it-swarm.com.de

Mein Verständnis der Funktionsweise von HTTPS (z. B. Google Mail)

Ich möchte fragen, ob mein Verständnis unten in Bezug auf das für die von uns besuchte Webseite verwendete HTTPS korrekt ist oder nicht.

Ich werde Google Mail als Beispiel verwenden:

  1. Mein Laptop versucht, eine Verbindung zum Google Mail-Server herzustellen, und sendet eine http-Anfrage
  2. Der Google Mail-Server antwortet mit einer Anfrage, stattdessen eine https-Verbindung herzustellen (sendet eine https-Anfrage).
  3. Mein Laptop überprüft die https-Zertifizierung des Google Mail-Servers und erklärt sich damit einverstanden, https für die Verbindung zu verwenden
  4. Mein Laptop findet das öffentlicher Schlüssel des Google Mail-Servers und verwendet es, um das Kennwort meines Google Mail-Kontos zu verschlüsseln und an den Google Mail-Server zu senden
  5. Google Mail Server überprüft mein Kennwort mithilfe von Privater Schlüssel von Google Mail Server und bestätigt meine E-Mail-Anmeldung
  6. Google Mail Server sendet E-Mail-Informationen an meinen Laptop, indem er sie mit öffentlicher Schlüssel meines Laptops verschlüsselt
  7. Mein Laptop liest die verschlüsselten E-Mail-Informationen, indem er sie mit dem Private Key meines Laptops entschlüsselt
  8. So weiter und so fort, bis mein Laptop den Google Mail-Server abmeldet.

Zusammenfassung: An dieser https-Verbindung sind 4 Schlüssel beteiligt. Öffentliche/private Schlüssel für Google Mail-Server (2 Stück) + Öffentliche/private Schlüssel für meinen Laptop (2 Stück)

27
Xianlin

Ja, Sie sind auf dem richtigen Weg! Aber die Dinge funktionieren tatsächlich ein bisschen anders als von Ihnen beschrieben.

Insbesondere in den Schritten 4 bis 8 funktioniert SSL nicht ganz. SSL funktioniert etwas anders. Hier ist, wie es tatsächlich funktioniert (ich werde einige kleine Vereinfachungen vornehmen, aber dies sollte den Kern der Idee richtig machen):

  • Der Google Mail-Server sendet Ihrem Client ein Zertifikat . Das Zertifikat enthält den öffentlichen Schlüssel des Google Mail-Servers und einige Hinweise darauf, dass dieser öffentliche Schlüssel tatsächlich zu gmail.com Gehört.

  • Ihr Browser überprüft die Beweise im Zertifikat, um sicherzustellen, dass der richtige öffentliche Schlüssel für gmail.com Verfügt ist.

  • Ihr Browser wählt einen zufälligen neuen symmetrischen Schlüssel [~ # ~] k [~ # ~] für die Verbindung mit Google Mail. Es verschlüsselt [~ # ~] k [~ # ~] unter dem öffentlichen Schlüssel von Google Mail.

  • Google Mail entschlüsselt [~ # ~] k [~ # ~] mit seinem privaten Schlüssel. Jetzt wissen sowohl Ihr Browser als auch der Google Mail-Server [~ # ~] k [~ # ~] , aber niemand anderes weiß es.

  • Immer wenn Ihr Browser etwas an Google Mail senden möchte, verschlüsselt er es unter [~ # ~] k [~ # ~] ; Der Google Mail-Server entschlüsselt es nach Erhalt. Immer wenn der Google Mail-Server etwas an Ihren Browser senden möchte, verschlüsselt er es unter [~ # ~] k [~ # ~] .

Ihre Schritte 1 bis 3 sind ungefähr richtig, wenn auch nicht genau richtig, und die Details hängen ein wenig davon ab, welchen Browser Sie verwenden und welche URL Sie in die Adressleiste eingeben oder wie Sie überhaupt zu Google Mail gelangen - aber was Sie geschrieben ist nah genug, um das Grundkonzept zu verstehen. Gut genug für die Regierungsarbeit.

Hier ist eine zusätzliche Lektüre für Sie:

Wie ist es möglich, dass Personen, die beobachten, dass eine HTTPS-Verbindung hergestellt wird, nicht wissen, wie sie entschlüsselt werden sollen?

Wie funktionieren die Prozesse für digitale Zertifikate, Signaturen und SSL?

Zweck der von CA signierten und vertrauenswürdigen Zertifikate

Warum ist das Fälschen von SSL-Zertifikaten schwierig?

Warum ist HTTPS nicht das Standardprotokoll?

Ist der Besuch von HTTPS-Websites an einem öffentlichen Hotspot sicher?

Ich denke, diese Artikel sollten Ihnen ein hervorragendes Verständnis von SSL vermitteln, wie es funktioniert und warum es so gestaltet ist, wie es ist.

Wenn das nicht genug ist, müssen Sie mehr mehr mehr haben, hier sind einige Artikel aus Wikipedia:

Wie Zertifikate funktionieren

Wie SSL funktioniert

Allerdings haben sie wahrscheinlich viel mehr technische Details, als Sie jemals wissen wollten, und sie sind keine gute erste Einführung in die Konzepte oder die Grundideen.

50
D.W.