SSL協(xié)議即用到了對(duì)稱加密也用到了非對(duì)稱加密（公鑰加密），在建立傳輸鏈路時(shí)，SSL首先對(duì)對(duì)稱加密的密鑰使用非對(duì)稱加密，鏈路建立好之后，SSL對(duì)傳輸內(nèi)容使用對(duì)稱加密。一般Web應(yīng)用都是采用單向認(rèn)證的，因?yàn)橛脩魯?shù)目廣泛，且無需做在通訊層做用戶身份驗(yàn)證，一般都在應(yīng)用邏輯層來保證用戶的合法登入。但如果是企業(yè)應(yīng)用對(duì)接，情況就不一樣，可能會(huì)要求對(duì)客戶端做身份驗(yàn)證。這時(shí)就需要做雙向認(rèn)證。下面就由新網(wǎng)小編和大家講一講ssl單向認(rèn)證與雙向認(rèn)證的區(qū)別。

  對(duì)稱加密：速度高，可加密內(nèi)容較大，用來加密會(huì)話過程中的消息
  公鑰加密：加密速度較慢，但能提供更好的身份認(rèn)證技術(shù)，用來加密對(duì)稱加密的密鑰.
  一、SSL單向認(rèn)證過程
  1、客戶端向服務(wù)端發(fā)送SSL協(xié)議版本號(hào)、加密算法種類、隨機(jī)數(shù)等信息
  2、服務(wù)端給客戶端返回SSL協(xié)議版本號(hào)、加密算法種類、隨機(jī)數(shù)等信息，同時(shí)也返回服務(wù)器端的證書，即公鑰證書
  3、客戶端使用服務(wù)端返回的信息驗(yàn)證服務(wù)器的合法性，驗(yàn)證通過后，則繼續(xù)進(jìn)行通信，否則終止通信，驗(yàn)證內(nèi)容包括:
  a、證書是否過期
  b、發(fā)行服務(wù)器證書的CA是否可靠
  c、返回的公鑰是否能正確解開返回證書中的數(shù)字簽名
  d、服務(wù)器證書上的域名是否和服務(wù)器的實(shí)際域名相匹配
  4、客戶端向服務(wù)器發(fā)送自己所能支持的對(duì)稱加密方案，供服務(wù)器進(jìn)行選擇
  5、服務(wù)器在客戶端提供的加密方案中選擇加密程度最高的加密方式
  6、服務(wù)器將選擇好的加密方式通過明文方式返回給客戶端
  7、客戶端接收到服務(wù)器返回的加密方案后，使用該加密方案生成產(chǎn)生隨機(jī)碼，用作通信過程中對(duì)稱加密的密鑰，使用服務(wù)端返回的公鑰進(jìn)行加密，將加密后的隨機(jī)碼發(fā)送至服務(wù)器
  8、服務(wù)器收到客戶端返回的加密信息后 ，使用自己的私鑰進(jìn)行解密，獲取對(duì)稱加密密鑰。在接下來的會(huì)話中，服務(wù)器和客戶端將會(huì)使用該密碼進(jìn)行對(duì)稱加密，保證通信過程中的信息安全。
 
