安全套接字层SSL会话建立方法和装置制造方法及图纸

本申请提供了安全套接字层SSL会话建立方法和装置。本发明专利技术中，客户端并不再验证服务器数字证书是否有效，而是请求证书验证设备验证服务器数字证书是否有效，这就使得客户端仅安装唯一的一份证书即证书验证设备的授权证书，不再安装所有待访问站点的校验证书，这相比于现有客户端安装所有待访问站点的校验证书，节省了客户端的本地证书管理成本，防止安全漏洞。

【技术实现步骤摘要】

本申请涉及网络通信技术，特别涉及安全套接字层(SSL：SecureSocketLayer)会话建立方法和装置。
技术介绍
SSL为HTTP提供安全连接，很大程度上改善了万维网的安全性问题。SSL通过握手过程在客户端和服务器之间协商会话参数，并建立SSL会话。通过SSL会话传输的数据，都将采用该SSL会话协商的对话密钥进行加密。图1示出了SSL会话建立过程。如图1所示，客户端(Client)先发送ClientHello报文，ClientHello报文中携带客户端支持的协议版本号、客户端生成的随机数(Clientrandom)，以及客户端支持的加密方法。服务器(Server)接收到ClientHello报文后，确认ClientHello报文携带的客户端支持的加密方法，发送ServerHello报文给客户端，ServerHello报文携带服务器的数字证书、服务器生成的随机数(Serverrandom)。客户端收到ServerHello报文后，验证ServerHello报文携带的服务器的数字证书是否有效，如果有效，则生成一个新的随机数(Premastersecret)，并使用服务器的数字证书中的公钥加密这个随机数，发给服务器。服务器接收客户端发送的加密的随机数，并使用自己的私钥对接收的随机数解密，最终得到客户端生成的随机数即Premastersecret。之后，客户端和服务器根据约定的加密方法对前面的Clientrandom、Serverrandom、Premastersecret共三个随机数进行加密处理生成对话密钥(SessionKey)，对话密钥用来加密客户端和服务器接下来的整个交互过程，直至SSL会话成功建立。在上面描述中，客户端需要验证服务器的数字证书是否有效，以防止连接的是伪服务器，保证客户端的网络访问安全。目前，客户端为验证服务器的数字证书是否有效，需在本地预安装服务器所服务的网络站点的校验证书，比如用户访问12306购买火车票，需要预先通过其它安全途径安装12306网站的签名根证书等。如果客户端没有提前安装网络站点的校验证书，上述SSL会话是无法成功建立的。随着移动互联的快速发展，各种应用日渐丰富，如果客户端每访问一个网络站点都需要预安装该网络站点的校验证书以便与服务该网络站点的服务器之间成功建立SSL会话，则当客户端预安装的校验证书达到一定数目后，客户端本地的校验证书存储、管理都可能成为隐患，比如近期爆出的某国产PC厂商的安全漏洞：通过在PC上预装软件在PC本地授权一个证书，达到对SSL会话劫持的目的。
技术实现思路
本申请提供了安全套接字层SSL会话建立方法和装置，以节省了客户端的本地证书管理成本，并防止安全漏洞。本申请提供的技术方案包括：一种安全套接字层SSL会话建立方法，该方法包括：客户端在与服务器Server建立SSL会话的过程中接收服务器发送的ServerHello报文，从所述ServerHello报文中解析出ServerHello报文携带的服务器数字证书；客户端通过与预先指定的证书验证设备之间建立的通道请求所述证书验证设备验证所述服务器数字证书是否有效，并暂时中止所述SSL会话的建立过程；客户端通过所述通道接收证书验证设备返回的验证结果，在所述验证结果为所述服务器数字证书有效时，继续与所述服务器交互执行所述SSL会话建立过程。一种安全套接字层SSL会话建立方法，该方法应用于证书验证设备，证书验证设备被预先指定用于在客户端与服务器建立SSL会话过程中帮助客户端验证服务器的数字证书，证书验证设备为独立于客户端的一个设备，该方法包括：证书验证设备接收客户端发送的请求，所述请求携带客户端从来自服务器Server的ServerHello报文中解析出的服务器数字证书；证书验证设备验证服务器数字证书是否有效，将验证结果返回给客户端。一种安全套接字层SSL会话建立装置，该装置应用于客户端，包括：解析单元，用于在所述客户端与服务器Server建立SSL会话的过程中接收服务器发送的ServerHello报文，从所述ServerHello报文中解析出ServerHello报文携带的服务器数字证书；验证请求单元，用于通过与预先指定的证书验证设备之间建立的通道请求所述证书验证设备验证所述服务器数字证书是否有效，并暂时中止所述SSL会话的建立过程；验证结果处理单元，用于通过所述通道接收证书验证设备返回的验证结果，在所述验证结果为所述服务器数字证书有效时，继续与所述服务器交互执行所述SSL会话建立过程。一种安全套接字层SSL会话建立装置，该装置应用于证书验证设备，证书验证设备被预先指定用于在客户端与服务器建立SSL会话过程中帮助客户端验证服务器的数字证书，证书验证设备为独立于客户端的一个设备，该装置包括：接收单元，用于接收客户端发送的请求，所述请求携带客户端从来自服务器Server的ServerHello报文中解析出的服务器数字证书；验证单元，用于验证服务器数字证书是否有效，将验证结果返回给客户端。由以上技术方案可以看出，本专利技术中，客户端自身并不验证服务器的数字证书是否有效，而是请求证书验证设备验证服务器数字证书是否有效，这就使得客户端仅安装唯一的一份证书即证书验证设备的授权证书，不再安装所有待访问站点的校验证书，这相比于现有客户端安装所有待访问站点的校验证书，节省了客户端的本地证书管理成本，防止安全漏洞。附图说明图1示出了SSL会话建立过程图；图2为本专利技术提供的方法流程图；图3为本专利技术提供的装置结构图；图4为本专利技术提供的另一装置结构图。具体实施方式为了使本专利技术的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本专利技术进行详细描述。本专利技术提供的方法包括图2所示的流程：参见图2，图2为本专利技术提供的方法流程图。如图2所示，该流程可包括：步骤201，客户端在与服务器建立SSL会话的过程中接收服务器发送的ServerHello报文，从所述ServerHello报文中解析出ServerHello报文携带的服务器数字证书。步骤202，客户端通过与预先指定的证书验证设备之间建立的通道请求所述证书验证设备验证服务器数字证书是否有效，并暂时中止所述SSL会话的建立过程。本专利技术中，证书验证设备被预先指定用于在客户端与服务器建立SSL会话过程中帮助客户端验证服务本文档来自技高网...

