Edit

HTTPS 的两三事

今天我们的某条业务线终于使用上了HTTPS。 因为实在是忍受不了某动，某通等运营商的内容劫持。不但会嵌入广告， 而且会嵌入一些js代码，导致整个web都崩溃掉。在这个过程中也比较深入的了解了一下HTTPS协议。这里做一个记录。

实际上HTTPS我个人理解起来就是 HTTP over TLS（transport layer security）， 因此本篇文章的重点也就是TLS的协议。 我们将重点分析TLS是如何建立起来的，以及https 的 hack 方法。

一些基础姿势

RSA

关于RSA加密相信每一个搞计算机的人可能都了解过（但弄明白的很少吧， 数学的东西推导起来头都大了）。非对称加密，故名思意也就是用公钥来加密的，用私钥来解密 。这也是我一开始对于RSA的认知。然而也听说过RSA可以用做签名， 用私钥签名用公钥来验证签名。对于这一点我感到非常的迷惑。How it works? 原来用私钥加密的内容，可以用公钥来解密。公钥和私钥的称谓可能本身具有一定的迷惑性，然而他们本身没有什么本质的区别，用一把钥匙加密，用另一把钥匙解密，这是个双向的。

RSA的证明太过复杂，我们也不做赘述。这里只说两个结论

  • 加密过程： 用公钥来加密后得到密文，用私钥可以解出平文
  • 签名过程： 用平文生成一个摘要，用密钥加密这个摘要。 验签过程就是用公钥解密摘要并重新用获得的平文生成摘要进行对比。（之所以不加密整个的平文，可能就是出于性能考虑吧，反正公钥是发布出去的，其实加密了每个人依旧能得到）

另外非对称加密的方式也不只有RSA一种，比如后面我们提到的Diffie–Hellman也是一种非对称的加密的方式，这种加密方式在密钥交换的过程(key exchange )中还蛮有做用呢。

数字证书（Digital Certificate）

一个小小的故事

密码学有三个名人 Alice， Bob和 Eve。 我们依然用他们三个来讲故事。

  1. Bob要给Alice发送一条信息， 为了证明这条信息是自己发的(没有被伪造 Authentication，没有被篡改 Integrity) 他将这条信息进行了签名并把签名和消息一起发给了Alice
  2. 拥有Bob公钥的Alice 得到这个消息和签名后 通过验证签名是否正确 确定这条消息确实是Bob发的 而且没有被篡改。
  3. 邪恶的Eve想伪造Bob，有一天他偷偷的潜入了Alice的电脑，并把Bob的公钥换成了自己的。物理攻击
  4. 这时Eve就可以伪装成Bob给Alice发消息, 并附带上一个用自己私钥加密后的摘要做签名。因为Alice还不知道Bob的公钥已经被换了，所以验证签名的过程会通过。 这时候Alice已经傻傻分不清Bob和Eve了。

这个问题说明只有公私钥对还是解决不了问题的。我们需要一个方法来保证公钥不会被篡改。又是一个Authentication(Ensure the users of the network are who they say they are)
的问题。 如果信任一个人，需要信任他的公钥， 然而如何做到公钥是可信的？（这里出现了肥皂距离的狗血剧情，既然你不相信我， 那你去问你信任的人好了。问一问他我说的是不是真的。）

后来Bob找到了Alice信任的人 — 一个叫CA的机构。 这个机构比较权威比较出名， 大家都知道他的公钥（因为所有人都知道所以没办法伪造)。 CA将Bob的公钥和Bob的名字以及其他信息放一个文件中，并用自己的私钥对这个文件进行签名，同时将签名放在这个文件的结尾，于是一个高大上的证书就生成了。

Alice 拿到 Bob 的证书后，首先用CA的公钥(这里实际上是一个自签名的根证书) 对Bob的证书进行完整性校验，确保确实是由CA颁发的。然后检查证书里面的信息确实是Bob， 这样 Alice就可以确信证书里面的公钥确实是Bob的公钥， 用他来验证Bob的信息没有问题。

上面的故事已经很好的解释了什么是数字证书及他的做用。 我们在介绍一下现实世界中的证书

现实世界中的证书

在公共网络中，首先有几个比较知名的大的CA机构比如VerSign他们会颁发根证书self-signed root certificate 我们的浏览器或者电脑会有一个信任根证书列表默认保存这些我们信任的根证书。 以MAC电脑为例， 默认信任列表长这样

Alt text

为了保证根证书颁发机构密钥的安全性，他们会很吝啬的使用自己的密钥，但是有很多人需要去获得证书，肿么办？ 于是CA只好去找几个有资质的机构，为他们颁发中间证书（Intermediate certificate authority），拥有这些中间证书的机构又能为自己信的过的机构颁发中间证书(Intermediate certificate authority) 这样就形成了证书链。

用户可以向任意一家CA去申请自己的证书。申请下来的证书长这样

Alt text
可见www.dbbar.net的域名证书是由CA 沃通免费SSL证书G2颁发的。 这个CA机构也有自己的证书长这样

Alt text

总结起来，现实世界按功能分为三种

  1. 自签名证书 self signed root certificate
  2. 为中间证书机构(intermediate certificate authority) 颁发的证书
  3. 为实际证书使用而颁发的证书

证书验证过程

写这篇文章的时候，我一直在想：既然信任链可以延续下去，那我们完全可以申请一个证书然后用这个证书来颁发其他的证书啊。 这样证书不就不可信了么。

猜想程序对证书的验证过程应该是这样的，首先从根证书到要验证证书的证书链。然后检查除要验证证书证书链以上的所有证书的类型是否是self signed root certificate 或者 intermediate certificate authority 如果不是，那么这个要验证的证书就验证不通过。

我们只能寄希望于所有的CA都是公开，公平，公正的了。他们会对每一个下级CA进行严格的审查， 以确保CA中不会有坏人。（万一哪天某动或者某通成了CA就不好说了，他们会直接伪造证书，进行中间人吧。）

HTTPS建立的过程

HTTPS 建立的前几秒主要是完成客户端对服务端的验证Authentication, 通信过程中用的加密方式，数据校验方式的协商， 通信过程中要使用的密钥(master key)的交换等过程。 因为后续的通信是加密的，可以防止监听(Confidentiality) 同时会进行数据的校验以防止内容被篡改(Integrity)

网上有好多介绍https的过程的，这里简单给一个时序图，感兴趣的同学可以去深入了解

解释：

  1. Client Hello
    这个包中有几个信息

    • Random，这里客户端给服务端发了第一个随机值为了方便我们叫做RandomA
    • Session ID: 如果有的话服务端会决定是否要复用以前的session 以调过交换密钥的过程
    • Cipher Suites：客户端支持的密码套件
    • Extension: 一些扩展，比如server_name 用来标记要访问的VHOST以应对一个ip多个VHOST部署的情况。

  2. Server Hello
    这个包中返回了几个信息：

    • Random: 这是客户端给服务端的一个随机值我们计做RandomB
    • Cipher Suite 要使用的密码套件

    如api.dbbar.net返回的Server Hello包长这样 Alt text
    这里可以看到Server端选用的加密套机是TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA(我们将在后文中解释Cipher Suite)

