Entendimiento SSL (Secure Sockets Layer)
Un panorama en Secure Sockets Layer (SSL)
El Secure Sockets Layer (SSL), protocolo fue desarrollado por Netscape Communications, y permite la comunicación segura a través de Internet. SSL trabaja en la capa de transporte de Transmission Control Protocol / Internet Protocol (TCP / IP), lo que hace el protocolo independiente del protocolo de capa de aplicación funcionamiento en la parte superior del mismo. SSL es un estándar abierto de protocolo y cuenta con el apoyo de una amplia gama de servidores y clientes.
SSL puede utilizarse para las siguientes actividades:
- Cifrar el tráfico Web utilizando el Protocolo de Transferencia de Hipertexto (HTTP). Cuando HTTP se utiliza junto con SSL, es conocido como HTTPS.
- SSL es generalmente utilizado para autenticar los servidores Web, y para cifrar las comunicaciones entre navegadores Web y servidores Web.
- Cifrar el correo y de noticias de tráfico.
SSL proporciona las siguientes características para asegurar los datos confidenciales, ya que Transverses a través de Internet:
- Autenticación
- La integridad de los datos
- Confidencialidad de los datos mediante el cifrado
SSL funciona mediante la combinación de criptografía de clave pública y clave secreta de encriptación para garantizar la confidencialidad de los datos. El Rivest-Shamir-Adleman (RSA) algoritmo de clave pública se utiliza para generar los certificados, y la clave pública y otra privada pares utilizados en SSL. Cuando un cliente navegador web se conecta a un servidor Web que está configurado para SSL, un apretón de manos SSL proceso se inicia con el servidor Web. El servidor Web en esta etapa ya ha obtenido un certificado de servidor de una autoridad de certificación (CA).
Un certificado de servidor es un certificado digital que utiliza el servidor para verificar su identidad a otras partes. Los certificados digitales son la base de una infraestructura de clave pública (PKI), ya que estos certificados de uso de algoritmos criptográficos y longitudes de clave para proteger los datos, ya que se transmite a través de la red. El estándar X.509, derivados de los directorios estándar X.500, se determinan los certificados digitales. En él se describe un certificado como el medio por el cual el nombre distinguido del usuario puede estar asociada con la clave pública del usuario. El nombre distinguido del usuario se define por una autoridad de denominación. El distinguido nombre es utilizado por la expedición de Certificado de Autoridad (CA) como el único nombre del usuario. Un certificado digital contiene información como el certificado de versión, número de serie, firma, emisor, y el período de validez, entre otra información.
Una autoridad de certificación (CA) puede definirse como una entidad que genera y valida los certificados digitales. El CA añade su propia firma a la clave pública del cliente. En lo fundamental, esto indica que la clave pública puede ser considerada válida, por los partidos que confiar en el CA. Ejemplos de terceras entidades que proporcionan y emitir certificados digitales son VeriSign, Entrust y GlobalSign. Dado que estas entidades cuestión certificados digitales por una tarifa, que puede convertirse en un costoso gasto en una gran organización. Mediante el uso de las herramientas proporcionadas por Microsoft, puede crear una estructura interna de CA dentro de su organización. Puede utilizar Windows Server 2003 Certificate Services para crear certificados para los usuarios y las computadoras en un dominio de Active Directory.
El apretón de manos SSL proceso se produce entre un cliente y servidor Web para negociar la clave secreta algoritmo de cifrado que el cliente y el servidor Web se utilizan para cifrar los datos que se transmite en la sesión de SSL. El cliente Web browser inicia el proceso de apretón de manos usando una URL comenzando con el texto siguiente: https: / /.
El apretón de manos SSL proceso se describe a continuación:
- El cliente inicia el proceso SSL apretón de manos mediante el envío de una URL comenzando con el texto siguiente: https: / / al servidor.
- El cliente envía inicialmente el servidor web una lista de cada algoritmo de cifrado que se apoya. Algoritmos apoyado por incluir SSL RC4 y la encriptación de datos estándar (DES). El cliente también envía al servidor de su cadena de desafío al azar que se utilizará más adelante en el proceso.
