V) Giao thức SSL (Secure Sockets Layer) 1) Giới thiệu về SSL
2) Cách hoạt động của SSL
Biểu đồ dưới đây sẽ chỉ ra một cách đơn giản với từng bước quá trình thiết lập kết nối SSL giữa máy khách (client – dùng một đường dẫn web browser) và
Biểu đồ 2. Từng bước thành lập một kết nối SSL
Như bạn thấy trên hình, quá trình thiết lập kết nối SSL bắt đầu bằng việc trao đổi các tham số mã hoá và sau đó xác nhận các server một cách tuỳ ý (dùng gia thức SSL Handshake). Nếu “bắt tay” (Handshake) thành công, cả hai chiều đều chấp nhận bộ mã hoá chung và các khoá mã hoá, thì dữ liệu ở tầng ứng
thể được gửi thông qua đường hầm (tunnel) mã hoá (dùng SSL Record Layer).
Trong thực tế, tiến trình trên còn phức tạp hơn một chút. Để tránh những cái “bắt tay” không cần thiết, một số tham số mã hoá được giữ lại. Các thông báo được gửi đi. Bộ mã hoá cũng có thể được thay đổi. Tuy nhiên, bất chấp các đặc điểm kĩ thuật đó, cách thức phổ biến nhất của tiến trình này làm việc thực
sự như trên.
3) Mở rộng thêm về SSL, mặc dù SSL là giao thức được biết đến nhiều nhất và phổ biến nhất, nhưng nó không phải là giao thức duy nhất dùng cho mục đích an toàn và giao vận trong web. Cũng khá quan trọng để biết rằng, từ sau phát minh SSL v1.0 ra đời , có ít nhất năm giao thức khác hoặc ít hơn hoặc nhiều hơn đóng vai trò quan trọng trong an ninh truy cập World Wide Web. Cụ thể:
SSL v2.0
Phiên bản này được tạo ra bởi Netscape Communications năm 1994. Mục đích chính của giao thức này là cung cấp an toàn cho các giao dịch trên World Wide Web. Thật không may, nhanh chóng sau đó người ta thấy con số yếu kém về an toàn trong phiên bản đầu của giao thức SSL này. Do đó làm cho nó kém tin cậy hơn với cách dùng mang tính chất thương mại.
• Cấu trúc của MAC yếu.
• Có khả năng để các nhóm bắt buộc dùng bộ mã hoá yếu
• Không bảo vệ quá trình “bắt tay”
• Có khả năng những kẻ tấn công dùng kiểu cắt xén (truncation attack)
SSL v3.0
Được phát hành vào năm 1996 bởi Netscape Communications. SSL v3.0 giải quyết hầu hết các vấn đề của SSL v2.0 và kết hợp rất nhiều thành phần
của PCT. Nhanh chóng sau đó nó trở thành giao thức phổ biến nhất cho an toàn truyền thông trên World Wide Web.
Cài đặt Apache hỗ trợ SSL/TLS
Bước đầu tiên để cài đặt phần mềm Apache có hỗ trợ SSL/TLS là cấu hình và cài đặt Apache 2 web server, tạo ra một người dùng và một nhóm được đặt tên là “apache”. Một cách cài đặt an toàn đã được xuất bản trên SecurityFocus, trong bài báo Security Apache 2.0: Step-by-Step. Chỉ có một điểm khác nhau duy nhất là tiến trình để thiết lập mod_ssl và mod_setenvif. Nó đòi hỏi phải tương thích với một số phiên bản của Internet Explorer.