操作系统为windows 7，32位；

（2）虚拟机B，安装操作系统为Windows Server 2003，32位，IIS的Web服务器和证书服务、局域网。

二、实验原理

1.SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。

SSL记录协议为SSL连接提供如下两种服务：

机密性（Confidentiality）：握手协议定义一个可以用于SSL负载的传统加密共享密钥。

1. 消息完整性（Message Integrity）：握手协议还定义一个用于产生消息认证码（MAC）的共享密钥。
2. SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

2.SSL最复杂的部分是握手协议。这一协议允许客户端和服务器相互认证，并协商加密和MAC算法，以及用于保护SSL记录中所发送数据加密密钥。握手协议在任何应用数据被传输之前使用，握手协议的过程如图所示。

SSL密码变更规格协议：密码变更规格协议是应用SSL记录协议的3个SSL规格协议之一，也是最简单的一个协议。

本协议只包含一个消息，由一个值为1的字节组成。这条消息的唯一功能是使得延迟状态改变为当前状态，该消息更新了在这一连接上应用的密码机制。

SSL报警协议：用于将与SSL相关的报警传达给对等实体。与使用SSL的其它应用一样，报警消息也要按照当前状态的规格进行压缩和加密操作。

这一协议过程中的每一条消息都由两个字节组成。其中第一个字节可以取值为警告或致命以表示消息的严重程度。如果严重程度为致命的话，SSL将立即结束当前连接。虽然该会话中的其它连接还可以继续进行，但是本次会话不允许建立新的连接。

三、实验步骤与成果

在虚拟机B上安装IIS组件，并配置Web站点。

在服务器上安装CA组件，如以下图：

四、可能出现错误

1、出现 404 报错。

可能原因：

HTTPS 和对应的 HTTPS 服务绑定的站点不统一。

站点信息配置错误。

解决方法：

成功部署证书后，通过 HTTP 协议访问资源正常，通过 HTTPS 协议无法访问资源并出现404错误提示。如您在 IIS 服务中配置了 SSL 证书，且防火墙开启了443端口，可参考以下两个方面排查问题：

HTTP 和 HTTPS 可以设置不同的网站根目录，在 IIS 服务器中，检查站点的443端口绑定情况，并确认443端口绑定的站点与期望显示的 HTTP 服务80端口绑定的站点相同。

检查端口绑定情况时，检查设置站点的 IP 地址、主机名的正确性。