Handshake Protocol es responsable de la autenticación y el intercambio de claves necesarios para establecer o reanudar sesiones seguras. Al establecer una sesión segura, el Protocolo de protocolo de enlace gestiona lo siguiente:
- Negociación de suite de cifrado
- Autenticación del servidor y, opcionalmente, del cliente.
- Sesión de intercambio de información clave.
Negociación de la suite de cifrado
El cliente y el servidor se ponen en contacto y eligen el conjunto de cifrado que se utilizará durante el intercambio de mensajes.
- ¿Por qué VXLAN usa UDP en lugar de TCP como el protocolo de transporte subyacente?
- ¿Qué es el Protocolo de canal de fibra (FCP)? Cual es su futuro?
- ¿Cómo se da cuenta TCP del transporte confiable de datos a través de un protocolo IP poco confiable?
- ¿Cómo podemos identificar qué aplicaciones usan TCP y cuáles usan UDP?
- ¿Cuál es la diferencia entre los protocolos MAC en un WSN y una red celular?
Autenticación
En TLS, un servidor demuestra su identidad al cliente. El cliente también podría necesitar demostrar su identidad al servidor. PKI, el uso de pares de claves públicas / privadas , es la base de esta autenticación. El método exacto utilizado para la autenticación está determinado por el conjunto de cifrado negociado.
Intercambio de llaves
El cliente y el servidor intercambian números aleatorios y un número especial llamado Pre-Master Secret. Estos números se combinan con datos adicionales que permiten al cliente y al servidor crear su secreto compartido, llamado el secreto maestro. El secreto maestro es utilizado por el cliente y el servidor para generar el secreto MAC de escritura, que es la clave de sesión utilizada para el hash , y la clave de escritura, que es la clave de sesión utilizada para el cifrado.
Establecimiento de una sesión segura mediante TLS
El protocolo de enlace TLS implica los siguientes pasos:
- El cliente envía un mensaje de “saludo al cliente” al servidor, junto con el valor aleatorio del cliente y las suites de cifrado compatibles.
- El servidor responde enviando un mensaje “Servidor hola” al cliente, junto con el valor aleatorio del servidor.
- El servidor envía su certificado al cliente para la autenticación y puede solicitar un certificado del cliente. El servidor envía el mensaje “Servidor hola hecho”.
- Si el servidor ha solicitado un certificado del cliente, el cliente lo envía.
- El cliente crea un Pre-Master Secret aleatorio y lo cifra con la clave pública del certificado del servidor, enviando el Pre-Master Secret cifrado al servidor.
- El servidor recibe el secreto previo al maestro. El servidor y el cliente generan cada uno el secreto maestro y las claves de sesión basadas en el secreto previo al maestro.
- El cliente envía una notificación de “Cambiar especificación de cifrado” al servidor para indicar que el cliente comenzará a usar las nuevas claves de sesión para cifrar y cifrar mensajes. El cliente también envía el mensaje “Cliente terminado”.
- El servidor recibe “Cambiar especificación de cifrado” y cambia su estado de seguridad de capa de registro a cifrado simétrico utilizando las claves de sesión . El servidor envía el mensaje “Servidor terminado” al cliente.
- El cliente y el servidor ahora pueden intercambiar datos de la aplicación a través del canal seguro que han establecido. Todos los mensajes enviados de cliente a servidor y de servidor a cliente se cifran con la clave de sesión.
Reanudar una sesión segura mediante TLS
- El cliente envía un mensaje de “saludo al cliente” utilizando la ID de sesión de la sesión que se reanudará.
- El servidor comprueba su caché de sesión para una ID de sesión coincidente. Si se encuentra una coincidencia y el servidor puede reanudar la sesión, envía un mensaje de “Hola al servidor” con la ID de la sesión. Nota Si no se encuentra una coincidencia de ID de sesión, el servidor genera una nueva ID de sesión y el cliente y el servidor TLS realizan un apretón de manos completo.
- El cliente y el servidor deben intercambiar mensajes “Cambiar especificación de cifrado” y enviar mensajes “Cliente terminado” y “Servidor terminado”.
- El cliente y el servidor ahora pueden reanudar el intercambio de datos de la aplicación a través del canal seguro.
