Mijn begrip van hoe HTTPS werkt (gmail bijvoorbeeld) – Information Security Stack Exchange

Ik wil vragen of mijn hieronder begrip correct is of niet met betrekking tot de HTTPS wordt gebruikt voor de webpagina die we bezoeken.

Ik zal Gmail gebruiken als een voorbeeld:

  1. Mijn laptop probeert te verbinden met de Gmail-server en stuurt een HTTP-verzoek
  2. Gmail-server antwoordt met het verzoek om https-verbinding in plaats vast te stellen (verstuurt https aanvraag)
  3. Mijn laptop controleert de https-certificering van de Gmail-server en stemt ermee in om https gebruiken om verbinding
  4. Mijn laptop vindt de Publieke sleutel van Gmail-server en gebruikt het om mijn gmail account wachtwoord te versleutelen en stuurt het naar Gmail Server
  5. Gmail Server controleert mijn wachtwoord met behulp van de private Key van Gmail Server en bevestigt mijn e-logon
  6. Gmail-server stuurt e-mail informatie naar mijn laptop door het versleutelen met behulp van mijn laptop Publieke sleutel
  7. Mijn laptop leest de versleutelde e-mail informatie ontsleutelen met behulp van de private Key mijn laptop
  8. Zo voort en zo voort tot mijn laptop uitlogt de Gmail-server.


Samenvatting: er zijn 4 sleutels bij dit HTTPS-verbinding. Gmail Server Public / Private Keys (2pc) + Mijn Laptop Public / Private Keys (2pc)

vroeg 12 april ’12 op 02:13

Ja, je bent op de goede weg! Maar de dingen echt werken een beetje anders dan u geschetst.

In het bijzonder, Stappen 4-8 zijn niet helemaal hoe SSL werkt. SSL werkt een beetje anders. Hier is hoe het echt werkt (ik ga een aantal kleine vereenvoudigingen te maken, maar dit moet de kern van het idee goed te krijgen):

De Gmail-server stuurt uw klant een certificaat. Het certificaat bevat de publieke sleutel van de Gmail-server, en een aantal aanwijzingen dat dit publieke sleutel eigenlijk behoort tot gmail.com.

Uw browser controleert de gegevens in het certificaat, om te bevestigen dat het de juiste openbare sleutel voor gmail.com.

Uw browser kiest een willekeurige nieuwe symmetrische sleutel K te gebruiken voor de verbinding met Gmail. Het versleutelt K onder publieke sleutel van Gmail.

Gmail ontsleutelt K met behulp van de private sleutel. Nu zowel uw browser en de Gmail-server weet K. maar niemand anders dat doet.

Op elk moment uw browser wil om iets te sturen naar Gmail, versleutelt het onder K; de Gmail-server decodeert bij ontvangst. Anytime de Gmail-server wil om iets te sturen naar uw browser, versleutelt het onder K.

Uw Stappen 1-3 zijn ongeveer gelijk, hoewel niet precies goed, en de details afhangen een beetje op welke browser je gebruikt en welke URL u typt in de adresbalk of hoe je naar Gmail in de eerste plaats – maar wat je schreef is dicht genoeg voor het begrijpen van het basisconcept. Goed genoeg voor de overheid werken.

Hier is een aantal aanvullende lectuur voor u:

Ik denk dat die artikelen moet je een uitstekend inzicht in SSL, geven hoe het werkt en waarom het de manier is ontworpen is.

Als dat niet genoeg is, moet u meer meer meer hebben, hier zijn enkele artikelen uit Wikipedia:

Maar ze hebben waarschijnlijk veel meer technische details dan je ooit wilde weten, en ze zijn niet een geweldige eerste kennismaking met de concepten of de basisideeën.

Goed antwoord. Misschien voeg de indicatie dat de belangrijkste reden dat ze te creëren dat symetric toets (in plaats van elk versleutelen met behulp van elkaars publieke sleutel) is dat de publieke sleutels encryptie / decryptie te langzaam zou zijn (het is een deel van hun kracht), terwijl codering van de nieuwe symmetrische sleutel / decryptie is veel sneller (dus het zal niet vertragen de uitwisseling van gegevens te veel) – Olivier Dulac 4 december ’13 om 10:12

Bron: security.stackexchange.com

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

twee × een =