构建网络信息安全的中国方案 - 国密SSL协议介绍以及国密Nginx服务器部署

国密SSL协议

  • 国密SSL协议指的是采用国密算法，符合国密标准的安全传输协议。简而言之，国密SSL就是SSL/TLS协议的国密版本。
  • TLS协议定义有三个版本号，为0x0301、0x0302、0x0303，分别对应TLS 1.0、1.1、1.2。国密SSL为了避免冲突，选择了0x0101。国密SSL协议规范是TLS 1.1和TLS 1.2的混合体，大部分情况下参考TLS 1.1，少数地方又参考了TLS 1.2。

国密SSL协议和标准SSL协议的区别和联系

区别

  • 算法差异
    • 国密SSL协议使用的是中国自主研发、国家密码管理局指定的一系列国产密码算法，如SM2、SM3、SM4等。
    • 传统的SSL/TLS协议则主要依赖于国际标准的加密算法，如RSA、AES、SHA等。
  • 合规性和政策要求
    • 在中国政府主导的一些信息安全项目中，可能要求必须采用国密SSL协议以符合相关法律法规和安全标准。
    • 对于国际通用环境，SSL/TLS协议是业界标准，得到了各大浏览器、操作系统及服务器软件的广泛支持。
  • 兼容性问题
    • 国密SSL协议由于采用了特定的国内加密算法，在一些仅支持国际标准算法的客户端（如常见的国外浏览器）上可能无法正常工作或显示为不受信任。
    • SSL/TLS协议在全球范围内的兼容性较好，大部分网络设备和服务都能很好地支持。

联系

  • 基本工作原理一致
    • 国密SSL协议在设计原则上继承了SSL/TLS协议的基本结构和工作流程，包括握手协议、记录层协议等核心组成部分，确保数据传输的机密性、完整性和身份认证。
  • 功能目标相同
    • 不论是国密SSL还是标准TLS，其主要目标都是为网络通信提供端到端的安全连接，保障Web服务、电子邮件、即时通讯等各种应用场景的数据安全。
  • 证书格式相似
    • 虽然国密SSL证书采用了不同的公钥算法，但其作为数字证书的基本格式和作用与标准SSL/TLS证书类似，都用于服务器的身份验证和会话密钥交换。
  • 综上所述，国密SSL协议是在遵循国际标准协议框架的基础上，针对我国密码政策和自主可控需求进行的定制化改造。尽管存在一些技术细节上的差异，但它们在提供网络安全服务的核心目标和机制上保持了一致性。

握手过程

  • 国密SSL协议与标准SSL协议的握手过程基本一致，我这里只简单介绍下国密SSL协议的握手过程。
  • 详细SSL握手过程可参考这篇文章 全面解读SSL/TLS协议
client server Client Hello 客户端随机数，客户端TLS版本，密码套件列表 Server Hello 服务端随机数，确认TLS版本号，确认密码套件 Server Certificate 发送服务端证书 Server Key ExChange Server Hello Done Client Key Exchange 发送加密后的预备主密钥 Encrypted PreMaster Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 client server

  • 整体抓包截图

    • 可以访问这个网站 https://www.wotrus.com进行抓包。可以看到客户端和服务端整体的握手流程和标准SSL协议基本一致。
      在这里插入图片描述

    • 需要注意的是必须使用支持国密SSL协议的浏览器，这里建议下载奇安信浏览器，并且安装国密版本wireShark抓包工具。在后面国密Nginx服务器部署章节有介绍。

  • Client Hello消息

    • 首先看下Client Hello消息，首先是版本号与标准SSL协议不同，国密SSL协议版本号的值为 0x0101，其次是加密套件，国密SSL协议较为常用的加密套件为 ECC_SM4_SM3。 在这里插入图片描述
    • 国密SSL协议支持的加密套件共有以下12个
    序号名称值
    1ECDHE_SM1_SM3{0xe0, 0x01}
    2ECC_SM1_SM3{0xe0, 0x03}
    3IBSDH_SM1_SM3{0xe0, 0x05}
    4IBC_SM1_SM3{0xe0, 0x07}
    5RSA_SM1_SM3{0xe0, 0x09}
    6RSA_SM1_SHA1{0xe0, 0xa0}
    7ECDHE_SM4_SM3{0xe0, 0x11}
    8ECC_SM4_SM3{0xe0, 0x13}
    9IBSDH_SM4_SM3{0xe0, 0x15}
    10IBC_SM4_SM3{0xe0, 0x17}
    11RSA_SM4_SM3{0xe0, 0x19}
    12RSA_SM4_SHA1{0xe0, 0x1a}
    • 备注：实现ECC和ECDHE的算法为SM2, 实现IBC和IBSDH的算法为SM9，RSA算法的使用应符合国家密码管理主管部门的要求。

