[Security] Secure Socket Layer (SSL)

Secure Socket Layer là một giao thức mã hóa thông tin dc phát triển bởi Netscape nhằm mục đích là bảo mật thông tin dc truyền đi trên Internet.SSL đã phát triển qua nhiều phiên bản khác nhau từ SSL 1.0 - 2.0 - 3.0 và SSL chính là tiền thân của Transport Layer Security (TSL) chuẩn giao thức bảo mật của IETF(RFC 5246).Cả SSL và TSL đều mang đến cho người sử dụng tính bảo mật và toàn vẹn dữ liệu trong các ứng dụng Internet.

SSL cung cấp một kết nối bảo mật và dc chứng thực giữa hai điểm đầu và cuối trên mạng(ví dụ như giữa một trình duyệt và máy chủ ,một email client và một email server...)SSL có những chức năng sau:

• Chứng thực giữa client và server :SSL sử dụng các kĩ thuật mã hóa và giải mã (RC4,DES,RSA,AES.....) để thực hiện thao tác chứng thực.
• Đảm bảo an toàn dữ liệu :SSL đảm bảo dữ liệu dc truyền giữa các điểm đầu cuối k bị sai lệch
• Bảo đảm an toàn thông tin : Dữ liệu di chuyển giữa các điểm đầu cuối dc bảo vệ và chỉ những cá nhân có quyền mới xem thông tin dc

Các thuật toán mã hoá và xác thực của SSL được sử dụng bao gồm (phiên bản 3.0)

Trích:

DES - chuẩn mã hoá dữ liệu (ra đời năm 1977), phát minh và sử dụng của chính phủ Mỹ

DSA - thuật toán chữ ký điện tử, chuẩn xác thực điện tử), phát minh và sử dụng của chính phủ Mỹ

KEA - thuật toán trao đổi khoá), phát minh và sử dụng của chính phủ Mỹ

MD5 - thuật toán tạo giá trị “băm” (message digest), phát minh bởi Rivest;

RC2, RC4 - mã hoá Rivest, phát triển bởi công ty RSA Data Security;

RSA - thuật toán khoá công khai, cho mã hoá va xác thực, phát triển bởi Rivest, Shamir và Adleman;

RSA key exchange - thuật toán trao đổi khoá cho SSL dựa trên thuật toán RSA;

SHA-1 - thuật toán hàm băm an toàn, phát triển và sử dụng bởi chính phủ Mỹ

SKIPJACK - thuật toán khoá đối xứng phân loại được thực hiện trong phần cứng Fortezza, sử dụng bởi chính phủ Mỹ

Triple-DES - mã hoá DES ba lần.

SSL sử dụng giao thức TCP/IP để truyền tải dữ liệu còn bản thân SSL thì mã hóa các dữ liệu này.Người ta thường thấy SSL ở dạng "https://" ,đó là khi chúng ta sử dụng SSL cho các kết nối giữa điểm đầu cuối sử dụng giao thức http để trao đổi dữ liệu.Khi SSL dc dùng trong các ứng dụng trao đổi email,thì nó sẽ ở dạng POP3S hay SMTPS

Hiện nay ,hầu hết các website thương mại điện tử đều ứng dụng SSL để bảo mật cho các giao dịch giữa họ và khách hàng.Để tạo dc một kết nối dạng SSL thì máy chủ web cần phải có thêm một SSL Certificate.Trong quá trình kích hoạt SSL,các nhà quản trị web phải cung cấp một số thông tin đặc trưng cho trang web và cho công ty của họ,sau đó máy chủ sẽ sinh ra một cặp khóa - một private key (khóa riêng ) và một public key (khóa công cộng ).Cặp khóa này dùng để mã hóa dữ liệu truyền giữa khách hàng và máy chủ web.

Sau khi web server tạo ra SSL Certificate,nhà quản trị web phải đăng kí Certificate này với một tổ chức chứng thực.Tổ chức này sẽ cung cấp cho công ty một Certificate Authority(CA),CA này dùng để kiểm tra tính hợp lệ của thông tin website và cho phép trang web sử dụng SSL.Khi có CA thì trang web có thể tạo dc một kết nối mã hóa giữa máy chủ web và trình duyệt của người dùng.

Một SSL Certificate thường chứa những thông tin của công ty như :tên miền,tên nước .Ngoài ra ,nó còn chứa các thông tin về thời hạn hiệu lực của Certificate cũng như các thông tin về tổ chức chứng thực đảm bảo cho website của công ty.

Khi trình duyệt kết nối đến một trang web dc bảo mật,trình duyệt sẽ kiểm tra Certificate của trang web này và bảo đảm 3 yếu tố sau:

1. Certificate này dc cung cấp bởi 1 hãng có uy tín.
2. Certificate này vẫn đang còn hiệu lực.
3. Các thông tin của Certificate này đúng với website đang kết nối đến.

Nếu trong 3 điều kiện trên k thỏa mãn thì trình duyệt sẽ khuyến cáo người dùng rằng trang web trên k dc bảo mật bởi SSL,người dùng cũng có thể chọn tiếp tục truy cập hoặc k truy cập


P/S : Sử dụng SSL trong thương mại điện tử để bảo mật.

Link: http://uitstudent.com/hack-security/6455-secure-socket-layer-ssl.html