23、Apache/SSL：保障网络通信安全的关键技术

Apache/SSL：保障网络通信安全的关键技术

1. 电子商业与网络安全的需求

早期电子商业未能迅速成功，除了公众对互联网不熟悉外，网络通信安全问题也是重要因素。用户因担忧信用卡数据安全，不愿在互联网上传输敏感信息。而默认的基于Web的通信存在诸多弱点：
- HTTP无加密机制，第三方可嗅探客户端与服务器间的流量，用户会话缺乏隐私。
- HTTP是无状态协议，无法存储用户信息，不能验证用户身份。
- HTTP无法对正在进行的会话进行身份验证，难以判断是否有第三方劫持会话。

为解决这些问题，Netscape Communications开发了安全套接层协议（SSL）。

2. 什么是SSL

SSL是一种三层方法，采用RSA和DES进行身份验证与加密，并通过MD5进行完整性检查。它解决了基于Web通信的三个固有问题：
- 连接时，客户端和服务器定义一个密钥，用于加密传输的数据，即使流量被嗅探，也难以破解。
- 支持公钥加密，服务器可使用RSA和数字签名标准（DSS）等方案验证用户身份。
- 服务器可使用MD5和SHA等消息摘要算法验证会话的完整性。这些特性使SSL成为保障电子商业交易安全的优秀工具。

3. SSL的安全性

SSL发展初期并不顺利。1995年9月，两名伯克利学生Ian Goldberg和David Wagner宣布破解了Netscape的随机数生成方案。Netscape使用进程ID（PID）、父进程ID（PPID）和时间（秒和微秒）生成初始密钥的种子源，攻击者可通过以太网嗅探工具获取时间信息，从而在短时间内破解早期的SSL。