构建网络信息安全的中国方案 - 国密SSL协议介绍以及国密Nginx服务器部署

news2024/11/17 21:57:05

国密SSL协议

  • 国密SSL协议指的是采用国密算法，符合国密标准的安全传输协议。简而言之，国密SSL就是SSL/TLS协议的国密版本。
  • TLS协议定义有三个版本号，为0x0301、0x0302、0x0303，分别对应TLS 1.0、1.1、1.2。国密SSL为了避免冲突，选择了0x0101。国密SSL协议规范是TLS 1.1和TLS 1.2的混合体，大部分情况下参考TLS 1.1，少数地方又参考了TLS 1.2。

国密SSL协议和标准SSL协议的区别和联系

区别

  • 算法差异
    • 国密SSL协议使用的是中国自主研发、国家密码管理局指定的一系列国产密码算法，如SM2、SM3、SM4等。
    • 传统的SSL/TLS协议则主要依赖于国际标准的加密算法，如RSA、AES、SHA等。
  • 合规性和政策要求
    • 在中国政府主导的一些信息安全项目中，可能要求必须采用国密SSL协议以符合相关法律法规和安全标准。
    • 对于国际通用环境，SSL/TLS协议是业界标准，得到了各大浏览器、操作系统及服务器软件的广泛支持。
  • 兼容性问题
    • 国密SSL协议由于采用了特定的国内加密算法，在一些仅支持国际标准算法的客户端（如常见的国外浏览器）上可能无法正常工作或显示为不受信任。
    • SSL/TLS协议在全球范围内的兼容性较好，大部分网络设备和服务都能很好地支持。

联系

  • 基本工作原理一致
    • 国密SSL协议在设计原则上继承了SSL/TLS协议的基本结构和工作流程，包括握手协议、记录层协议等核心组成部分，确保数据传输的机密性、完整性和身份认证。
  • 功能目标相同
    • 不论是国密SSL还是标准TLS，其主要目标都是为网络通信提供端到端的安全连接，保障Web服务、电子邮件、即时通讯等各种应用场景的数据安全。
  • 证书格式相似
    • 虽然国密SSL证书采用了不同的公钥算法，但其作为数字证书的基本格式和作用与标准SSL/TLS证书类似，都用于服务器的身份验证和会话密钥交换。
  • 综上所述，国密SSL协议是在遵循国际标准协议框架的基础上，针对我国密码政策和自主可控需求进行的定制化改造。尽管存在一些技术细节上的差异，但它们在提供网络安全服务的核心目标和机制上保持了一致性。

握手过程

  • 国密SSL协议与标准SSL协议的握手过程基本一致，我这里只简单介绍下国密SSL协议的握手过程。
  • 详细SSL握手过程可参考这篇文章 全面解读SSL/TLS协议
client server Client Hello 客户端随机数，客户端TLS版本，密码套件列表 Server Hello 服务端随机数，确认TLS版本号，确认密码套件 Server Certificate 发送服务端证书 Server Key ExChange Server Hello Done Client Key Exchange 发送加密后的预备主密钥 Encrypted PreMaster Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 client server

  • 整体抓包截图

    • 可以访问这个网站 https://www.wotrus.com进行抓包。可以看到客户端和服务端整体的握手流程和标准SSL协议基本一致。
      在这里插入图片描述

    • 需要注意的是必须使用支持国密SSL协议的浏览器，这里建议下载奇安信浏览器，并且安装国密版本wireShark抓包工具。在后面国密Nginx服务器部署章节有介绍。

  • Client Hello消息

    • 首先看下Client Hello消息，首先是版本号与标准SSL协议不同，国密SSL协议版本号的值为 0x0101，其次是加密套件，国密SSL协议较为常用的加密套件为 ECC_SM4_SM3。 在这里插入图片描述
    • 国密SSL协议支持的加密套件共有以下12个
    序号名称值
    1ECDHE_SM1_SM3{0xe0, 0x01}
    2ECC_SM1_SM3{0xe0, 0x03}
    3IBSDH_SM1_SM3{0xe0, 0x05}
    4IBC_SM1_SM3{0xe0, 0x07}
    5RSA_SM1_SM3{0xe0, 0x09}
    6RSA_SM1_SHA1{0xe0, 0xa0}
    7ECDHE_SM4_SM3{0xe0, 0x11}
    8ECC_SM4_SM3{0xe0, 0x13}
    9IBSDH_SM4_SM3{0xe0, 0x15}
    10IBC_SM4_SM3{0xe0, 0x17}
    11RSA_SM4_SM3{0xe0, 0x19}
    12RSA_SM4_SHA1{0xe0, 0x1a}
    • 备注：实现ECC和ECDHE的算法为SM2, 实现IBC和IBSDH的算法为SM9，RSA算法的使用应符合国家密码管理主管部门的要求。