  • Service Hello消息

    • Server Hello消息返回使用的加密套件为ECC_SM4_SM3。在这里插入图片描述

  • Server Certificate消息

    • 该消息发送服务端的证书，包含加密证书和签名证书。这里使用的证书就是国密SM2证书。
      在这里插入图片描述

  • Server Key ExChange消息
    在这里插入图片描述

  • Server Hello done消息
    在这里插入图片描述

  • Client Key Exchange消息
    在这里插入图片描述

  • Change Cipher Spec 消息
    在这里插入图片描述

  • Finished [Encrypted Handshake Message] 消息
    在这里插入图片描述

国密Nginx服务器部署

  • 国密SSL实验室：此网站中有介绍如何部署国密Nginx服务器的教程。
  • 国密Nginx部署包 : 我参考此网站将所需的安装包都下载上传到gitee了，需要的可自行下载，并参考以下步骤部署。

zlib安装

  • 解压zlib.tar.gz
    • tar -zxvf zlib.tar.gz
  • 进入zlib目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

pcre安装

  • 解压pcre-8.45.zip
    • unzip pcre-8.45.zip
  • 进入pcre目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

国密版本OpenSSL安装

  • 解压openssl到指定目录
    • tar -zxvf gmssl_openssl_1.1_b2024_x64_1.tar.gz -C /usr/local

国密版本Nginx安装与配置

  • 解压 nginx-1.24.0.tar.gz
    • tar -zxvf nginx-1.24.0.tar.gz
  • 进入nginx目录
  • 将auto/lib/openssl/conf文件中 $OPENSSL/.openssl/全部修改为 $OPENSSL/并保存
  • 然后分别执行以下命令编译安装
    • ./configure --without-http_gzip_module --with-http_ssl_module --with-http_stub_status_module --with-http_v2_module --with-stream --with-file-aio --with-openssl=“/usr/local/gmssl”
    • sudo make
    • sudo make install
  • 默认会安装到这个目录下 /usr/local/nginx
  • 将 sm2.SmallWolf.zip 拷贝到 /usr/local/nginx/conf 目录下并解压
  • 修改nginx配置文件 /usr/local/nginx/conf/nginx.conf 中的server项
  •   server {listen       443 ssl;server_name  localhost;ssl_protocols TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-CBC-SM3:ECC-SM4-GCM-SM3;ssl_verify_client off;ssl_certificate      sm2.SmallWolf.enc.crt.pem;ssl_certificate_key  sm2.SmallWolf.enc.key.pem;ssl_certificate      sm2.SmallWolf.sig.crt.pem;ssl_certificate_key  sm2.SmallWolf.sig.key.pem;location / {root   html;index  index.html index.htm;}}
  • 然后进入 /usr/local/nginx/sbin目录启动nginx

国密浏览器安装

  • 常用浏览器是不支持访问国密Web服务器的，双击安装奇安信浏览器 qaxbrowser_1.1.45335.52.exe。也可以去奇安信官网去下载浏览器进行安装。
  • 安装完成后，打开浏览器设置，选择高级设置，然后勾选启动国密SSL通信。
    在这里插入图片描述
  • 设置完成后，重启浏览器。访问搭建好的Nginx服务器。
  • 可以看到，站点证书已经是国密证书了。
    在这里插入图片描述

国密版本wireShark安装

  • 那么有没有走国密SSL通道呢，安装个国密版本的wireShark抓包看下。
  • 双击安装 wireshark-win32-2.9.0-gm.3.exe。
    在这里插入图片描述
  • 抓包可以看到，使用的ssl协议确实是国密ssl协议。

参考

  • 国密SSL协议是什么？与标准TLS协议的区别
  • 国密改造—国密SSL
  • 国密SSL实验室

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/604144.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

听GPT 讲Rust源代码--compiler(32)

听GPT 讲Rust源代码--compiler(32)

