生活札記

[luckyhoo]

一、SSL運作原理
1. Client透過HTTPS連到Server。
2. Server傳送Server Public Key給client。
3. Client產生後續傳輸資料需要用來加密/解密用的Session Key，並以Server傳過來的Public Key加密後回傳給Server。
4. Server用Private Key解開Client以Public Key加密回傳的資料，以取得Session Key。
5. 後續Client與Server間傳送資料就以此Session Key來做資料加密與解密的處理，處理的時間會比使用Server的Public Key與Private Key要快速許多。


二、使用SSL可能會遇到的問題
1. Server的Private Key若不小心流出去，那有心人士只要在SSL連線開始前就開始監聽Client的封包，就可以取得Session Key，這意味著後續傳輸的資料等於是以明文傳送，這會相當危險。
2. 若Client端電腦被植入木馬，Session Key被取得，那以後只要攔截加密的封包就可以直接解開取得資料。


三、為什麼要付錢像公正第三者如VeriSign購買憑證
因為Browser預先就會埋入這些公司憑證的相關資料，所以只要使用HTTPS連上使用這些公司簽署憑證的網站，就可以直接建立SSL連線，不會出現任何警告訊息，而且可以比對憑證上面的資訊是否與網站相符，這會讓人安心得多。
自己製造憑證，雖然一樣會有SSL加密的效果，但只要一使用HTTPS連上線，就會出現警告視窗，而且憑證所示的資料並不一定會與網站相同，這也會讓人懷疑是不是連上了釣魚網站。