it-swarm-tr.com

HTTPS'nin nasıl çalıştığına ilişkin anlayışım (örneğin gmail)

Ziyaret ettiğimiz web sayfası için kullanılan HTTPS ile ilgili aşağıdaki anlayışımın doğru olup olmadığını sormak istiyorum.

Gmail'i örnek olarak kullanacağım:

  1. Dizüstü bilgisayarım Gmail sunucusuna bağlanmaya çalışıyor ve bir http isteği gönderiyor
  2. Gmail sunucusu bunun yerine https bağlantısı kurma isteğiyle yanıtlıyor (https isteği gönderir)
  3. Dizüstü bilgisayarım Gmail sunucusunun https sertifikasını kontrol ediyor ve bağlanmak için https kullanmayı kabul ediyor
  4. Dizüstü bilgisayarım Gmail sunucusunun Genel Anahtarı adresini bulur ve gmail hesabı şifremi şifrelemek için kullanır ve Gmail Sunucusuna gönderir
  5. Gmail Server, Gmail Sunucusunun Özel Anahtar adresini kullanarak şifremi doğrular ve e-posta oturum açmamı onaylar
  6. Gmail Server, dizüstü bilgisayarımın e-posta bilgilerini dizüstü bilgisayarımın Genel Anahtar
  7. Dizüstü bilgisayarım şifrelenmiş e-posta bilgilerini dizüstü bilgisayarımın Özel Anahtar kodunu kullanarak şifresini çözerek okuyor
  8. Dizüstü bilgisayarım Gmail sunucusunda oturumu kapatana kadar böyle devam eder.

Özet: Bu https bağlantısında 4 anahtar vardır. Gmail Server Genel/Özel Anahtarlar (2 adet) + Dizüstü Bilgisayarım Genel/Özel Anahtarlar (2 adet)

27
Xianlin

Evet, doğru yoldasınız! Ama işler aslında sizin özetlediğinizden biraz farklı çalışıyor.

Özellikle, Adım 4-8, SSL'nin çalışma şekli değildir. SSL biraz farklı çalışıyor. Aslında nasıl işliyor (bazı küçük basitleştirmeler yapacağım, ancak bu fikrin özünü doğru yapmalı):

  • Gmail sunucusu istemcinize bir sertifika gönderir. Sertifika, Gmail sunucusunun genel anahtarını ve bu genel anahtarın aslında gmail.com 'A ait olduğunu gösteren bazı kanıtlar içerir.

  • Tarayıcınız, gmail.com İçin uygun genel anahtara sahip olduğunu doğrulamak için sertifikadaki kanıtları doğrular.

  • Tarayıcınız, Gmail'e bağlantı için kullanmak üzere rastgele yeni bir simetrik anahtar [~ # ~] k [~ # ~] seçer. Gmail'in ortak anahtarı altında şifrelenir [~ # ~] k [~ # ~] .

  • Gmail, özel anahtarını kullanarak [~ # ~] k [~ # ~] şifresini çözer. Artık hem tarayıcınız hem de Gmail sunucusu [~ # ~] k [~ # ~] biliyor, ancak başka kimse bilmiyor.

  • Tarayıcınız Gmail’e bir şey göndermek istediğinde, [~ # ~] k [~ # ~] ; Gmail sunucusu alındıktan sonra şifresini çözer. Gmail sunucusu tarayıcınıza bir şey göndermek istediğinde, [~ # ~] k [~ # ~] altında şifreler.

1-3. Adımlarınız kabaca doğrudur, ancak tam olarak doğru değildir ve ayrıntılar birazcık hangi tarayıcıyı kullandığınıza ve adres çubuğuna hangi URL'yi yazdığınıza veya ilk etapta Gmail'e nasıl ulaştığınıza bağlıdır - ancak yazdı temel kavram anlamak için yeterince yakın. Devlet işleri için yeterince iyi.

İşte size bazı ek okumalar:

Bir HTTPS bağlantısı kurulduğunu gözlemleyen kişilerin bunun şifresini nasıl çözeceğini bilmemesi nasıl mümkün olabilir?

Dijital sertifikalar, imzalar ve SSL işlemleri nasıl çalışır?

CA tarafından imzalanan ve güvenilen sertifikaların amacı

SSL sertifikasını taklit etmek neden zordur?

HTTPS neden varsayılan protokol değil?

Herkese açık bir etkin noktadaki HTTPS web sitelerini ziyaret etmek güvenli mi?

Bu makalelerin size SSL'yi, nasıl çalıştığını ve neden bu şekilde tasarlandığını anlamanız gerektiğini düşünüyorum.

Bu yeterli değilse, daha fazlasına sahip olmalısınız, işte Wikipedia'dan bazı makaleler:

Sertifikalar nasıl çalışır

SSL nasıl çalışır

Bununla birlikte, muhtemelen bilmek istediğinizden çok daha fazla teknik ayrıntıya sahiptirler ve kavramlara veya temel fikirlere ilk giriş değildir.

50
D.W.