  3. Server Certificate server端把证书发给client端

  4. Server Key Exchange
    这一步与选择的加密套件有关， 有的加密套件规定的密钥协商机制需要每次动态的使用公钥和私钥。这一步骤传的Key需要用第3步传递的证书进行签名
    如： Alt text
    这里又涉及了另一个非对称加密算Difffie-Hellman
  5. * Server Hello Done *: Server Hello 结束
  6. Client Key Exchange: Client把自己的key发送给客户端， 这一步与选择的加密套件有关系。 总之，经过这一步骤之后客户端与服务端就会有一个共享的第三方不知道的密钥（premaster）。 然后客户端与服务端用这个密钥经过加密套件约定的密码推导算法推倒出用于通信的密钥master
  7. Change Cipher Spec从现在开始客户端用加密的方式与服务端通信
  8. Client Finished Message 客户端握手完成，发送的第一条加密信息
  9. New Session Ticket： 服务端给客户端发送一个ticket, 相当于新的session Id, 用于建立起来的信复用。
  10. Change Cipher Spec: 从现在开始服务端用加密的方式与服务端通信
  11. Server Finished Message： 服务端握手完成

一个比较直观的看ssl建立链接的过程是用openssl, 执行openssl s_client -debug -connect api.dbbar.net:443 或者采用wireshark抓包的方式会看到比较完整的连接建立信息这里不做赘述。

Cipher Suite

前面已经多次提到了cipher suite 究竟什么是cipher suite? wiki上给的答案是 A cipher suite is a named combination of authentication, encryption, message authentication code (MAC) and key exchange algorithms used to negotiate the security settings for a network connection using the Transport Layer Security (TLS) / Secure Sockets Layer (SSL) network protocol. 简单的来说一个加密套件规定了TLS建立连接过程的具体细节如： 如何进行加密，如何产生信息校验码， 如何进行密钥交换。

一个Cipher Suite 比如我们前面提到的TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 定义了具体的密钥交换算法，块加密算法， 信息校验码产生算法， 及具体的密码推导算法 pseudorandom function（PRF）
在这个例子中

  • 密钥交换算法：ECDHE_RSA 定义了客户端与服务端如何进行premaster的传递。
  • 块加密算法：AES_256_CBC 是具体传递信息是用的块加密方法
  • MAC: 这里用SHA 的方式进行数据完整性校验
  • Pseudo Random Function(PRF): PRF是TLS1.2 所有的密码推导算法。 这个算法采用伪随机数的生成的方式，以前面客户端与服务端端传递的RandomA, RandomB, premaster 生成master key， 这个就是后续客户端与服务端通信要使用的密钥。用RandomA, RandomB 来保证密钥的随机性不被任意一端所影响。 因为premaster交换的过程是保密的(第三方监听不到) 所以最终生成的master key也是保密的。

当然TLS协议定议了很多cipher suite， 每一个cipher suite 的安全性也不太一样，对CPU性能的占用也不太一样。

HTTPS下如何去抓包

HTTPS进行抓包，实际上是进行了一次中间人攻击。 我们需要伪造一个假的证书，并让客户端去信任这个证书。然后客户端与中间人就可以建立起TLS链接。然后中间人再去代理真正的客户端请求服务端。这样解决问题的方式就是这样的了：

那如何才能伪造假证书呢？ 这时我们就需要在客户端安装一个我们知道密钥的根证书并信任它。这样我们就能用我们的密钥去颁发假的证书。而因为客户端信任了我们的根证书，所以它也会认为我们颁发的假证书是真正的证书， 这样真真假假就傻傻分不清楚了。

关于假证书的问题，记得前几年前goagent还存在的时候曾经报出个0 day 漏洞。因为好多人安装并信任了goagent的证书。并且goagent的证书的密钥是公开的。所以可以中间人攻击https服务。做法就是使用goagent的密钥来签名伪造的证书。这样屡试不爽。

