江湖秘笈：安全协议是为保护数据安全而生 当它们开始变得不再安全我们该如何应对？

一天一点

Hello，看官们晚上好，在这寒冬之中，全国各地纷纷大雪席卷，而京城不见半片不说，居然还刮起了呜呜的狂风，这尼玛到底要闹啥子嘛。

说好的冬天可以看到雪景，它咋就说没就没了呢？从新闻预报及各方收集来的信息显示，京城降雪预计最早也要春节前后，这让一直期望能够在京城见到一次雪景的家中娇妻Ziva很无奈，美好的愿望就此幻灭了。

说实话，其实我也挺想再见到一次北京下雪的样子，要知道距离上一次见到京城下大雪还是多年之前的事情，那时我还是个涉世未深的毛头小子呢。时过境迁，一晃这么多年过去了，作为北方冬季标志性的降雪反到跑去南方下，心里五味杂陈啊。

好啦，简单的一段小回忆，让看官们见笑啦。我们还是赶紧回到今天的技术分享话题。

理一理SSL和TLS协议的基础知识

上周我们一直围绕着爬虫、搜索引擎类技术进行沟通和工具展示，可看官们是否有认真思考一个问题？

无论是Web、网络、信息、爬虫亦或者隐秘数据等，都离不开一个关键性因素，它便是协议。

虽说在2017年的内容中有过部分对协议方面的分析，可那时由于栏目不够成熟，且加上e品小顽童总是爱捣乱，所以并未让看官们感到尽兴。今天呢，我们就重提一回有关协议方面的内容。

1

SSL协议

SSL协议，全称为Secure Sockets Layer 安全套接层。是Netscape研发，用以保障在Internet上数据传输的安全性，利用数据加密（Encryption）技术，确保数据在网络传输过程中不会被截取和窃听。

它主要位于TCP/IP与各应用层协议之间，为数据提供安全支持。

SSL协议可分为两层：

SSL记录协议（SSL Record Protocol），目的是建立可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。

SSL握手协议（SSL Handshake Protocol），建立在SSL记录协议之上，目的是用于在实际的数据传输开始之前，通信双方进行身份认证、协商加密算法、交换加密密匙等。

2

TLS协议

TLS协议，全称是Transport Layer Security 传输层安全，是SSL协议的继承者。同样拥有两层构筑，TLS记录协议（TLS Record）和TLS握手协议（TLS Handshake）。性质与SSL非常相近。

而不同的是，TLS记录协议是一种分层协议，每层中的信息可能包含长度、描述、内容等字段。记录协议支持信息传输、将数据分段到可处理块、压缩数据、应用MAC、加密机传输结果等方面。将接收到的数据进行解密、校验、解压缩、重组等候，再传送给高层客户机。

由此，看官们就可以通过这些描述来对两种安全类型趋近的协议有所了解。

协议的核心价值

从协议自身介绍来看，它们都主要被应用在安全方面。那架设当一个连接使用SSL或TLS加密的HTTPS时，它理应是安全的，而且任何试图拦截它的攻击者都指挥得到一些无意义的数字。

可这并不代表就绝对安全，HTTPS服务器需要正确配置来提供有效的加密层，并保护用户不受MITM攻击或密码分析。

协议的安全性

然而一些SSL协议的实现与设计上本身存在漏洞且被发现，这不得不使我们这些安全维稳工作的看官们要考虑在进行Web应用渗透测试中对安全连接进行强制性验证。

当浏览器连接到HTTPS服务器时，协议会交换有关浏览器可使用及支持的信息，之后在高度复杂的算法上达成一致。如果配置不当的HTTPS服务器上出现了MITM类攻击，攻击者就可以通过生成自己事客户端支持弱加密算法的方式来欺骗服务器。

例如SSL V2R上的56位DES，这种加密算法会让攻击者拦截后再使用该算法的加密通信，进行几小时或数天的告诉计算机进行破解。

协议演示

现在请众看官们一起走进实验室来了解SSL和TLS协议的信息。

1

输出的第一部分明确告诉我们服务的配置信息，包括常见的安全错误配置、重协商、压缩和Heartbleed。该错误在近期的一些TLS协议中被发现为存在漏洞。

2

在第二部分中，SSL Scan会展示服务器接受的加密方式。正如我们看到的图示，它支持SSL V3版本和一些DES的方式。这使得它不再安全。其中红色文字表示不安全性，黄泽文字代表中等强度的加密状态。

3

最后一部分展示的信息就很简单了，解析后的用户名、密码、加密程度以及对应的时间节点等。

好啦，今天关于SSL和TLS协议方面的信息就介绍到这里，希望众看官们能够通过今天的内容有所收获。

2cats 寄语

老规矩不变，

如果有任何问题依旧可以发给e品小顽童。

小顽童的邮箱是：

xiaowantong@epinjianghu.com。

也可以在微信公众号的下方留言，我们会及时整理反馈的。

期待各位的来信交流！

Believe

e品江湖

不失初心 不忘初衷

长按扫码 加关注！