  二、SSL雙向認(rèn)證過程
  1、客戶端向服務(wù)器發(fā)送連接請(qǐng)求（SSL協(xié)議版本號(hào)、加密算法種類、隨機(jī)數(shù)等信息）
  2、服務(wù)器給客戶端返回服務(wù)器端的證書，即公鑰證書，同時(shí)也返回證書相關(guān)信息（SSL協(xié)議版本號(hào)、加密算法種類、隨機(jī)數(shù)等信息）
  3、客戶端使用服務(wù)端返回的信息驗(yàn)證服務(wù)器的合法性（首先檢查服務(wù)器發(fā)送過來的證書是否是由自己信賴的CA中心所簽發(fā)的，再比較證書里的消息，例如域名和公鑰，與服務(wù)器剛剛發(fā)送的相關(guān)消息是否一致，如果是一致的，客戶端認(rèn)可這個(gè)服務(wù)端的合法身份），驗(yàn)證通過后，則繼續(xù)進(jìn)行通信，否則終止通信，具體驗(yàn)證內(nèi)容包括:
  a、證書是否過期
  b、發(fā)行服務(wù)器證書的CA是否可靠
  c、返回的公鑰是否能正確解開返回證書中的數(shù)字簽名
  d、服務(wù)器證書上的域名是否和服務(wù)器的實(shí)際域名相匹配
  4、服務(wù)端要求客戶端發(fā)送客戶端的證書，客戶端會(huì)將自己的證書發(fā)送至服務(wù)端
  5、驗(yàn)證客戶端的證書，通過驗(yàn)證后，會(huì)獲得客戶端的公鑰
  6、客戶端向服務(wù)器發(fā)送自己所能支持的對(duì)稱加密方案，供服務(wù)器端進(jìn)行選擇
  7、服務(wù)器端在客戶端提供的加密方案中選擇加密程度最高的加密方式
  8、將加密方式通過使用之前獲取到的公鑰（客戶的公鑰）進(jìn)行加密，返回給客戶端
  9、客戶端收到服務(wù)端返回的加密方案密文后，使用自己的私鑰進(jìn)行解密，獲取具體加密方式，而后獲取該加密方式的隨機(jī)碼，用作加密過程中的密鑰，使用之前從服務(wù)端證書中獲取到的公鑰進(jìn)行加密后，發(fā)送給服務(wù)端
  10、服務(wù)端收到客戶端發(fā)送的消息后，使用自己的私鑰進(jìn)行解密，獲取對(duì)稱加密的密鑰，在接下來的會(huì)話中，服務(wù)器和客戶端將會(huì)使用該密碼進(jìn)行對(duì)稱加密，保證通信過程中信息的安全。
 
  三、SSL單向認(rèn)證和SSL雙向認(rèn)證的區(qū)別

  SSL單向認(rèn)證只要求站點(diǎn)部署了SSL證書就行，任何用戶都可以去訪問（IP被限制除外等），只是服務(wù)器提供了身份認(rèn)證。SSL雙向認(rèn)證則是需要服務(wù)端與客戶端提供身份認(rèn)證，只能是服務(wù)端允許的客戶去訪問，安全性相對(duì)高一些。

  雙向認(rèn)證SSL協(xié)議要求服務(wù)器和用戶雙方都有證書。單向認(rèn)證SSL協(xié)議不需要客戶擁有CA證書，只需將服務(wù)器驗(yàn)證客戶證書的過程去掉，以及在協(xié)商對(duì)稱密碼方案、對(duì)稱通話密鑰時(shí)，服務(wù)器發(fā)送給客戶的是沒有加過密的（這并不影響SSL過程的安全性）密碼方案。這樣，雙方具體的通訊內(nèi)容，就是加過密的數(shù)據(jù)，如果有第三方攻擊，獲得的只是加密的數(shù)據(jù)，第三方要獲得有用的信息，就需要對(duì)加密的數(shù)據(jù)進(jìn)行解密，這時(shí)候的安全就依賴于密碼方案的安全。而幸運(yùn)的是，目前所用的密碼方案，只要通訊密鑰長(zhǎng)度足夠的長(zhǎng)，就足夠安全，這也是強(qiáng)調(diào)使用128位加密通訊的原因。

  一般Web應(yīng)用都是采用SSL單向認(rèn)證的，原因很簡(jiǎn)單，用戶數(shù)目廣泛，且無需在通訊層對(duì)用戶身份進(jìn)行驗(yàn)證，一般都在應(yīng)用邏輯層來保證用戶的合法登入。但如果是企業(yè)應(yīng)用對(duì)接，情況就不一樣，可能會(huì)要求對(duì)客戶端（相對(duì)而言）做身份驗(yàn)證，這時(shí)就需要做SSL雙向認(rèn)證。小伙伴們要想獲得更多ssl單向認(rèn)證的內(nèi)容，請(qǐng)關(guān)注新網(wǎng)！