我们以BurpSuite为例，验证一下这个思路

HTTPS hacker

step1: 将Burpsuite的自签名证书导入firefox并信任。
step2: 设置firefox代理到burpsuite

我将用wareshare抓从firefox到burpsuite的包来分析流量

Alt text

果然：这里用了一个我们之前信任的PortSwigger CA 证书签名了api.dbbar.net 域名。这样来实现中间人攻击。验证了之前的猜想

总结

  1. HTTPS本身还是比较复杂的。通过加密的方式，可以有效的防止中间人攻击，前提是客户端不要随意信任无效的证书。
  2. 面向HTTPS的协议有时需要去抓包分析，常用的抓包工具如burpsuit charlex支持伪造证书以进行中间人攻击。 采用这种方式也方便了我们去分析HTTPS协议。
%23%20HTTPS%20%u7684%u4E24%u4E09%u4E8B%0A@%28tech%29%5Bpublished%5D%0A%0A%u4ECA%u5929%u6211%u4EEC%u7684%u67D0%u6761%u4E1A%u52A1%u7EBF%u7EC8%u4E8E%u4F7F%u7528%u4E0A%u4E86%60HTTPS%60%u3002%20%u56E0%u4E3A%u5B9E%u5728%u662F%u5FCD%u53D7%u4E0D%u4E86%u67D0%u52A8%uFF0C%u67D0%u901A%u7B49%u8FD0%u8425%u5546%u7684%u5185%u5BB9%u52AB%u6301%u3002%u4E0D%u4F46%u4F1A%u5D4C%u5165%u5E7F%u544A%uFF0C%20%u800C%u4E14%u4F1A%u5D4C%u5165%u4E00%u4E9Bjs%u4EE3%u7801%uFF0C%u5BFC%u81F4%u6574%u4E2Aweb%u90FD%u5D29%u6E83%u6389%u3002%u5728%u8FD9%u4E2A%u8FC7%u7A0B%u4E2D%u4E5F%u6BD4%u8F83%u6DF1%u5165%u7684%u4E86%u89E3%u4E86%u4E00%u4E0B%60HTTPS%60%u534F%u8BAE%u3002%u8FD9%u91CC%u505A%u4E00%u4E2A%u8BB0%u5F55%u3002%0A%0A%u5B9E%u9645%u4E0A%60HTTPS%60%u6211%u4E2A%u4EBA%u7406%u89E3%u8D77%u6765%u5C31%u662F%20HTTP%20over%20TLS%uFF08transport%20layer%20security%uFF09%uFF0C%20%20%u56E0%u6B64%u672C%u7BC7%u6587%u7AE0%u7684%u91CD%u70B9%u4E5F%u5C31%u662FTLS%u7684%u534F%u8BAE%u3002%20%u6211%u4EEC%u5C06%u91CD%u70B9%u5206%u6790TLS%u662F%u5982%u4F55%u5EFA%u7ACB%u8D77%u6765%u7684%uFF0C%u4EE5%u53CAhttps%20%u7684%20hack%20%u65B9%u6CD5%u3002%0A%0A%0A%23%23%20%u4E00%u4E9B%u57FA%u7840%u59FF%u52BF%0A%0A%23%23%23%20RSA%0A%0A%u5173%u4E8ERSA%u52A0%u5BC6%u76F8%u4FE1%u6BCF%u4E00%u4E2A%u641E%u8BA1%u7B97%u673A%u7684%u4EBA%u53EF%u80FD%u90FD%u4E86%u89E3%u8FC7%uFF08%u4F46%u5F04%u660E%u767D%u7684%u5F88%u5C11%u5427%uFF0C%20%u6570%u5B66%u7684%u4E1C%u897F%u63A8%u5BFC%u8D77%u6765%u5934%u90FD%u5927%u4E86%uFF09%u3002%u975E%u5BF9%u79F0%u52A0%u5BC6%uFF0C%u6545%u540D%u601D%u610F%u4E5F%u5C31%u662F**%u7528%u516C%u94A5%u6765%u52A0%u5BC6%u7684%uFF0C%u7528%u79C1%u94A5%u6765%u89E3%u5BC6**%20%u3002%u8FD9%u4E5F%u662F%u6211%u4E00%u5F00%u59CB%u5BF9%u4E8ERSA%u7684%u8BA4%u77E5%u3002%u7136%u800C%u4E5F%u542C%u8BF4%u8FC7RSA%u53EF%u4EE5%u7528%u505A%u7B7E%u540D%uFF0C%20%u7528%u79C1%u94A5%u7B7E%u540D%u7528%u516C%u94A5%u6765%u9A8C%u8BC1%u7B7E%u540D%u3002%u5BF9%u4E8E%u8FD9%u4E00%u70B9%u6211%u611F%u5230%u975E%u5E38%u7684%u8FF7%u60D1%u3002How%20it%20works%3F%20%u539F%u6765**%u7528%u79C1%u94A5%u52A0%u5BC6%u7684%u5185%u5BB9%uFF0C%u53EF%u4EE5%u7528%u516C%u94A5%u6765%u89E3%u5BC6**%u3002%u516C%u94A5%u548C%u79C1%u94A5%u7684%u79F0%u8C13%u53EF%u80FD%u672C%u8EAB%u5177%u6709%u4E00%u5B9A%u7684%u8FF7%u60D1%u6027%uFF0C%u7136%u800C%u4ED6%u4EEC%u672C%u8EAB%u6CA1%u6709%u4EC0%u4E48%u672C%u8D28%u7684%u533A%u522B%uFF0C%u7528%u4E00%u628A%u94A5%u5319%u52A0%u5BC6%uFF0C%u7528%u53E6%u4E00%u628A%u94A5%u5319%u89E3%u5BC6%uFF0C%u8FD9%u662F%u4E2A%u53CC%u5411%u7684%u3002%0A%0ARSA%u7684%u8BC1%u660E%u592A%u8FC7%u590D%u6742%uFF0C%u6211%u4EEC%u4E5F%u4E0D%u505A%u8D58%u8FF0%u3002%u8FD9%u91CC%u53EA%u8BF4%u4E24%u4E2A%u7ED3%u8BBA%0A%0A*%20%u52A0%u5BC6%u8FC7%u7A0B%uFF1A%20%u7528%u516C%u94A5%u6765%u52A0%u5BC6%u540E%u5F97%u5230%u5BC6%u6587%uFF0C%u7528%u79C1%u94A5%u53EF%u4EE5%u89E3%u51FA%u5E73%u6587%0A*%20%u7B7E%u540D%u8FC7%u7A0B%uFF1A%20%u7528%u5E73%u6587%u751F%u6210%u4E00%u4E2A%u6458%u8981%uFF0C%u7528%u5BC6%u94A5%u52A0%u5BC6%u8FD9%u4E2A%u6458%u8981%u3002%20%u9A8C%u7B7E%u8FC7%u7A0B%u5C31%u662F%u7528%u516C%u94A5%u89E3%u5BC6%u6458%u8981%u5E76%u91CD%u65B0%u7528%u83B7%u5F97%u7684%u5E73%u6587%u751F%u6210%u6458%u8981%u8FDB%u884C%u5BF9%u6BD4%u3002%uFF08%u4E4B%u6240%u4EE5%u4E0D%u52A0%u5BC6%u6574%u4E2A%u7684%u5E73%u6587%uFF0C%u53EF%u80FD%u5C31%u662F%u51FA%u4E8E%u6027%u80FD%u8003%u8651%u5427%uFF0C%u53CD%u6B63%u516C%u94A5%u662F%u53D1%u5E03%u51FA%u53BB%u7684%uFF0C%u5176%u5B9E%u52A0%u5BC6%u4E86%u6BCF%u4E2A%u4EBA%u4F9D%u65E7%u80FD%u5F97%u5230%uFF09%0A%20%0A%u53E6%u5916%u975E%u5BF9%u79F0%u52A0%u5BC6%u7684%u65B9%u5F0F%u4E5F%u4E0D%u53EA%u6709RSA%u4E00%u79CD%uFF0C%u6BD4%u5982%u540E%u9762%u6211%u4EEC%u63D0%u5230%u7684%60Diffie%u2013Hellman%60%u4E5F%u662F%u4E00%u79CD%u975E%u5BF9%u79F0%u7684%u52A0%u5BC6%u7684%u65B9%u5F0F%uFF0C%u8FD9%u79CD%u52A0%u5BC6%u65B9%u5F0F%u5728%u5BC6%u94A5%u4EA4%u6362%u7684%u8FC7%u7A0B%28**key%20exchange%20**%29%u4E2D%u8FD8%u86EE%u6709%u505A%u7528%u5462%u3002%0A%20%0A%23%23%23%20%20%u6570%u5B57%u8BC1%u4E66%uFF08Digital%20Certificate%uFF09%0A%0A%23%23%23%23%20%20%u4E00%u4E2A%u5C0F%u5C0F%u7684%u6545%u4E8B%0A%0A%u5BC6%u7801%u5B66%u6709%u4E09%u4E2A%u540D%u4EBA%20Alice%uFF0C%20Bob%u548C%20Eve%u3002%20%u6211%u4EEC%u4F9D%u7136%u7528%u4ED6%u4EEC%u4E09%u4E2A%u6765%u8BB2%u6545%u4E8B%u3002%0A%0A%201.