构建网络信息安全的中国方案 - 国密SSL协议介绍以及国密Nginx服务器部署

国密SSL协议

  • 国密SSL协议指的是采用国密算法，符合国密标准的安全传输协议。简而言之，国密SSL就是SSL/TLS协议的国密版本。
  • TLS协议定义有三个版本号，为0x0301、0x0302、0x0303，分别对应TLS 1.0、1.1、1.2。国密SSL为了避免冲突，选择了0x0101。国密SSL协议规范是TLS 1.1和TLS 1.2的混合体，大部分情况下参考TLS 1.1，少数地方又参考了TLS 1.2。

国密SSL协议和标准SSL协议的区别和联系

区别

  • 算法差异
    • 国密SSL协议使用的是中国自主研发、国家密码管理局指定的一系列国产密码算法，如SM2、SM3、SM4等。
    • 传统的SSL/TLS协议则主要依赖于国际标准的加密算法，如RSA、AES、SHA等。
  • 合规性和政策要求
    • 在中国政府主导的一些信息安全项目中，可能要求必须采用国密SSL协议以符合相关法律法规和安全标准。
    • 对于国际通用环境，SSL/TLS协议是业界标准，得到了各大浏览器、操作系统及服务器软件的广泛支持。
  • 兼容性问题
    • 国密SSL协议由于采用了特定的国内加密算法，在一些仅支持国际标准算法的客户端（如常见的国外浏览器）上可能无法正常工作或显示为不受信任。
    • SSL/TLS协议在全球范围内的兼容性较好，大部分网络设备和服务都能很好地支持。

联系

  • 基本工作原理一致
    • 国密SSL协议在设计原则上继承了SSL/TLS协议的基本结构和工作流程，包括握手协议、记录层协议等核心组成部分，确保数据传输的机密性、完整性和身份认证。
  • 功能目标相同
    • 不论是国密SSL还是标准TLS，其主要目标都是为网络通信提供端到端的安全连接，保障Web服务、电子邮件、即时通讯等各种应用场景的数据安全。
  • 证书格式相似
    • 虽然国密SSL证书采用了不同的公钥算法，但其作为数字证书的基本格式和作用与标准SSL/TLS证书类似，都用于服务器的身份验证和会话密钥交换。
  • 综上所述，国密SSL协议是在遵循国际标准协议框架的基础上，针对我国密码政策和自主可控需求进行的定制化改造。尽管存在一些技术细节上的差异，但它们在提供网络安全服务的核心目标和机制上保持了一致性。

握手过程

  • 国密SSL协议与标准SSL协议的握手过程基本一致，我这里只简单介绍下国密SSL协议的握手过程。
  • 详细SSL握手过程可参考这篇文章 全面解读SSL/TLS协议
client server Client Hello 客户端随机数，客户端TLS版本，密码套件列表 Server Hello 服务端随机数，确认TLS版本号，确认密码套件 Server Certificate 发送服务端证书 Server Key ExChange Server Hello Done Client Key Exchange 发送加密后的预备主密钥 Encrypted PreMaster Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 Change Cipher Spec 密钥协商完成 Finished [Encrypted Handshake Message] 握手协议结束 client server

  • 整体抓包截图

    • 可以访问这个网站 https://www.wotrus.com进行抓包。可以看到客户端和服务端整体的握手流程和标准SSL协议基本一致。
      在这里插入图片描述

    • 需要注意的是必须使用支持国密SSL协议的浏览器，这里建议下载奇安信浏览器，并且安装国密版本wireShark抓包工具。在后面国密Nginx服务器部署章节有介绍。

  • Client Hello消息

    • 首先看下Client Hello消息，首先是版本号与标准SSL协议不同，国密SSL协议版本号的值为 0x0101，其次是加密套件，国密SSL协议较为常用的加密套件为 ECC_SM4_SM3。 在这里插入图片描述
    • 国密SSL协议支持的加密套件共有以下12个
    序号名称值
    1ECDHE_SM1_SM3{0xe0, 0x01}
    2ECC_SM1_SM3{0xe0, 0x03}
    3IBSDH_SM1_SM3{0xe0, 0x05}
    4IBC_SM1_SM3{0xe0, 0x07}
    5RSA_SM1_SM3{0xe0, 0x09}
    6RSA_SM1_SHA1{0xe0, 0xa0}
    7ECDHE_SM4_SM3{0xe0, 0x11}
    8ECC_SM4_SM3{0xe0, 0x13}
    9IBSDH_SM4_SM3{0xe0, 0x15}
    10IBC_SM4_SM3{0xe0, 0x17}
    11RSA_SM4_SM3{0xe0, 0x19}
    12RSA_SM4_SHA1{0xe0, 0x1a}
    • 备注：实现ECC和ECDHE的算法为SM2, 实现IBC和IBSDH的算法为SM9，RSA算法的使用应符合国家密码管理主管部门的要求。