File: rust/compiler/rustc_middle/src/middle/exported_symbols.rs 在Rust的源代码中，rust/compiler/rustc_middle/src/middle/exported_symbols.rs文件的作用是实现编译器中处理导出符号的功能。 该文件中定义了一些结构体和枚举，用于描述导出符号的信…
阅读更多...
电脑丢失dll文件怎么办，dll修复工具可一键修复dll问题

电脑丢失dll文件怎么办，dll修复工具可一键修复dll问题

在计算机使用过程中，我们经常会遇到一些错误提示，其中最常见的就是“找不到指定的模块”或“无法找到某某.dll文件”。这种情况通常是由于dll文件丢失或损坏导致的。那么，究竟是什么原因导致了dll文件的丢失呢？又该如何预防dll文件…
阅读更多...
2024校招，网易互娱游戏测试工程师一面

2024校招，网易互娱游戏测试工程师一面

前言 大家好，今天回顾一下，我前段时间参加的游戏测试工程师技术面试 两个面试官，一个提问，另一个负责记录 过程 自我介绍比赛经历介绍一下使用的博弈算法穷举算法对性能有什么影响怎么评估局面好坏出现的bug怎么解决的&#x…
阅读更多...
mysql5.7安装-windows安装版本

mysql5.7安装-windows安装版本

下载地址 官网地址:https://www.mysql.com/官网下载地址:https://dev.mysql.com/downloads/mysql/阿里云镜像站下载:https://mirrors.aliyun.com/mysql/华为云镜像站地址:https://mirrors.huaweicloud.com/home华为云镜像站下载:https://mirrors.huaweicloud.com/mysql/Downlo…
阅读更多...
自动驾驶apollo9.0 Dreamview Debug方法

自动驾驶apollo9.0 Dreamview Debug方法

Apollo 9.0 安装&编译方法 # 拉取源码 git clone gitgithub.com:ApolloAuto/apollo.git git checkout v9.0.0# 启动docker bash docker/scripts/dev_start.sh bash docker/scripts/dev_into.sh# 编译project ./apollo.sh build默认启动方式 default mode wget https:…
阅读更多...
SpringBoot实用开发（十一）-- MongoDB的客户端（studio 3T）的安装与简单使用

SpringBoot实用开发（十一）-- MongoDB的客户端（studio 3T）的安装与简单使用

目录 1.studio 3T的下载与安装 2.studio 3T的连接 3.studio 3T的简单使用 3.1 创建数据库
阅读更多...
houdini python self tools

houdini python self tools

01.geo 对应创建mantra import hou null_path[] for i in hou.selectedNodes():mantrahou.node(out).createNode(ifd,{0}.format(i.name()))mantra.parm(trange).set(1)framehou.parmTuple({0}/f.format(mantra.path()))frame.deleteAllKeyframes()for s in i.children():if …
阅读更多...
Web前端-JavaScript（BOM)

Web前端-JavaScript（BOM)

文章目录 1.1 常用的键盘事件1.1.1 键盘事件1.1.2 键盘事件对象1.1.3 案例一 1.2 BOM1.2.1 什么是BOM1.2.2 BOM的构成1.2.3 window1.2.4 window对象常见事件窗口/页面加载事件**第1种****第2种** 调整窗口大小事件 1.2.5 定时器setTimeout() 炸弹定时器停止定时器**案例&#x…
阅读更多...
解决ImportError: Failed to import test module: sys.__init__

解决ImportError: Failed to import test module: sys.__init__

解决ImportError: Failed to import test module: sys.init 背景 学习通过文件夹执行测试脚本时，出现了错误：ImportError: Failed to import test module: sys.__init__ 解决过程 根据报错信息：sys is not a package大胆猜测可能是文件名…
阅读更多...
VMware linux虚拟机卸载不干净导致二次安装之后虚拟机ping不通主机

VMware linux虚拟机卸载不干净导致二次安装之后虚拟机ping不通主机

问题就是主机能ping通虚拟机，虚拟机不能ping通主机，我看网上又说虚拟机和主机没在同一网段的， 有些确实是这个情况但是首先你要打开控制面板–》网络–》网络和共享中心-》更改适配器设置，然后 会弹出下面的界面 如果你的没有上面…
阅读更多...
【UE Niagara学习笔记】01 - 浮动的蒲公英