%20Bob%u8981%u7ED9Alice%u53D1%u9001%u4E00%u6761%u4FE1%u606F%uFF0C%20%u4E3A%u4E86%u8BC1%u660E%u8FD9%u6761%u4FE1%u606F%u662F%u81EA%u5DF1%u53D1%u7684%28%u6CA1%u6709%u88AB%u4F2A%u9020%20**Authentication**%uFF0C%u6CA1%u6709%u88AB%u7BE1%u6539%20**Integrity**%29%20%u4ED6%u5C06%u8FD9%u6761%u4FE1%u606F%u8FDB%u884C%u4E86%u7B7E%u540D%u5E76%u628A%u7B7E%u540D%u548C%u6D88%u606F%u4E00%u8D77%u53D1%u7ED9%u4E86Alice%0A%202.%20%u62E5%u6709Bob%u516C%u94A5%u7684Alice%20%u5F97%u5230%u8FD9%u4E2A%u6D88%u606F%u548C%u7B7E%u540D%u540E%20%u901A%u8FC7%u9A8C%u8BC1%u7B7E%u540D%u662F%u5426%u6B63%u786E%20%20%u786E%u5B9A%u8FD9%u6761%u6D88%u606F%u786E%u5B9E%u662FBob%u53D1%u7684%20%u800C%u4E14%u6CA1%u6709%u88AB%u7BE1%u6539%u3002%0A%203.%20%u90AA%u6076%u7684Eve%u60F3%u4F2A%u9020Bob%uFF0C%u6709%u4E00%u5929%u4ED6%u5077%u5077%u7684%u6F5C%u5165%u4E86Alice%u7684%u7535%u8111%uFF0C%u5E76%u628ABob%u7684%u516C%u94A5%u6362%u6210%u4E86%u81EA%u5DF1%u7684%u3002**%u7269%u7406%u653B%u51FB**%0A%204.%20%u8FD9%u65F6Eve%u5C31%u53EF%u4EE5%u4F2A%u88C5%u6210Bob%u7ED9Alice%u53D1%u6D88%u606F%2C%20%u5E76%u9644%u5E26%u4E0A%u4E00%u4E2A%u7528%u81EA%u5DF1%u79C1%u94A5%u52A0%u5BC6%u540E%u7684%u6458%u8981%u505A%u7B7E%u540D%u3002%u56E0%u4E3AAlice%u8FD8%u4E0D%u77E5%u9053Bob%u7684%u516C%u94A5%u5DF2%u7ECF%u88AB%u6362%u4E86%uFF0C%u6240%u4EE5%u9A8C%u8BC1%u7B7E%u540D%u7684%u8FC7%u7A0B%u4F1A%u901A%u8FC7%u3002%20%u8FD9%u65F6%u5019Alice%u5DF2%u7ECF%u50BB%u50BB%u5206%u4E0D%u6E05Bob%u548CEve%u4E86%u3002%0A%20%0A%u8FD9%u4E2A%u95EE%u9898%u8BF4%u660E%u53EA%u6709%u516C%u79C1%u94A5%u5BF9%u8FD8%u662F%u89E3%u51B3%u4E0D%u4E86%u95EE%u9898%u7684%u3002%u6211%u4EEC%u9700%u8981%u4E00%u4E2A%u65B9%u6CD5%u6765%u4FDD%u8BC1%u516C%u94A5%u4E0D%u4F1A%u88AB%u7BE1%u6539%u3002%u53C8%u662F%u4E00%u4E2A**Authentication**%28Ensure%20the%20users%20of%20the%20network%20are%20who%20they%20say%20they%20are%29%0A%u7684%u95EE%u9898%u3002%20%u5982%u679C%u4FE1%u4EFB%u4E00%u4E2A%u4EBA%uFF0C%u9700%u8981%u4FE1%u4EFB%u4ED6%u7684%u516C%u94A5%uFF0C%20%u7136%u800C%u5982%u4F55%u505A%u5230%u516C%u94A5%u662F%u53EF%u4FE1%u7684%uFF1F%uFF08%u8FD9%u91CC%u51FA%u73B0%u4E86%u80A5%u7682%u8DDD%u79BB%u7684%u72D7%u8840%u5267%u60C5%uFF0C%u65E2%u7136%u4F60%u4E0D%u76F8%u4FE1%u6211%uFF0C%20%u90A3%u4F60%u53BB%u95EE%u4F60%u4FE1%u4EFB%u7684%u4EBA%u597D%u4E86%u3002%u95EE%u4E00%u95EE%u4ED6%u6211%u8BF4%u7684%u662F%u4E0D%u662F%u771F%u7684%u3002%uFF09%0A%0A%u540E%u6765Bob%u627E%u5230%u4E86Alice%u4FE1%u4EFB%u7684%u4EBA%20---%20%u4E00%u4E2A%u53EB**CA**%u7684%u673A%u6784%u3002%20%u8FD9%u4E2A%u673A%u6784%u6BD4%u8F83%u6743%u5A01%u6BD4%u8F83%u51FA%u540D%uFF0C%20%u5927%u5BB6%u90FD%u77E5%u9053%u4ED6%u7684%u516C%u94A5%uFF08%u56E0%u4E3A%u6240%u6709%u4EBA%u90FD%u77E5%u9053%u6240%u4EE5%u6CA1%u529E%u6CD5%u4F2A%u9020%29%u3002%20CA%u5C06Bob%u7684%u516C%u94A5%u548CBob%u7684%u540D%u5B57%u4EE5%u53CA%u5176%u4ED6%u4FE1%u606F%u653E%u4E00%u4E2A%u6587%u4EF6%u4E2D%uFF0C%u5E76%u7528%u81EA%u5DF1%u7684%u79C1%u94A5%u5BF9%u8FD9%u4E2A%u6587%u4EF6%u8FDB%u884C%u7B7E%u540D%uFF0C%u540C%u65F6%u5C06%u7B7E%u540D%u653E%u5728%u8FD9%u4E2A%u6587%u4EF6%u7684%u7ED3%u5C3E%uFF0C%u4E8E%u662F%u4E00%u4E2A%u9AD8%u5927%u4E0A%u7684%u8BC1%u4E66%u5C31%u751F%u6210%u4E86%u3002%0A%0AAlice%20%u62FF%u5230%20Bob%20%u7684%u8BC1%u4E66%u540E%uFF0C%u9996%u5148%u7528**CA**%u7684%u516C%u94A5%28%u8FD9%u91CC%u5B9E%u9645%u4E0A%u662F%u4E00%u4E2A%u81EA%u7B7E%u540D%u7684%u6839%u8BC1%u4E66%29%20%u5BF9Bob%u7684%u8BC1%u4E66%u8FDB%u884C%u5B8C%u6574%u6027%u6821%u9A8C%uFF0C%u786E%u4FDD%u786E%u5B9E%u662F%u7531**CA**%u9881%u53D1%u7684%u3002%u7136%u540E%u68C0%u67E5%u8BC1%u4E66%u91CC%u9762%u7684%u4FE1%u606F%u786E%u5B9E%u662FBob%uFF0C%20%u8FD9%u6837%20Alice%u5C31%u53EF%u4EE5%u786E%u4FE1%u8BC1%u4E66%u91CC%u9762%u7684%u516C%u94A5%u786E%u5B9E%u662FBob%u7684%u516C%u94A5%uFF0C%20%u7528%u4ED6%u6765%u9A8C%u8BC1Bob%u7684%u4FE1%u606F%u6CA1%u6709%u95EE%u9898