  • Service Hello消息

    • Server Hello消息返回使用的加密套件为ECC_SM4_SM3。在这里插入图片描述

  • Server Certificate消息

    • 该消息发送服务端的证书，包含加密证书和签名证书。这里使用的证书就是国密SM2证书。
      在这里插入图片描述

  • Server Key ExChange消息
    在这里插入图片描述

  • Server Hello done消息
    在这里插入图片描述

  • Client Key Exchange消息
    在这里插入图片描述

  • Change Cipher Spec 消息
    在这里插入图片描述

  • Finished [Encrypted Handshake Message] 消息
    在这里插入图片描述

国密Nginx服务器部署

  • 国密SSL实验室：此网站中有介绍如何部署国密Nginx服务器的教程。
  • 国密Nginx部署包 : 我参考此网站将所需的安装包都下载上传到gitee了，需要的可自行下载，并参考以下步骤部署。

zlib安装

  • 解压zlib.tar.gz
    • tar -zxvf zlib.tar.gz
  • 进入zlib目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

pcre安装

  • 解压pcre-8.45.zip
    • unzip pcre-8.45.zip
  • 进入pcre目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

国密版本OpenSSL安装

  • 解压openssl到指定目录
    • tar -zxvf gmssl_openssl_1.1_b2024_x64_1.tar.gz -C /usr/local

国密版本Nginx安装与配置

  • 解压 nginx-1.24.0.tar.gz
    • tar -zxvf nginx-1.24.0.tar.gz
  • 进入nginx目录
  • 将auto/lib/openssl/conf文件中 $OPENSSL/.openssl/全部修改为 $OPENSSL/并保存
  • 然后分别执行以下命令编译安装
    • ./configure --without-http_gzip_module --with-http_ssl_module --with-http_stub_status_module --with-http_v2_module --with-stream --with-file-aio --with-openssl=“/usr/local/gmssl”
    • sudo make
    • sudo make install
  • 默认会安装到这个目录下 /usr/local/nginx
  • 将 sm2.SmallWolf.zip 拷贝到 /usr/local/nginx/conf 目录下并解压
  • 修改nginx配置文件 /usr/local/nginx/conf/nginx.conf 中的server项
  •   server {
      listen       443 ssl;
      server_name  localhost;

      ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
      ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-CBC-SM3:ECC-SM4-GCM-SM3;
      ssl_verify_client off;


      ssl_certificate      sm2.SmallWolf.enc.crt.pem;
      ssl_certificate_key  sm2.SmallWolf.enc.key.pem;

      ssl_certificate      sm2.SmallWolf.sig.crt.pem;
      ssl_certificate_key  sm2.SmallWolf.sig.key.pem;

      location / {
          root   html;
          index  index.html index.htm;
      }
  }
  • 然后进入 /usr/local/nginx/sbin目录启动nginx

国密浏览器安装

  • 常用浏览器是不支持访问国密Web服务器的，双击安装奇安信浏览器 qaxbrowser_1.1.45335.52.exe。也可以去奇安信官网去下载浏览器进行安装。
  • 安装完成后，打开浏览器设置，选择高级设置，然后勾选启动国密SSL通信。
    在这里插入图片描述
  • 设置完成后，重启浏览器。访问搭建好的Nginx服务器。
  • 可以看到，站点证书已经是国密证书了。
    在这里插入图片描述

国密版本wireShark安装

  • 那么有没有走国密SSL通道呢，安装个国密版本的wireShark抓包看下。
  • 双击安装 wireshark-win32-2.9.0-gm.3.exe。
    在这里插入图片描述
  • 抓包可以看到，使用的ssl协议确实是国密ssl协议。

参考

  • 国密SSL协议是什么？与标准TLS协议的区别
  • 国密改造—国密SSL
  • 国密SSL实验室

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1363284.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Go (一) 基础部分5 -- 单元测试,协程(goroutine),管道(channel)