  • Service Hello消息

    • Server Hello消息返回使用的加密套件为ECC_SM4_SM3。在这里插入图片描述

  • Server Certificate消息

    • 该消息发送服务端的证书，包含加密证书和签名证书。这里使用的证书就是国密SM2证书。
      在这里插入图片描述

  • Server Key ExChange消息
    在这里插入图片描述

  • Server Hello done消息
    在这里插入图片描述

  • Client Key Exchange消息
    在这里插入图片描述

  • Change Cipher Spec 消息
    在这里插入图片描述

  • Finished [Encrypted Handshake Message] 消息
    在这里插入图片描述

国密Nginx服务器部署

  • 国密SSL实验室：此网站中有介绍如何部署国密Nginx服务器的教程。
  • 国密Nginx部署包 : 我参考此网站将所需的安装包都下载上传到gitee了，需要的可自行下载，并参考以下步骤部署。

zlib安装

  • 解压zlib.tar.gz
    • tar -zxvf zlib.tar.gz
  • 进入zlib目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

pcre安装

  • 解压pcre-8.45.zip
    • unzip pcre-8.45.zip
  • 进入pcre目录, 分别执行以下命令
    • ./configure
    • sudo make
    • sudo make install

国密版本OpenSSL安装

  • 解压openssl到指定目录
    • tar -zxvf gmssl_openssl_1.1_b2024_x64_1.tar.gz -C /usr/local

国密版本Nginx安装与配置

  • 解压 nginx-1.24.0.tar.gz
    • tar -zxvf nginx-1.24.0.tar.gz
  • 进入nginx目录
  • 将auto/lib/openssl/conf文件中 $OPENSSL/.openssl/全部修改为 $OPENSSL/并保存
  • 然后分别执行以下命令编译安装
    • ./configure --without-http_gzip_module --with-http_ssl_module --with-http_stub_status_module --with-http_v2_module --with-stream --with-file-aio --with-openssl=“/usr/local/gmssl”
    • sudo make
    • sudo make install
  • 默认会安装到这个目录下 /usr/local/nginx
  • 将 sm2.SmallWolf.zip 拷贝到 /usr/local/nginx/conf 目录下并解压
  • 修改nginx配置文件 /usr/local/nginx/conf/nginx.conf 中的server项
  •   server {listen       443 ssl;server_name  localhost;ssl_protocols TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-CBC-SM3:ECC-SM4-GCM-SM3;ssl_verify_client off;ssl_certificate      sm2.SmallWolf.enc.crt.pem;ssl_certificate_key  sm2.SmallWolf.enc.key.pem;ssl_certificate      sm2.SmallWolf.sig.crt.pem;ssl_certificate_key  sm2.SmallWolf.sig.key.pem;location / {root   html;index  index.html index.htm;}}
  • 然后进入 /usr/local/nginx/sbin目录启动nginx

国密浏览器安装

  • 常用浏览器是不支持访问国密Web服务器的，双击安装奇安信浏览器 qaxbrowser_1.1.45335.52.exe。也可以去奇安信官网去下载浏览器进行安装。
  • 安装完成后，打开浏览器设置，选择高级设置，然后勾选启动国密SSL通信。
    在这里插入图片描述
  • 设置完成后，重启浏览器。访问搭建好的Nginx服务器。
  • 可以看到，站点证书已经是国密证书了。
    在这里插入图片描述

国密版本wireShark安装

  • 那么有没有走国密SSL通道呢，安装个国密版本的wireShark抓包看下。
  • 双击安装 wireshark-win32-2.9.0-gm.3.exe。
    在这里插入图片描述
  • 抓包可以看到，使用的ssl协议确实是国密ssl协议。

参考

  • 国密SSL协议是什么？与标准TLS协议的区别
  • 国密改造—国密SSL
  • 国密SSL实验室

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/233254.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