%u3002%20%0A%0A%u4E0A%u9762%u7684%u6545%u4E8B%u5DF2%u7ECF%u5F88%u597D%u7684%u89E3%u91CA%u4E86%u4EC0%u4E48%u662F%u6570%u5B57%u8BC1%u4E66%u53CA%u4ED6%u7684%u505A%u7528%u3002%20%u6211%u4EEC%u5728%u4ECB%u7ECD%u4E00%u4E0B%u73B0%u5B9E%u4E16%u754C%u4E2D%u7684%u8BC1%u4E66%20%0A%0A%23%23%23%23%20%20%u73B0%u5B9E%u4E16%u754C%u4E2D%u7684%u8BC1%u4E66%0A%0A%u5728%u516C%u5171%u7F51%u7EDC%u4E2D%uFF0C%u9996%u5148%u6709%u51E0%u4E2A%u6BD4%u8F83%u77E5%u540D%u7684%u5927%u7684CA%u673A%u6784%u6BD4%u5982**VerSign**%u4ED6%u4EEC%u4F1A%u9881%u53D1%u6839%u8BC1%u4E66**self-signed%20root%20certificate**%20%u6211%u4EEC%u7684%u6D4F%u89C8%u5668%u6216%u8005%u7535%u8111%u4F1A%u6709%u4E00%u4E2A%u4FE1%u4EFB%u6839%u8BC1%u4E66%u5217%u8868%u9ED8%u8BA4%u4FDD%u5B58%u8FD9%u4E9B%u6211%u4EEC%u4FE1%u4EFB%u7684%u6839%u8BC1%u4E66%u3002%20%u4EE5MAC%u7535%u8111%u4E3A%u4F8B%uFF0C%20%u9ED8%u8BA4%u4FE1%u4EFB%u5217%u8868%u957F%u8FD9%u6837%0A%21%5BAlt%20text%5D%281467991656416.png%29%0A%0A%u4E3A%u4E86%u4FDD%u8BC1%u6839%u8BC1%u4E66%u9881%u53D1%u673A%u6784%u5BC6%u94A5%u7684%u5B89%u5168%u6027%uFF0C%u4ED6%u4EEC%u4F1A%u5F88%u541D%u556C%u7684%u4F7F%u7528%u81EA%u5DF1%u7684%u5BC6%u94A5%uFF0C%u4F46%u662F%u6709%u5F88%u591A%u4EBA%u9700%u8981%u53BB%u83B7%u5F97%u8BC1%u4E66%uFF0C%u80BF%u4E48%u529E%uFF1F%20%u4E8E%u662F**CA**%u53EA%u597D%u53BB%u627E%u51E0%u4E2A%u6709%u8D44%u8D28%u7684%u673A%u6784%uFF0C%u4E3A%u4ED6%u4EEC%u9881%u53D1%u4E2D%u95F4%u8BC1%u4E66%uFF08**Intermediate%20certificate%20authority**%uFF09%uFF0C%u62E5%u6709%u8FD9%u4E9B%u4E2D%u95F4%u8BC1%u4E66%u7684%u673A%u6784%u53C8%u80FD%u4E3A%u81EA%u5DF1%u4FE1%u7684%u8FC7%u7684%u673A%u6784%u9881%u53D1%u4E2D%u95F4%u8BC1%u4E66%28**Intermediate%20certificate%20authority**%29%20%u8FD9%u6837%u5C31%u5F62%u6210%u4E86%u8BC1%u4E66%u94FE%u3002%0A%0A%u7528%u6237%u53EF%u4EE5%u5411%u4EFB%u610F%u4E00%u5BB6CA%u53BB%u7533%u8BF7%u81EA%u5DF1%u7684%u8BC1%u4E66%u3002%u7533%u8BF7%u4E0B%u6765%u7684%u8BC1%u4E66%u957F%u8FD9%u6837%0A%21%5BAlt%20text%5D%281467901169357.png%29%0A%u53EF%u89C1%60www.dbbar.net%60%u7684%u57DF%u540D%u8BC1%u4E66%u662F%u7531%60CA%20%20%u6C83%u901A%u514D%u8D39SSL%u8BC1%u4E66G2%60%u9881%u53D1%u7684%u3002%20%u8FD9%u4E2ACA%u673A%u6784%u4E5F%u6709%u81EA%u5DF1%u7684%u8BC1%u4E66%u957F%u8FD9%u6837%0A%21%5BAlt%20text%5D%281467901340514.png%29%0A%0A%u603B%u7ED3%u8D77%u6765%uFF0C%u73B0%u5B9E%u4E16%u754C%u6309%u529F%u80FD%u5206%u4E3A%u4E09%u79CD%0A%0A1.%20%20%u81EA%u7B7E%u540D%u8BC1%u4E66%20self%20signed%20root%20certificate%20%0A2.%20%20%u4E3A%u4E2D%u95F4%u8BC1%u4E66%u673A%u6784%28intermediate%20certificate%20authority%29%20%u9881%u53D1%u7684%u8BC1%u4E66%0A3.%20%20%u4E3A%u5B9E%u9645%u8BC1%u4E66%u4F7F%u7528%u800C%u9881%u53D1%u7684%u8BC1%u4E66%0A%0A%23%23%23%23%20%u8BC1%u4E66%u9A8C%u8BC1%u8FC7%u7A0B%0A%u5199%u8FD9%u7BC7%u6587%u7AE0%u7684%u65F6%u5019%uFF0C%u6211%u4E00%u76F4%u5728%u60F3%uFF1A%u65E2%u7136%u4FE1%u4EFB%u94FE%u53EF%u4EE5%u5EF6%u7EED%u4E0B%u53BB%uFF0C%u90A3%u6211%u4EEC%u5B8C%u5168%u53EF%u4EE5%u7533%u8BF7%u4E00%u4E2A%u8BC1%u4E66%u7136%u540E%u7528%u8FD9%u4E2A%u8BC1%u4E66%u6765%u9881%u53D1%u5176%u4ED6%u7684%u8BC1%u4E66%u554A%u3002%20%u8FD9%u6837%u8BC1%u4E66%u4E0D%u5C31%u4E0D%u53EF%u4FE1%u4E86%u4E48%u3002%0A%0A%u731C%u60F3%u7A0B%u5E8F%u5BF9%u8BC1%u4E66%u7684%u9A8C%u8BC1%u8FC7%u7A0B%u5E94%u8BE5%u662F%u8FD9%u6837%u7684%uFF0C%u9996%u5148%u4ECE%u6839%u8BC1%u4E66%u5230%u8981%u9A8C%u8BC1%u8BC1%u4E66%u7684%u8BC1%u4E66%u94FE%u3002%u7136%u540E%u68C0%u67E5%u9664%u8981%u9A8C%u8BC1%u8BC1%u4E66%u8BC1%u4E66%u94FE%u4EE5%u4E0A%u7684%u6240%u6709%u8BC1%u4E66%u7684%u7C7B%u578B%u662F%u5426%u662Fself%20signed%20root%20certificate%20%u6216%u8005%20intermediate%20certificate%20authority%20%u5982%u679C%u4E0D%u662F%uFF0C%u90A3%u4E48%u8FD9%u4E2A%u8981%u9A8C%u8BC1%u7684%u8BC1%u4E66%u5C31%u9A8C%u8BC1%u4E0D%u901A%u8FC7%u3002%0A%0A%u6211%u4EEC%u53EA%u80FD%u5BC4%u5E0C%u671B%u4E8E%u6240%u6709%u7684CA%u90FD%u662F%u516C%u5F00%uFF0C%u516C%u5E73%uFF0C%u516C%u6B63%u7684%u4E86%u3002%u4ED6%u4EEC%u4F1A%u5BF9%u6BCF%u4E00%u4E2A%u4E0B%u7EA7CA%u8FDB%u884C%u4E25%u683C%u7684%u5BA1%u67E5%uFF0C%20%u4EE5%u786E%u4FDDCA%u4E2D%u4E0D%u4F1A%u6709%u574F%u4EBA%u3002%uFF08%u4E07%u4E00%u54EA%u5929%u67D0%u52A8%u6216%u8005%u67D0%u901A%u6210%u4E86CA%u5C31%u4E0D%u597D%u8BF4%u4E86%uFF0C%u4ED6%u4EEC%u4F1