- El servidor Web siguiente realiza las siguientes tareas:
- Selecciona un algoritmo de cifrado de la lista de algoritmos de cifrado apoyado por, y recibió de parte del cliente.
- El cliente envía una copia de su certificado de servidor.
- El cliente envía su desafío al azar cadena
- El cliente utiliza la copia del certificado de servidor recibido desde el servidor para autenticar la identidad del servidor.
- El cliente obtiene la clave pública del servidor desde el certificado de servidor.
- El siguiente cliente genera un secreto premaster. Esta es una cadena aleatoria diferentes que, a su vez, ser utilizados para generar la clave de sesión para el período de sesiones SSL. El cliente entonces encripta un valor diferente llamado el secreto premaster utilizando la clave pública del servidor, y devuelve este valor cifrado para el servidor. Esto se acompaña con un hash teclea el apretón de manos de los mensajes, y una clave maestra. El hash se utiliza para proteger los mensajes intercambiados en el proceso de apretón de manos. El hash se genera a partir de las dos primeras series de caracteres aleatorios de transmisión entre el servidor y el cliente.
- El servidor envía el cliente teclea un hash de apretón de manos todos los mensajes intercambiados entre las dos partes hasta el momento.
- El servidor y el cliente luego generar la clave de sesión de los diferentes valores aleatorios y llaves, y mediante la aplicación de un cálculo matemático.
- La clave de sesión se utiliza como clave secreta compartida para cifrar y descifrar datos intercambiados entre el servidor y el cliente.
- La clave de sesión se descarta cuando el período de sesiones SSL, ya sea a veces-o se rescinda.
¿Qué es la Capa de Seguridad de Transporte (TLS)
Transport Layer Security (TLS) es un estándar de Internet versión de Secure Sockets Layer (SSL), y es muy similar a Secure Sockets Layer versión 3 (SSLv3).
Las principales diferencias entre SSLv3 y TLS son los siguientes:
- Puede ampliar TLS mediante la introducción de nuevos métodos de autenticación.
- TLS utiliza la caché de sesión, mejorando así el rendimiento en SSL.
- TLS también separa claramente el proceso de apretón de manos de la capa de registro. El disco tiene la capa de datos.
SSLv3 utiliza el Código de Identificación de mensajes (MAC) algoritmo, mientras que TLS utiliza un hash de autenticación de mensajes de código, también conocido como HMAC. Debido a las diferencias entre SSL y TLC son tan pocos, los protocolos son típicamente llamado SSL / TLS. Si bien está bastante similares, SSL y TLS no interoperables. Para una sesión segura, ambas partes deben utilizar cualquiera de SSL o TLS.
SSL / TLS tiene las siguientes capas.
- Handshake capa: Esta capa se ocupa de garantizar el establecimiento de una sesión SSL. El apretón de manos capa es responsable de estos elementos clave:
- Autenticación: Los certificados digitales se utilizan en el proceso de autenticación gestionado por el apretón de manos.
- Mensaje cifrado: el cifrado, simétrico claves (claves secretas compartidas) y claves asimétricas se utilizan. Con claves simétricas, la clave es idéntico al utilizado tanto cifrar y descifrar datos. Con claves asimétricas, una clave pública y una clave privada se utiliza para cifrar y descifrar datos. Esto significa que dos teclas se utilizan para el mensaje cifrado y descifrado.
- Algoritmos hash: Los algoritmos hash soportados son las Normas Hash Algorithm 1 (SHA1) y Mensaje Digest 5 (MD5). SHA1 produce un 160-bit valor hash, MD5, mientras que produce un 128-bit valor hash.
- Record capa: Esta capa contiene los datos.
Los beneficios asociados con la utilización de SSL / TLS son los siguientes:
- Es fácil de implementar.
- Servidor de autenticación y autorización de cliente (opcional) se produce.
- Mensaje integridad y la confidencialidad están garantizadas.
- Las partes que participan en la sesión segura puede elegir los métodos de autenticación y cifrado y algoritmos hash.
