Giao thức SSL không được mã hóa?

Question

Có thể gửi tin nhắn qua https không được mã hóa không? Ví dụ, yêu cầu xác thực và ủy quyền chứng chỉ xảy ra, nhưng không mã hóa dữ liệu thực tế được gửi qua socket?

Answer 1

Có, TLS và SSL hỗ trợ chế độ "không mã hóa". Cho dù máy khách và máy chủ cụ thể được đề cập được cấu hình để kích hoạt có phải là một vấn đề riêng biệt hay không.

Có thể, mặc dù không chắc, máy chủ có thể bật một trong các bộ mã hóa này theo mặc định. Có nhiều khả năng là một máy chủ sẽ kích hoạt các bộ mã hóa yếu (như các bộ dựa trên DES "xuất") theo mặc định. Đó là lý do tại sao bạn nên xem xét cẩn thận danh sách trắng của bộ mã hóa danh sách trắng của máy chủ và leave only a few trusted, widely-supported algorithms.

Bạn có thể sử dụng bộ mã hóa TLS_RSA_WITH_NULL_SHA để bảo vệ tính xác thực và tính toàn vẹn của lưu lượng truy cập mà không cần mã hóa.

"RSA" trong trường hợp này đề cập đến thuật toán trao đổi khóa, trong khi "SHA" đề cập đến thuật toán xác thực thư được sử dụng để bảo vệ lưu lượng truy cập không bị thay đổi. "NULL" là thuật toán mã hóa, hoặc trong trường hợp này, thiếu mã hóa.

Điều quan trọng là nhận ra rằng lưu lượng truy cập, mặc dù nó không được mã hóa, được nhóm lại trong bản ghi SSL. Máy khách và máy chủ phải được bật SSL.

Nếu bạn đang tìm giải pháp bước xuống nơi một số dữ liệu được trao đổi qua SSL, thì SSL bị tắt nhưng lưu lượng truy cập ứng dụng vẫn tiếp tục, có thể, nhưng hãy nhớ rằng nó hoàn toàn không có bảo mật cho văn bản rõ ràng giao thông; nó có thể bị giả mạo bởi một kẻ tấn công. Vì vậy, ví dụ, xác thực với SSL, sau đó bước xuống một giao thức "trong-the-clear" để nhận các lệnh sử dụng xác thực được thương lượng qua SSL sẽ không an toàn.

Answer 2

Không, giao thức không cho phép điều đó.

Một giải pháp bạn có thể làm là kết nối qua https, xác minh kết nối, sau đó thả các kết nối tiếp theo vào HTTP bằng cookie phiên. Nếu không có cookie đó, hãy chuyển hướng trở lại https để khách hàng luôn kết nối với nó.

Điều này có thể không liên quan đến bạn, do đó, nếu bạn cung cấp thêm thông tin về sự cố bạn đang cố giải quyết, chúng tôi có thể trợ giúp thêm.

Answer 3

Tôi nghĩ bạn có thể.

nhưng nó sẽ là ngu ngốc, bạn sẽ mất điểm xác thực và để bản thân tiếp xúc với những kẻ tấn công có thể chặn và thay đổi gói của bạn.

Answer 4

Thông số SSL/TLS xác định "mật mã NULL" mà bạn có thể sử dụng cho điều này. Hầu hết các phần mềm máy khách và máy chủ đều vô hiệu hóa nó vì những lý do rõ ràng.

Tuy nhiên, nếu bạn đang viết phần mềm của riêng mình, bạn có thể thuyết phục thư viện của mình thương lượng.