A%u76F4%u63A5%u4F2A%u9020%u8BC1%u4E66%uFF0C%u8FDB%u884C%u4E2D%u95F4%u4EBA%u5427%u3002%uFF09%0A%0A%0A%0A%23%23%20%20HTTPS%u5EFA%u7ACB%u7684%u8FC7%u7A0B%0A%0AHTTPS%20%u5EFA%u7ACB%u7684%u524D%u51E0%u79D2%u4E3B%u8981%u662F%u5B8C%u6210%u5BA2%u6237%u7AEF%u5BF9%u670D%u52A1%u7AEF%u7684%u9A8C%u8BC1**Authentication**%2C%20%u901A%u4FE1%u8FC7%u7A0B%u4E2D%u7528%u7684%u52A0%u5BC6%u65B9%u5F0F%uFF0C%u6570%u636E%u6821%u9A8C%u65B9%u5F0F%u7684%u534F%u5546%uFF0C%20%u901A%u4FE1%u8FC7%u7A0B%u4E2D%u8981%u4F7F%u7528%u7684%u5BC6%u94A5%28master%20key%29%u7684%u4EA4%u6362%u7B49%u8FC7%u7A0B%u3002%20%u56E0%u4E3A%u540E%u7EED%u7684%u901A%u4FE1%u662F%u52A0%u5BC6%u7684%uFF0C%u53EF%u4EE5%u9632%u6B62%u76D1%u542C%28**Confidentiality**%29%20%u540C%u65F6%u4F1A%u8FDB%u884C%u6570%u636E%u7684%u6821%u9A8C%u4EE5%u9632%u6B62%u5185%u5BB9%u88AB%u7BE1%u6539%28**Integrity**%29%0A%0A%u7F51%u4E0A%u6709%u597D%u591A%u4ECB%u7ECDhttps%u7684%u8FC7%u7A0B%u7684%uFF0C%u8FD9%u91CC%u7B80%u5355%u7ED9%u4E00%u4E2A%u65F6%u5E8F%u56FE%uFF0C%u611F%u5174%u8DA3%u7684%u540C%u5B66%u53EF%u4EE5%u53BB%u6DF1%u5165%u4E86%u89E3%0A%0A%60%60%60sequence%0AClient-%3EServer%3A%201.Client%20Hello%0AServer-%3EClient%3A%202.%20Server%20Hello%0AServer-%3EClient%3A%203.%20Server%20Certificate%0AServer-%3EClient%3A%204.%20Server%20Key%20Exchange%0AServer-%3EClient%3A%205.%20Server%20Hello%20Done%0AClient-%3EServer%3A%206.%20Client%20Key%20Exchange%0AClient-%3EServer%3A%207.%20Change%20Cipher%20Spec%0AClient-%3EServer%3A%208.%20%20Client%20Finished%20Message%0AServer-%3EClient%3A%209.%20New%20Session%20Ticket%0AServer-%3EClient%3A%2010.%20Change%20Cipher%20Spec%0AServer-%3EClient%3A%2011%3A%20Server%20Finished%20Message%0A%60%60%60%0A%u89E3%u91CA%uFF1A%0A1.%20%20**Client%20Hello**%20%0A%u8FD9%u4E2A%u5305%u4E2D%u6709%u51E0%u4E2A%u4FE1%u606F%20%0A+%20Random%uFF0C%u8FD9%u91CC%u5BA2%u6237%u7AEF%u7ED9%u670D%u52A1%u7AEF%u53D1%u4E86%u7B2C%u4E00%u4E2A%u968F%u673A%u503C%u4E3A%u4E86%u65B9%u4FBF%u6211%u4EEC%u53EB%u505ARandomA%0A+%20Session%20ID%3A%20%u5982%u679C%u6709%u7684%u8BDD%u670D%u52A1%u7AEF%u4F1A%u51B3%u5B9A%u662F%u5426%u8981%u590D%u7528%u4EE5%u524D%u7684session%20%u4EE5%u8C03%u8FC7%u4EA4%u6362%u5BC6%u94A5%u7684%u8FC7%u7A0B%0A+%20Cipher%20Suites%uFF1A%u5BA2%u6237%u7AEF%u652F%u6301%u7684%u5BC6%u7801%u5957%u4EF6%0A+%20Extension%3A%20%u4E00%u4E9B%u6269%u5C55%uFF0C%u6BD4%u5982server_name%20%u7528%u6765%u6807%u8BB0%u8981%u8BBF%u95EE%u7684%60VHOST%60%u4EE5%u5E94%u5BF9%u4E00%u4E2Aip%u591A%u4E2AVHOST%u90E8%u7F72%u7684%u60C5%u51B5%u3002%0A%0A2.%20**Server%20Hello**%0A%u8FD9%u4E2A%u5305%u4E2D%u8FD4%u56DE%u4E86%u51E0%u4E2A%u4FE1%u606F%uFF1A%0A+%20Random%3A%20%u8FD9%u662F%u5BA2%u6237%u7AEF%u7ED9%u670D%u52A1%u7AEF%u7684%u4E00%u4E2A%u968F%u673A%u503C%u6211%u4EEC%u8BA1%u505ARandomB%0A+%20Cipher%20Suite%20%u8981%u4F7F%u7528%u7684%u5BC6%u7801%u5957%u4EF6%0A%0A%20%u5982%60api.dbbar.net%60%u8FD4%u56DE%u7684%60Server%20Hello%60%u5305%u957F%u8FD9%u6837%20%21%5BAlt%20text%5D%281468473702072.png%29%0A%20%u8FD9%u91CC%u53EF%u4EE5%u770B%u5230Server%u7AEF%u9009%u7528%u7684%u52A0%u5BC6%u5957%u673A%u662F%60TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA%60%28%u6211%u4EEC%u5C06%u5728%u540E%u6587%u4E2D%u89E3%u91CA%60Cipher%20Suite%60%29%0A%0A3.%20%20**Server%20Certificate**%20server%u7AEF%u628A%u8BC1%u4E66%u53D1%u7ED9client%u7AEF%0A4.%20%20**Server%20Key%20Exchange**%20%0A%20%20%20%20%20%20%u8FD9%u4E00%u6B65%u4E0E%u9009%u62E9%u7684%u52A0%u5BC6%u5957%u4EF6%u6709%u5173%uFF0C%20%u6709%u7684%u52A0%u5BC6%u5957%u4EF6%u89C4%u5B9A%u7684%u5BC6%u94A5%u534F%u5546%u673A%u5236%u9700%u8981%u6BCF%u6B21%u52A8%u6001%u7684%u4F7F%u7528%u516C%u94A5%u548C%u79C1%u94A5%u3002%u8FD9%u4E00%u6B65%u9AA4%u4F20%u7684Key%u9700%u8981%u7528%u7B2C3%u6B65%u4F20%u9012%u7684%u8BC1%u4E66%u8FDB%u884C%u7B7E%u540D%0A%20%20%20%20%20%u5982%uFF1A%20%21%5BAlt%20text%5D%281468474064401.png%29%0A%20%20%20%20%20%u8FD9%u91CC%u53C8%u6D89%u53CA%u4E86%u53E6%u4E00%u4E2A%u975E%u5BF9%u79F0%u52A0%u5BC6%u7B97%60Difffie-Hellman%60%0A5.%20%20**%20Server%20Hello%20Done%20**%3A%20Server%20Hello%20%u7ED3%u675F%0A6.