Go (一) 基础部分5 -- 单元测试,协程(goroutine),管道(channel)

一、单元测试 Go自带一个轻量级的"测试框架testing"和自带的"go test"命令来实现单元测试和性能测试。 1.确保每个函数时可运行，并且运行结果是正确的。 2.确保写出来的代码性能是好的。 3.单元测试能及时的发现程序设计或实现的逻辑错误&#…
阅读更多...
Nginx 常用变量 与 防盗链

Nginx 常用变量 与 防盗链

目录 1.常用变量 2. $http_referer 配置防盗链 2.1 referer 2.2 配置防盗链 1.常用变量 变量说明 $args 请求中的参数，也叫查询参数 $content_length HTTP响应信息里的"Content-Length" $document_root nginx虚拟主机配置文件中的root站点根目录…
阅读更多...
八大算法排序@归并排序（C语言版本）

八大算法排序@归并排序（C语言版本）

目录 归并排序概念算法思想第一步第二步第三步 算法步骤代码实现代码1代码优化 时间复杂度空间复杂度特性总结 归并排序 概念 归并排序（Merge Sort）是一种基于分治策略的经典排序算法。它的基本思想是将待排序的数组划分成两个子数组，分别对…
阅读更多...
vue-springboot基于java的社区志愿者活动信息管理系统 e2y4d

vue-springboot基于java的社区志愿者活动信息管理系统 e2y4d

社区志愿者信息管理系统的主要开发目标如下： （1）对零碎化、分布散的数据信息进行收纳、整理，通过网络服务平台使这些信息内容更加调理，更加方便化和清晰化，让访问该系统的每个用户享受浏览的过程。 &#x…
阅读更多...
简单 Web Server 程序的设计与实现 (2024)

简单 Web Server 程序的设计与实现 (2024)

1.题目描述 Web 服务是 Internet 最方便与受用户欢迎的服务类型，它的影响力也远远超出了专业技术范畴， 已广泛应用于电子商务、远程教育、远程医疗与信息服务等领域，并且有继续扩大的趋势。目前很多 的 Internet 应用都是基于 Web 技术的&…
阅读更多...
MySQL之数据类型建表以及约束

MySQL之数据类型建表以及约束

SELECT(查询) 查询操作用于从数据库中检索数据 查询可以基于不同的条件，如字段值、范围、排序等 查询结果可以返回单个记录或多个记录 查询指定列 select 列名 from 表名 列名：代表从指定的列名中查找 , 如果是查找对应的多列，则用英文…
阅读更多...
word 常用功能记录

word 常用功能记录

word手册 多行文字对齐标题调整文字间距打钩方框插入三线表插入参考文献自动生成目录插入页码（罗马格式和阿拉伯数字格式） 多行文字对齐 标题调整文字间距 打钩方框 插入三线表 插入一个最基本的表格把整个表格设置为无框线设置上框线【实线1.5磅】设置…
阅读更多...
基于Springboot的Timo商城

基于Springboot的Timo商城

​ 目录 ​前言 开发环境和工具 项目功能 基础模块 商城功能 手机端 设计详情 后台登录页面 后台 手机端页面 小程序端页面 视频展示 源码获取 前言 本项目是一个基于IDEA和Java语言开基于Springboot的Timo商城。应用包含网页管理端，手机端&#xff0…
阅读更多...
Matlab三维绘图

Matlab三维绘图

绘制三维图plot3 t0:pi/50:10*pi; xsin(t); ycos(t); zt; plot3(x,y,z); 产生栅格数据点meshgrid 这个接口在绘制三维图像里面相当重要，很多时候要将向量变成矩阵才能绘制三维图。 x0:0.5:5; y0:1:10; [X,Y]meshgrid(x,y); plot(X,Y,o); x和y是向量，…
阅读更多...
JavaWeb——后端案例

JavaWeb——后端案例

五、案例 1. 开发规范—Restful REST（Representational State Transfer），表述性状态转换，是一种软件架构风格 注： REST是风格，是约定方式，不是规定，可以打破描述模块的功能通常使…
阅读更多...
uniappVue3版本中组件生命周期和页面生命周期的详细介绍

uniappVue3版本中组件生命周期和页面生命周期的详细介绍

一、什么是生命周期？ 生命周期有多重叫法，有叫生命周期函数的，也有叫生命周期钩子的，还有钩子函数的，其实都是代表，在 Vue 实例创建、更新和销毁的不同阶段触发的一组钩子函数，这些生命周期函数…
阅读更多...
每日一博 - 多租户技术及其三种数据存储策略

