- KE: Khoá trao đổi dữ liệu cho trao đổi khoá DifferHelman
Chương IV Một số công nghệ an toàn bổ sung cho các mạng riêng ảo
4.4. Giao thức SSL và TLS
SSL là giao thức bảo mật được phát triển bởi hãng truyền thông Netscape, cùng với hãng bảo mật dữ liệu RSA. Mục đích chính của giao thức SSL là cung cấp một kênh riêng giữa các ứng dụng đang liên lạc với nhau, trong đó đảm bảo tính riêng tư của dữ liệu, tính toàn vẹn và xác thực cho các đối tác. SSL cung cấp một khả năng lựa chọn cho API socket TCP/IP chuẩn có thực thi bảo mật bên trong nó. Do đó, về lý thuyết nó có khả năng chạy với bất kỳ ứng dụng TCP/IP nào theo cách an toàn mà không phải thay đổi ứng dụng. Trong thực tế, SSL chỉ được thực thi với các kết nối HTTP, nhưng hãng truyền thông Netscape đã tuyên bố ý định tận dụng nó cho các kiểu ứng dụng khác, như giao thức NNTP và Telnet, và có một số miễn phí sẵn có trên Internet. Ví dụ, IBM đang sử dụng SSL để nâng cao tính bảo mật cho các phiên TN3270 trong các Host của nó, các phương tiện liên lạc cá nhân và các sản phẩm Server, miễn là cấu hình bảo mật truy cập được các Firewall.
1. Tại tầng thấp, có một giao thức truyền dữ liệu sử dụng loại mật mã được xác định trước và kết hợp xác thực, gọi là giao thức bản ghi SSL, hình 4.8 minh họa giao thức này, và đối chiếu nó với một kết nối socket HTTP chuẩn
Hình 4.8 SSL – so sánh chuẩn giữa chuẩn và phiên SSL
2. Tại tầng trên, có một giao thức cho việc khởi tạo xác thực và truyền các khóa mã hóa, gọi là giao thức thăm dò trước SSL
Một phiên SSL được thiết lập như sau:
- Một người dùng phía Client(Trình duyệt) yêu cầu một tài liệu bằng một địa chỉ URL xác định bắt đầu bằng https(thay cho http)
- Mã phía Client nhận ra SSL yêu cầu và thiết lập một kết nối qua cổng TCP 443 tới mã SSL trên phía Server
- Client sau đó khởi tạo pha thăm dò trước SSL, dùng giao thức bản ghi SSL như một sự hỗ trợ. Tại đây không có sự mã hóa hay kiểm tra tính toàn vẹn gắn liền với kết nối.
Giao thức SSL đề ra các vấn đề an toàn sau:
+ Tính riêng tư: Sau khi khóa đối xứng được thiết lập trong khi thăm dò trước để khởi tạo, các thông điệp được mã hóa bằng khóa này.
+ Tính toàn vẹn: Các thông điệp chứa một mã xác thực thông điệp(MAC) + Tính xác thực: trong khi thăm dò trước, Client xác thực Server sử dụng khóa công khai. Nó cũng có thể dựa trên chứng chỉ
TLS được phát triển nhờ sử dụng SSL, giống như SSL, TLS cho phép các Server và Client cuối liên lạc một cách an toàn qua các mạng công cộng không an toàn.
Thêm vào các khả năng bảo mật được cung cấp bởi SSL, TLS cũng ngăn chặn kẻ nghe trộm, giả mạo, chặn bắt gói tin.
TLS cũng gồm 2 tầng: Giao thức bản ghi TLS và giao thức thăm dò trước TLS. Giao thức bản ghi TLS mang lại sự an toàn bằng cách tận dụng các cơ chế mã hóa, như DES chẳng hạn. Giao thức thăm dò trước TLS cung cấp khả năng xác thực 2 chiều bằng cách cho phép cả Server và Client xác thực lẫn nhau, hơn nữa 2 thực thể muốn liên lạc có thể thương lượng các thuật toán mã hóa và các khóa phục vụ cho việc trao đổi dữ liệu về sau giữa chúng.
Trong các kịch bản mạng riêng ảo, SSL và TLS có thể được thực thi tạo Server VPN cũng như tại Client đầu cuối