%20%20**Client%20Key%20Exchange**%3A%20%20Client%u628A%u81EA%u5DF1%u7684key%u53D1%u9001%u7ED9%u5BA2%u6237%u7AEF%uFF0C%20%u8FD9%u4E00%u6B65%u4E0E%u9009%u62E9%u7684%u52A0%u5BC6%u5957%u4EF6%u6709%u5173%u7CFB%u3002%20%u603B%u4E4B%uFF0C%u7ECF%u8FC7%u8FD9%u4E00%u6B65%u9AA4%u4E4B%u540E%u5BA2%u6237%u7AEF%u4E0E%u670D%u52A1%u7AEF%u5C31%u4F1A%u6709%u4E00%u4E2A%u5171%u4EAB%u7684%u7B2C%u4E09%u65B9%u4E0D%u77E5%u9053%u7684%u5BC6%u94A5%uFF08%60premaster%60%uFF09%u3002%20%u7136%u540E%u5BA2%u6237%u7AEF%u4E0E%u670D%u52A1%u7AEF%u7528%u8FD9%u4E2A%u5BC6%u94A5%u7ECF%u8FC7%u52A0%u5BC6%u5957%u4EF6%u7EA6%u5B9A%u7684%u5BC6%u7801%u63A8%u5BFC%u7B97%u6CD5%u63A8%u5012%u51FA%u7528%u4E8E%u901A%u4FE1%u7684%u5BC6%u94A5%60master%60%0A7.%20%20**Change%20Cipher%20Spec**%u4ECE%u73B0%u5728%u5F00%u59CB%u5BA2%u6237%u7AEF%u7528%u52A0%u5BC6%u7684%u65B9%u5F0F%u4E0E%u670D%u52A1%u7AEF%u901A%u4FE1%0A8.%20%20**Client%20Finished%20Message**%20%u5BA2%u6237%u7AEF%u63E1%u624B%u5B8C%u6210%uFF0C%u53D1%u9001%u7684%u7B2C%u4E00%u6761%u52A0%u5BC6%u4FE1%u606F%0A9.%20%20**New%20Session%20Ticket**%uFF1A%20%u670D%u52A1%u7AEF%u7ED9%u5BA2%u6237%u7AEF%u53D1%u9001%u4E00%u4E2Aticket%2C%20%u76F8%u5F53%u4E8E%u65B0%u7684session%20Id%2C%20%u7528%u4E8E%u5EFA%u7ACB%u8D77%u6765%u7684%u4FE1%u590D%u7528%u3002%0A10.%20%20%20**Change%20Cipher%20Spec**%3A%20%u4ECE%u73B0%u5728%u5F00%u59CB%u670D%u52A1%u7AEF%u7528%u52A0%u5BC6%u7684%u65B9%u5F0F%u4E0E%u670D%u52A1%u7AEF%u901A%u4FE1%0A11.%20%20**Server%20Finished%20Message**%uFF1A%20%u670D%u52A1%u7AEF%u63E1%u624B%u5B8C%u6210%0A%0A%u4E00%u4E2A%u6BD4%u8F83%u76F4%u89C2%u7684%u770Bssl%u5EFA%u7ACB%u94FE%u63A5%u7684%u8FC7%u7A0B%u662F%u7528openssl%2C%20%u6267%u884C%60openssl%20s_client%20-debug%20-connect%20api.dbbar.net%3A443%60%20%u6216%u8005%u91C7%u7528wireshark%u6293%u5305%u7684%u65B9%u5F0F%u4F1A%u770B%u5230%u6BD4%u8F83%u5B8C%u6574%u7684%u8FDE%u63A5%u5EFA%u7ACB%u4FE1%u606F%u8FD9%u91CC%u4E0D%u505A%u8D58%u8FF0%u3002%0A%0A%23%23%23%20Cipher%20Suite%0A%u524D%u9762%u5DF2%u7ECF%u591A%u6B21%u63D0%u5230%u4E86%60cipher%20suite%60%20%u7A76%u7ADF%u4EC0%u4E48%u662F%60cipher%20suite%60%3F%20wiki%u4E0A%u7ED9%u7684%u7B54%u6848%u662F%20A%20cipher%20suite%20is%20a%20named%20combination%20of%20**authentication**%2C%20**encryption**%2C%20**message%20authentication%20code%20%28MAC%29**%20and%20**key%20exchange%20algorithms**%20used%20to%20negotiate%20the%20security%20settings%20for%20a%20network%20connection%20using%20the%20Transport%20Layer%20Security%20%28TLS%29%20/%20Secure%20Sockets%20Layer%20%28SSL%29%20network%20protocol.%20%u7B80%u5355%u7684%u6765%u8BF4%u4E00%u4E2A%u52A0%u5BC6%u5957%u4EF6%u89C4%u5B9A%u4E86TLS%u5EFA%u7ACB%u8FDE%u63A5%u8FC7%u7A0B%u7684%u5177%u4F53%u7EC6%u8282%u5982%uFF1A%20%u5982%u4F55%u8FDB%u884C%u52A0%u5BC6%uFF0C%u5982%u4F55%u4EA7%u751F%u4FE1%u606F%u6821%u9A8C%u7801%uFF0C%20%u5982%u4F55%u8FDB%u884C%u5BC6%u94A5%u4EA4%u6362%u3002%0A%0A%u4E00%u4E2ACipher%20Suite%20%u6BD4%u5982%u6211%u4EEC%u524D%u9762%u63D0%u5230%u7684%60TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA%60%20%20%u5B9A%u4E49%u4E86%u5177%u4F53%u7684%u5BC6%u94A5%u4EA4%u6362%u7B97%u6CD5%uFF0C%u5757%u52A0%u5BC6%u7B97%u6CD5%uFF0C%20%u4FE1%u606F%u6821%u9A8C%u7801%u4EA7%u751F%u7B97%u6CD5%uFF0C%20%u53CA%u5177%u4F53%u7684%u5BC6%u7801%u63A8%u5BFC%u7B97%u6CD5%20pseudorandom%20function%uFF08PRF%uFF09%20%0A%u5728%u8FD9%u4E2A%u4F8B%u5B50%u4E2D%0A+%20%u5BC6%u94A5%u4EA4%u6362%u7B97%u6CD5%uFF1A%60ECDHE_RSA%60%20%u5B9A%u4E49%u4E86%u5BA2%u6237%u7AEF%u4E0E%u670D%u52A1%u7AEF%u5982%u4F55%u8FDB%u884Cpremaster%u7684%u4F20%u9012%u3002%0A+%20%u5757%u52A0%u5BC6%u7B97%u6CD5%uFF1A%60AES_256_CBC%60%20%u662F%u5177%u4F53%u4F20%u9012%u4FE1%u606F%u662F%u7528%u7684%u5757%u52A0%u5BC6%u65B9%u6CD5%0A+%20MAC%3A%20%20%u8FD9%u91CC%u7528%60SHA%60%20%u7684%u65B9%u5F0F%u8FDB%u884C%u6570%u636E%u5B8C%u6574%u6027%u6821%u9A8C%0A+%20Pseudo%20Random%20Function%28PRF%29%3A%20%20%20%20PRF%u662FTLS1.2%20%u6240%u6709%u7684%u5BC6%u7801%u63A8%u5BFC%u7B97%u6CD5%u3002%20%u8FD9%u4E2A%u7B97%u6CD5%u91C7%u7528%u4F2A%u968F%u673A%u6570%u7684%u751F%u6210%u7684%u65B9%u5F0F%uFF0C%u4EE5%u524D%u9762%u5BA2%u6237%u7AEF%u4E0E%u670D%u52A1%u7AEF%u7AEF%u4F20%u9012%u7684%60RandomA%60%2C%20%60RandomB%60%2C%20%60premaster%60%20%u751F%u6210master%20key%uFF0C%20%u8FD9%u4E2A%u5C31%u662F%u540E%u7EED%u5BA2%u6237%u7AEF%u4E0E%u670D%u52A1%u7AEF%u901A%u4FE1%u8981%u4F7F%u7528%u7684%u5BC6%u94A5%u3002%u7528%60RandomA%60%2C%20%60RandomB%60%20%u6765%u4FDD%u