Las deficiencias relacionadas con el despliegue de SSL / TLS son los siguientes:
- SSL / TLS necesidades adicionales de recursos de CPU para establecer la sesión segura entre el servidor y el cliente.
- Dado que SSL / TLS utiliza certificados, necesita a los administradores gestionar estos certificados, y los sistemas de certificados.
Las diferentes situaciones en las que el SSL / TLS aplicación normalmente se produce:
- SSL / TLS puede ser utilizada para autenticar el acceso de los clientes a un sitio seguro. Usted puede requerir el cliente y el servidor de certificados, y sólo permitir el acceso al sitio a aquellos clientes que son autenticadas.
- Las aplicaciones que soportan SSL puede requerir autenticación para usuarios remotos conectarse a la red.
- Exchange puede utilizar SSL / TLS para ofrecer confidencialidad de los datos cuando la transmisión de datos entre los servidores de la intranet o Internet.
Configuración de firewalls para permitir el tráfico encriptado
Con el fin de permitir el tráfico SSL para atravesar el firewall, uno de los dos métodos se pueden utilizar:
- Usted puede configurar el firewall para permitir todo el tráfico con un determinado puerto. El cortafuegos, sin embargo, sólo podrá utilizar la fuente y el destino de los paquetes SSL para determinar si permite o no que un paquete para pasar a través. El firewall no examinar el contenido de los paquetes SSL.
- Hypertext Transfer Protocol (HTTP): SSL puerto 443; Norma puerto 80
- Simple Mail Transfer Protocol (SMTP): SSL puerto 465; Norma puerto 25
- Internet Message Access Protocol (IMAP): SSL puerto 993, puerto estándar 143
- Ligero Protocolo de acceso a directorios (LDAP): SSL puerto 636, puerto estándar 389
- Noticias de la red de Protocolo de transferencia (NNTP): SSL puerto 563, puerto estándar 119
- Post Office Protocol version 3 (POP3): SSL puerto 995; Norma puerto 110
- Usted puede configurar el firewall como un servidor proxy. En esta configuración, el cliente establece una sesión con el firewall y el firewall establece una sesión con el servidor en particular.
El común de los puertos que utilizan para aplicaciones SSL se enumeran a continuación:
Una Comparación de IPSec y SSL
El Windows Server 2003 Infraestructura de Clave Pública (PKI) se basa en los siguientes estándares:
- Infraestructura de clave pública X.509 (PKIX) estándar
- Internet Engineering Task Force (IETF) normas: IETF recomienda que las normas de seguridad que se enumeran a continuación interoperar con una aplicación PKI para mejorar la seguridad en las aplicaciones de empresa.
- Transport Layer Security (TLS)
- Secure Extensiones multipropósito de correo Internet (S / MIME)
- Internet Protocol Security (IPSec)
Como es el caso de SSL, IPSec es también utilizado para garantizar la autenticación, confidencialidad de los datos, la integridad y el mensaje. Unas pocas diferencias clave entre IPSec y SSL son los siguientes:
- IPSec es ejecutado por el sistema operativo (OS) y es transparente a las aplicaciones que utilizan. SSL es ejecutado por diferentes aplicaciones. Aunque SSL no pueden ser utilizados para cifrar todos los tipos de datos comunicados entre dos hosts, IPSec se puede utilizar para garantizar la mayoría de los tipos de comunicaciones de red.
- SSL sólo se puede utilizar para cifrar las comunicaciones entre dos hosts, mientras que puede túnel IPSec las comunicaciones entre redes.
- IPSec se puede utilizar para cifrar los datos para absolutamente cualquier aplicación. Las solicitudes de apoyo a SSL, a fin de SSL para cifrar los datos de la solicitud.
- Para la autenticación, IPSec utiliza certificados de clave pública o de un secreto compartido. SSL se ha de utilizar certificados de clave pública.
- Con IPSec, el servidor y el cliente deben ser autenticadas. Con SSL, ya sea el servidor, o el cliente, o el servidor y el cliente tiene que ser autenticada. Aunque IPSec requiere que cada extremo de la conexión para la autenticación, SSL no.
Guardar la comprensión SSL (Secure Sockets Layer)