【UE Niagara学习笔记】01 - 浮动的蒲公英

目录 效果 步骤 一、创建材质 二、创建Niagara粒子 2.1 创建Niagara模板 2.2 通过用户参数设置粒子大小 2.3 设置数量、风速、透明度变化 效果 步骤 一、创建材质 1. 在虚幻商城中把“Realistic Starter VFX Pack Vol 2”添加到项目中，该资产中所包含的…
阅读更多...
ubuntu开机卡在[OK],,,,,的界面无法正常开机后进入桌面

ubuntu开机卡在[OK],,,,,的界面无法正常开机后进入桌面

0.现象 ubuntu开机，进入一片代码行，会卡在某一行，一直没有新的进展 1.原因 有很多原因可能导致这个现象，内核升级与固件不匹配、磁盘出了问题等等如果没有做过什么特别的事情，也可能是存储空间满了，也会…
阅读更多...
探索2024年软件测试的几大主导趋势

探索2024年软件测试的几大主导趋势

进入2024年，考虑影响测试环境的问题至关重要。这种思考将成为团队了解主要瓶颈和实现当今不断提高的期望的首要因素。 01 了解关键测试瓶颈 毋庸置疑，现代团队需要不断创新、适应和拥抱最新趋势，以保持竞争力并提供以客户为中心的解决方案。尽…
阅读更多...
微信小程序 引导地址授权 获取位置信息 uniapp

微信小程序 引导地址授权 获取位置信息 uniapp

概述 获取位置信息，需要保证是否授权位置信息，有几个条件是导致无法授权的原因 （1）微信应用未授权定位设置 （2）首次进入小程序未授权位置信息 （3）小程序之前阻止过授权位置信息 &…
阅读更多...
力扣383.赎金信 -- 哈希表

力扣383.赎金信 -- 哈希表

思路&#xff1a;记录magazine每个字符个数&#xff0c;然后记录ransomNote每个字符&#xff08;每有一个减1&#xff09;&#xff0c;假如出现<0的情况说明ransomnode有字符的个数超过了magazine则无法构成&#xff0c;否则可以构成 代码&#xff1a; class Solution { pu…
阅读更多...
SpringBoot实用开发（十二）-- MongoDB语句的简单使用

SpringBoot实用开发（十二）-- MongoDB语句的简单使用

目录 1.新增文档 2.删除文档 3.修改文档 4.查询文档 4.1 基础查询 4.2 条件
阅读更多...
asp实现ACCESS中日期时间的比较

asp实现ACCESS中日期时间的比较

今天程序中要实现时间作为查询条件的功能&#xff01;使用的是ASPACCESS。 在ACCESS数据库中&#xff0c;日期时间的比较操作符主要有> 、<、三个&#xff01;但不能直接把比较时间用这些操作符相连&#xff01;为了区分时间类型和其它类型&#xff0c;ACCESS中在时…
阅读更多...
Qt/QML编程学习之心得：QProcess进程创建（27）

Qt/QML编程学习之心得：QProcess进程创建（27）

Qt除了线程Thread，进程也有支持类，那就是QProcess。 可以看出，这个类很大，支持的内容也很多。最简单的使用如： myParam << QString("-param hello") ; bool bRes = QProcess::startDetached("/usr/bin/myApplication", myParam);要启动进程，主…
阅读更多...
Cache伪共享

Cache伪共享

伪共享 什么是伪共享 为了解决计算机系统中主内存与CPU之间运行速度差问题&#xff0c;会在CPU与主内存之间添加一级或者多级高速缓冲存储器(Cache)。 这个Cache一般是被集成到CPU内部的&#xff0c;所以也叫CPU Cache。 在Cache内部是按行存储的&#xff0c;其中每一行称为…
阅读更多...
基于冒泡排序思想的qsort函数的模拟实现

基于冒泡排序思想的qsort函数的模拟实现

&#x1d649;&#x1d65e;&#x1d658;&#x1d65a;!!&#x1f44f;&#x1f3fb;‧✧̣̥̇‧✦&#x1f44f;&#x1f3fb;‧✧̣̥̇‧✦ &#x1f44f;&#x1f3fb;‧✧̣̥̇:Solitary-walk ⸝⋆ ━━━┓ - 个性标签 - &#xff1a;来于“云”的“羽球人”。…
阅读更多...
最新文章

Copyright @ 2022~2023