每日一博 - 多租户技术及其三种数据存储策略

文章目录 概述应用程序隔离数据隔离小结 概述 多租户技术（Multi-Tenant Technology）是软件即服务（SaaS）架构中的一项核心技术，允许单一软件应用或服务同时服务于多个客户（即“租户”）&#xff…
阅读更多...
STM32F4xx之库函数

STM32F4xx之库函数

一、库函数介绍 库函数与寄存器的区别 库函数：不需要自己写很多代码，可以利用软件生成代码。使用的时候必须添加库文件。库文件是芯片厂商写好了。占用空间大。 寄存器：自己写的代码量大，没有软件生成代码。使用的时候不需要库文件…
阅读更多...
目标检测数据集大全「包含VOC+COCO+YOLO三种格式+划分脚本+训练脚本」(持续原地更新)

目标检测数据集大全「包含VOC+COCO+YOLO三种格式+划分脚本+训练脚本」(持续原地更新)

一、作者介绍：五年算法开发经验、AI 算法经理、阿里云开发社区专家博主、稀土掘金人工智能内容评审委员会成员。擅长：检测、分割、理解、AIGC 等算法训练与部署。 二、数据集介绍： 质量高：高质量图片、高质量标注数据，…
阅读更多...
【LMM 011】MiniGPT-5：通过 Generative Vokens 进行交错视觉语言生成的多模态大模型

【LMM 011】MiniGPT-5：通过 Generative Vokens 进行交错视觉语言生成的多模态大模型

论文标题：MiniGPT-5: Interleaved Vision-and-Language Generation via Generative Vokens 论文作者：Kaizhi Zheng* , Xuehai He* , Xin Eric Wang 作者单位：University of California, Santa Cruz 论文原文：https://arxiv.org/ab…
阅读更多...
[技术杂谈]使用VLC将视频转成一个可循环rtsp流

[技术杂谈]使用VLC将视频转成一个可循环rtsp流

通过vlc播放器，将一个视频转成rtsp流，搭建一个rtsp服务器。rtsp客户端可访问这个视频的rtsp流。 1. 打开vlc播放器，使用的版本如下 2. 菜单：媒体 ---> 流 3. 添加视频文件，点击添加一个mp4 文件 4. 选择串流&…
阅读更多...
从零开始C++精讲：第一篇——C++入门

从零开始C++精讲：第一篇——C++入门

文章目录 前言一、C关键字二、命名空间2.1引子2.2命名空间定义2.3命名空间的使用 三、C输入和输出3.1输出3.2输入 四、缺省参数4.1全缺省4.2半缺省 五、函数重载5.1重载概念 六、引用6.1定义6.2引用的使用示例6.2.1引用作参数6.2.1引用作返回值 6.3传值、传引用效率比较6.4常引…
阅读更多...
JVM：字节码

JVM：字节码

JVM：字节码 前言1. JVM概述1.1 JVM vs JDK vs JRE1.1.1 JVM1.1.2 JDK1.1.2.1 常用的JDK8是Oracle JDK 还是 OpenJDK 1.1.3 JRE1.1.4 三者之间的关系与区别 1.2 什么是字节码?采用字节码的好处是什么?1.3 Java 程序从源代码到运行的过程1.4 JVM的生命周期1.5 JVM架…
阅读更多...
RocketMQ详细介绍及核心问题解释（很全）

RocketMQ详细介绍及核心问题解释（很全）

1. RocketMq是什么 一个纯Java、分布式队列模型的消息中间件，具有高可用、高可靠、高实时、低延迟的特点。（记住这句就行了） 2. RocketMq有什么功能 1、业务解耦：这也是发布订阅的消息模型。生产者发送指令到MQ中，然…
阅读更多...
pytorch06：权重初始化

pytorch06：权重初始化

目录 一、梯度消失和梯度爆炸1.1相关概念1.2 代码实现1.3 实验结果1.4 方差计算1.5 标准差计算1.6 控制网络层输出标准差为11.7 带有激活函数的权重初始化 二、Xavier方法与Kaiming方法2.1 Xavier初始化2.2 Kaiming初始化2.3 常见的初始化方法 三、nn.init.calculate_gain 一、…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023