SSL如何工作

SSL 是一个安全协议，它提供使用 TCP/IP 的通信应用程序间的隐私与完整性。因特网的 超文本传输协议 （HTTP）使用 SSL 来实现安全的通信。

在客户端与服务器间传输的数据是通过使用对称算法（如 DES 或 RC4）进行加密的。公用密钥算法（通常为 RSA）是用来获得加密密钥交换和数字签名的，此算法使用服务器的SSL数字证书中的公用密钥。有了服务器的SSL数字证书，客户端也可以验证服务器的身份。SSL 协议的版本 1 和 2 只提供服务器认证。版本 3 添加了客户端认证，此认证同时需要客户端和服务器的数字证书。

SSL 握手

SSL 连接总是由客户端启动的。在SSL 会话开始时执行 SSL 握手。此握手产生会话的密码参数。关于如何处理 SSL 握手的简单概述，如下图所示。此示例假设已在 Web 浏览器 和 Web 服务器间建立了 SSL 连接。

图 SSL的客户端与服务器端的认证握手

(1) 客户端发送列出客户端密码能力的客户端“您好”消息（以客户端首选项顺序排序），如 SSL 的版本、客户端支持的密码对和客户端支持的数据压缩方法。消息也包含 28 字节的随机数。

(2) 服务器以服务器“您好”消息响应，此消息包含密码方法（密码对）和由服务器选择的数据压缩方法，以及会话标识和另一个随机数。
  注意:客户端和服务器至少必须支持一个公共密码对，否则握手失败。服务器一般选择最大的公共密码对。

(3) 服务器发送其SSL数字证书。（服务器使用带有 SSL 的 X.509 V3 数字证书。）
    如果服务器使用 SSL V3，而服务器应用程序（如 Web 服务器）需要数字证书进行客户端认证，则客户端会发出“数字证书请求”消息。在 “数字证书请求”消息中，服务器发出支持的客户端数字证书类型的列表和可接受的CA的名称。

(4) 服务器发出服务器“您好完成”消息并等待客户端响应。

(5) 一接到服务器“您好完成”消息，客户端（ Web 浏览器）将验证服务器的SSL数字证书的有效性并检查服务器的“你好”消息参数是否可以接受。
   如果服务器请求客户端数字证书，客户端将发送其数字证书；或者，如果没有合适的数字证书是可用的，客户端将发送“没有数字证书”警告。此警告仅仅是警告而已，但如果客户端数字证书认证是强制性的话，服务器应用程序将会使会话失败。

(6) 客户端发送“客户端密钥交换”消息。此消息包含 pre-master secret （一个用在对称加密密钥生成中的 46 字节的随机数字），和 消息认证代码 （ MAC ）密钥（用服务器的公用密钥加密的）。
   如果客户端发送客户端数字证书给服务器，客户端将发出签有客户端的专用密钥的“数字证书验证”消息。通过验证此消息的签名，服务器可以显示验证客户端数字证书的所有权。
   注意: 如果服务器没有属于数字证书的专用密钥，它将无法解密 pre-master 密码，也无法创建对称加密算法的正确密钥，且握手将失败。

(7) 客户端使用一系列加密运算将 pre-master secret 转化为 master secret ，其中将派生出所有用于加密和消息认证的密钥。然后，客户端发出“更改密码规范” 消息将服务器转换为新协商的密码对。客户端发出的下一个消息（“未完成”的消息）为用此密码方法和密钥加密的第一条消息。

(8) 服务器以自己的“更改密码规范”和“已完成”消息响应。

(9) SSL 握手结束，且可以发送加密的应用程序数据。

为什么要选择至尊版

给你的客户的信心，让他们在访问使用至尊版证书的网站时，浏览器地址栏用绿色显示，展现这是一家高安全性的网站。
客户从绿色地址栏获得信心 至尊版网站证书是最高安全等级的数字证书，能让新一代安全浏览器(如：IE7)的地址栏变成绿色， 让您的网站与众不同 ， 让普通消费者能确信正在访问的网站就是通过权威第三方严格身份验证的现实世界的真实实体，从而增强消费者信心，促成更多在线交易。 至尊版证书支持 SGC 技术，即使用户的浏览器只支持 40 位 ( 如 IE4.X) 或 56 位 ( 如 IE5.X) 也能自动强制实现至少 128 位的高强度加密，最高支持 256 位，为证书使用单位以及其网上用户提供了更可靠的安全。
可用的至尊版证书：
SBS至尊版 4500元/年 购买 GeoTrust至尊版 5000元/年 购买 SBS SGC至尊版 6000元/年 购买 安全网站至尊版 8200元/年 购买 安全专业网站至尊版 12800元/年 购买
申请尊版证书需要提交的材料：
1、企业资质证明（企业营业执照或组织机构代码证） 　　提交形式：复印件 2、本公司内部律师或外部法律顾问出具的律师函，同时需提供该律师的律师证、法律职业资格证等律师资格的证明性文件。 　　提交形式：律师函需原件，全部用英文填写，需律师亲笔签名。 　　律师资格证明文件需复印件。范本下载 3、VeriSign 会人工电话验证申请单位联系人真实身份，但申请单位的联系电话必须能在中国电信黄页数据库(www.yellowpage.com.cn)或中国网通黄页数据库(www.chinayp.com.cn)中能查到，如果查不到，则需要申请单位提供最近的电话收费发票来证明申请单位的真实联系电话； 如果不能提供，则可以提供公司法人的个人固定电话或移动电话收费发票。同时建议接收证书的邮箱(也就是申请单位技术联系人的邮箱)要使用企业邮局邮箱，绝对不能使用免费公用邮箱(如Hotmail、Gmail、Yahoo等)。 4、域名whois邮箱验证。

常见问题

 
什么是SSL？
 
Secure socket layer(SSL)协议最初由Netscape企业发展，现已成为网络用来鉴别网站和网页浏览者身份，以及在浏览器使用者及网页服务器之间进行加密通讯的全球化标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中，因此，仅需安装数字证书，或服务器证书就可以激活服务器功能了。
 
什么是服务器证书？
 
服务器证书是安装在你的WEB服务器上，你可将服务器证书视为一种可以让访问者利用网页浏览器来验证网站真实身份的数字证明，且可以通过服务器证书进行具有SSL加密的通讯过程。
 
服务器证书如何操作？
 
用户连接到你的Web站点，该Web站点受服务器证书所保护。（可由查看 URL的开头是否为"https:"来进行辩识，或浏览器会提供你相关的信息）。
 
你的服务器进行响应，并自动传送你网站的数字证书给用户，用于鉴别你的网站。
 
用户的网页浏览器程序产生一把唯一的"会话钥匙码"，用以跟网站之间所有的通讯过程进行加密。
 
使用者的浏览器以网站的公钥对交谈钥匙码进行加密，以便只有让你的网站得以阅读此交谈钥匙码。
 
现在，具有安全性的通讯过程已经建立。这个过程仅需几秒中时间，且使用者不需进行任何动作。依不同的浏览器程序而定，使用者会看到一个钥匙的图标变得完整，或一个门栓的图标变成上锁的样子，用于表示目前的工作阶段具有安全性。