【技术保护点】
一种安全套接字层SSL会话建立方法，其特征在于，该方法包括：客户端在与服务器Server建立SSL会话的过程中接收服务器发送的Server Hello报文，从所述Server Hello报文中解析出Server Hello报文携带的服务器数字证书；客户端通过与预先指定的证书验证设备之间建立的通道请求所述证书验证设备验证所述服务器数字证书是否有效，并暂时中止所述SSL会话的建立过程；客户端通过所述通道接收证书验证设备返回的验证结果，在所述验证结果为所述服务器数字证书有效时，继续与所述服务器交互执行所述SSL会话建立过程。

【技术特征摘要】
1.一种安全套接字层SSL会话建立方法，其特征在于，该方法包括：
客户端在与服务器Server建立SSL会话的过程中接收服务器发送的Server
Hello报文，从所述ServerHello报文中解析出ServerHello报文携带的服务
器数字证书；
客户端通过与预先指定的证书验证设备之间建立的通道请求所述证书验
证设备验证所述服务器数字证书是否有效，并暂时中止所述SSL会话的建立
过程；
客户端通过所述通道接收证书验证设备返回的验证结果，在所述验证结
果为所述服务器数字证书有效时，继续与所述服务器交互执行所述SSL会话
建立过程。
2.根据权利要求1所述的方法，其特征在于，所述客户端通过与预先指
定的证书验证设备之间建立的通道请求所述证书验证设备验证所述服务器数
字证书是否有效之前，进一步包括：
检查本地是否预先安装所述证书验证设备的授权证书，如果是，继续执
行通过与预先指定的证书验证设备之间建立的通道请求所述证书验证设备验
证所述服务器数字证书是否有效。
3.根据权利要求1所述的方法，其特征在于，所述客户端与预先指定的
证书验证设备之间建立的通道为所述客户端与所述证书验证设备之间已建立
的加密通道；
其中，在所述加密通道的建立过程中，客户端对所述证书验证设备进行
身份认证，所述证书验证设备通过了所述客户端的身份认证。
4.一种安全套接字层SSL会话建立方法，其特征在于，该方法应用于证书
验证设备，证书验证设备被预先指定用于在客户端与服务器建立SSL会话过程
中帮助客户端验证服务器的数字证书，证书验证设备为独立于客户端的一个
设备，该方法包括：
证书验证设备接收客户端发送的请求，所述请求携带客户端从来自服务

\t器Server的ServerHello报文中解析出的服务器数字证书；
证书验证设备验证服务器数字证书是否有效，将验证结果返回给客户端。
5.根据权利要求4所述的方法，其特征在于，所述证书验证设备为网络
中新增的一个设备，或者为网络中除客户端和所述服务器之外的其他设备中
指定的一个设备。
6.一种安全套接字...

【专利技术属性】
技术研发人员：甘长华，邱元香，
申请(专利权)人：杭州华三通信技术有限公司，
类型：发明
国别省市：浙江;33