8BC1%u5BC6%u94A5%u7684%u968F%u673A%u6027%u4E0D%u88AB%u4EFB%u610F%u4E00%u7AEF%u6240%u5F71%u54CD%u3002%20%u56E0%u4E3Apremaster%u4EA4%u6362%u7684%u8FC7%u7A0B%u662F%u4FDD%u5BC6%u7684%28%u7B2C%u4E09%u65B9%u76D1%u542C%u4E0D%u5230%29%20%u6240%u4EE5%u6700%u7EC8%u751F%u6210%u7684master%20key%u4E5F%u662F%u4FDD%u5BC6%u7684%u3002%0A%0A%u5F53%u7136TLS%u534F%u8BAE%u5B9A%u8BAE%u4E86%u5F88%u591Acipher%20suite%uFF0C%20%u6BCF%u4E00%u4E2Acipher%20suite%20%u7684%u5B89%u5168%u6027%u4E5F%u4E0D%u592A%u4E00%u6837%uFF0C%u5BF9CPU%u6027%u80FD%u7684%u5360%u7528%u4E5F%u4E0D%u592A%u4E00%u6837%u3002%0A%20%0A%0A%23%23%20HTTPS%u4E0B%u5982%u4F55%u53BB%u6293%u5305%0A%0AHTTPS%u8FDB%u884C%u6293%u5305%uFF0C%u5B9E%u9645%u4E0A%u662F%u8FDB%u884C%u4E86%u4E00%u6B21%u4E2D%u95F4%u4EBA%u653B%u51FB%u3002%20%u6211%u4EEC%u9700%u8981%u4F2A%u9020%u4E00%u4E2A%u5047%u7684%u8BC1%u4E66%uFF0C%u5E76%u8BA9%u5BA2%u6237%u7AEF%u53BB%u4FE1%u4EFB%u8FD9%u4E2A%u8BC1%u4E66%u3002%u7136%u540E%u5BA2%u6237%u7AEF%u4E0E%u4E2D%u95F4%u4EBA%u5C31%u53EF%u4EE5%u5EFA%u7ACB%u8D77TLS%u94FE%u63A5%u3002%u7136%u540E%u4E2D%u95F4%u4EBA%u518D%u53BB%u4EE3%u7406%u771F%u6B63%u7684%u5BA2%u6237%u7AEF%u8BF7%u6C42%u670D%u52A1%u7AEF%u3002%u8FD9%u6837%u89E3%u51B3%u95EE%u9898%u7684%u65B9%u5F0F%u5C31%u662F%u8FD9%u6837%u7684%u4E86%uFF1A%0A%0A%60%60%60sequence%0Aclient-%3EmiddleMan%3A%20TLS%20Connection%0AmiddleMan-%3E%20Server%3A%20TLS%20Connection%0A%60%60%60%0A%0A%u90A3%u5982%u4F55%u624D%u80FD%u4F2A%u9020%u5047%u8BC1%u4E66%u5462%uFF1F%20%u8FD9%u65F6%u6211%u4EEC%u5C31%u9700%u8981%u5728%u5BA2%u6237%u7AEF%u5B89%u88C5%u4E00%u4E2A%u6211%u4EEC%u77E5%u9053%u5BC6%u94A5%u7684%u6839%u8BC1%u4E66%u5E76%u4FE1%u4EFB%u5B83%u3002%u8FD9%u6837%u6211%u4EEC%u5C31%u80FD%u7528%u6211%u4EEC%u7684%u5BC6%u94A5%u53BB%u9881%u53D1%u5047%u7684%u8BC1%u4E66%u3002%u800C%u56E0%u4E3A%u5BA2%u6237%u7AEF%u4FE1%u4EFB%u4E86%u6211%u4EEC%u7684%u6839%u8BC1%u4E66%uFF0C%u6240%u4EE5%u5B83%u4E5F%u4F1A%u8BA4%u4E3A%u6211%u4EEC%u9881%u53D1%u7684%u5047%u8BC1%u4E66%u662F%u771F%u6B63%u7684%u8BC1%u4E66%uFF0C%20%u8FD9%u6837%u771F%u771F%u5047%u5047%u5C31%u50BB%u50BB%u5206%u4E0D%u6E05%u695A%u4E86%u3002%0A%0A%u5173%u4E8E%u5047%u8BC1%u4E66%u7684%u95EE%u9898%uFF0C%u8BB0%u5F97%u524D%u51E0%u5E74%u524Dgoagent%u8FD8%u5B58%u5728%u7684%u65F6%u5019%u66FE%u7ECF%u62A5%u51FA%u4E2A0%20day%20%u6F0F%u6D1E%u3002%u56E0%u4E3A%u597D%u591A%u4EBA%u5B89%u88C5%u5E76%u4FE1%u4EFB%u4E86goagent%u7684%u8BC1%u4E66%u3002%u5E76%u4E14goagent%u7684%u8BC1%u4E66%u7684%u5BC6%u94A5%u662F%u516C%u5F00%u7684%u3002%u6240%u4EE5%u53EF%u4EE5%u4E2D%u95F4%u4EBA%u653B%u51FBhttps%u670D%u52A1%u3002%u505A%u6CD5%u5C31%u662F%u4F7F%u7528goagent%u7684%u5BC6%u94A5%u6765%u7B7E%u540D%u4F2A%u9020%u7684%u8BC1%u4E66%u3002%u8FD9%u6837%u5C61%u8BD5%u4E0D%u723D%u3002%0A%0A%u6211%u4EEC%u4EE5%60BurpSuite%60%u4E3A%u4F8B%uFF0C%u9A8C%u8BC1%u4E00%u4E0B%u8FD9%u4E2A%u601D%u8DEF%0A%0A%23%23%20%20HTTPS%20hacker%0A%0Astep1%3A%20%20%u5C06Burpsuite%u7684%u81EA%u7B7E%u540D%u8BC1%u4E66%u5BFC%u5165firefox%u5E76%u4FE1%u4EFB%u3002%0Astep2%3A%20%20%u8BBE%u7F6Efirefox%u4EE3%u7406%u5230burpsuite%0A%0A%u6211%u5C06%u7528wareshare%u6293%u4ECEfirefox%u5230burpsuite%u7684%u5305%u6765%u5206%u6790%u6D41%u91CF%0A%0A%21%5BAlt%20text%5D%281467905449013.png%29%0A%0A%u679C%u7136%uFF1A%u8FD9%u91CC%u7528%u4E86%u4E00%u4E2A%u6211%u4EEC%u4E4B%u524D%u4FE1%u4EFB%u7684PortSwigger%20CA%20%u8BC1%u4E66%u7B7E%u540D%u4E86api.dbbar.net%20%u57DF%u540D%u3002%u8FD9%u6837%u6765%u5B9E%u73B0%u4E2D%u95F4%u4EBA%u653B%u51FB%u3002%u9A8C%u8BC1%u4E86%u4E4B%u524D%u7684%u731C%u60F3%0A%0A%0A%23%23%20%u603B%u7ED3%0A%0A1.%20HTTPS%u672C%u8EAB%u8FD8%u662F%u6BD4%u8F83%u590D%u6742%u7684%u3002%u901A%u8FC7%u52A0%u5BC6%u7684%u65B9%u5F0F%uFF0C%u53EF%u4EE5%u6709%u6548%u7684%u9632%u6B62%u4E2D%u95F4%u4EBA%u653B%u51FB%uFF0C%u524D%u63D0%u662F%u5BA2%u6237%u7AEF%u4E0D%u8981%u968F%u610F%u4FE1%u4EFB%u65E0%u6548%u7684%u8BC1%u4E66%u3002%0A2.%20%u9762%u5411HTTPS%u7684%u534F%u8BAE%u6709%u65F6%u9700%u8981%u53BB%u6293%u5305%u5206%u6790%uFF0C%u5E38%u7528%u7684%u6293%u5305%u5DE5%u5177%u5982%60burpsuit%60%20%60charlex%60%u652F%u6301%u4F2A%u9020%u8BC1%u4E66%u4EE5%u8FDB%u884C%u4E2D%u95F4%u4EBA%u653B%u51FB%u3002%20%u91C7%u7528%u8FD9%u79CD%u65B9%u5F0F%u4E5F%u65B9%u4FBF%u4E86%u6211%u4EEC%u53BB%u5206%u6790HTTPS%u534F%u8BAE%u3002