如何利用Oracle官方网站不登录账号下载和安装非最新版本的JDK（版本自由选择）

如何利用Oracle官方网站不登录账号下载和安装非最新版本的JDK（版本自由选择）

一、JDK概述 JDK（Java Development Kit）是Java开发工具集，是针对Java编程语言的软件开发环境。它包含了Java编译器、JRE（Java运行时环境）以及其他一些用于开发、调试和测试Java应用程序的工具，是Java开发人…
阅读更多...
Spring Boot 基础知识点1 （含面试题1）

Spring Boot 基础知识点1 （含面试题1）

Spring Boot 是一款基于 Spring 框架的开源应用程序开发工具，它旨在简化 Spring 应用程序的配置和开发过程。Spring Boot 提供了一种简单的方式来创建可独立运行的、生产级别的应用程序，并在需要时进行部署。Spring Boot 在微服务架构和云计算环境下得到…
阅读更多...
嵌入式Linux之MX6ULL裸机开发学习笔记（汇编LED灯点亮）

嵌入式Linux之MX6ULL裸机开发学习笔记（汇编LED灯点亮）

汇编LED驱动实验 1.驱动编写 首先创建在vscode上创建工作区，创建led.s汇编文件，然后编写以下程序 .global _start 全局标号 _start: /* 使能所有外设时钟 */ ldr r0,0x020c4068 CCGR0 ldr r1,0xffffffff 要向CCGR0写入的数据 str r1,[r0] 将0xff…
阅读更多...
LeetCode刷题--- 珠宝的最高价值

LeetCode刷题--- 珠宝的最高价值

个人主页：元清加油_【C】,【C语言】,【数据结构与算法】-CSDN博客 个人专栏 力扣递归算法题 http://t.csdnimg.cn/yUl2I 【C】 ​​​​​​http://t.csdnimg.cn/6AbpV 数据结构与算法 ​​​http://t.csdnimg.cn/hKh2l 前言：这个专栏主要讲述动…
阅读更多...
[C#]使用onnxruntime部署yolov8-onnx印章检测

[C#]使用onnxruntime部署yolov8-onnx印章检测

【官方框架地址】 https://github.com/ultralytics/ultralytics.git 【算法介绍】 YOLOv8是目标检测领域中的一种先进算法，它是YOLO（You Only Look Once）系列算法的最新发展。YOLO算法以其高效和实时的性能而著名，而YOLOv8则进一…
阅读更多...
mysql: 2006, ‘MySQL server has gone away‘

mysql: 2006, ‘MySQL server has gone away‘

一、错误问题 这个问题是在迁移数据库、备份还原或数据导入时报错：2006, ‘MySQL server has gone away‘ 二、出现原因 sql操作的时间过长，或者是传送的数据太大(例如使用insert ... values的语句过长， 这种情况可以通过修改max_allowed_pac…
阅读更多...
【论文阅读笔记】Mip-NeRF 360: Unbounded Anti-Aliased Neural Radiance Fields

【论文阅读笔记】Mip-NeRF 360: Unbounded Anti-Aliased Neural Radiance Fields

目录 概述摘要引言参数化效率歧义性 mip-NeRF场景和光线参数化从粗到细的在线蒸馏基于区间的模型的正则化实现细节实验限制总结：附录退火膨胀采样背景颜色 paper：https://arxiv.org/abs/2111.12077 code：https://github.com/google-research/…
阅读更多...
网络安全法解读之思维导图

网络安全法解读之思维导图

一、出台背景 二、法律基础 三、网络安全法架构 1、第一章 总则（1-14条） 2、第二章 网络安全支持与促进（15-20条） 3、 第三章 网络运行安全（21-39条） （1）第一节 一般规定 &#xf…
阅读更多...
Android WiFi 连接

Android WiFi 连接

Android WiFi 连接 1、设置中WiFi显示2、WiFi 连接流程2.1 获取PrimaryClientModeManager2.2 ClientModeImpl状态机ConnectableState2.3 ISupplicantStaNetworkCallback 回调监听 3、 简要时序图4、原生低层驱动5、关键日志 1、设置中WiFi显示 Android WiFi基础概览 packages/a…
阅读更多...
性能分析与调优: Linux 实现 CPU剖析与火焰图

性能分析与调优: Linux 实现 CPU剖析与火焰图

目录 一、实验 1.环境 2.CPU 剖析 3.CPU火焰图 一、实验 1.环境 （1）主机 表1-1 主机 主机架构组件IP备注prometheus 监测 系统 prometheus、node_exporter 192.168.204.18grafana监测GUIgrafana192.168.204.19agent 监测 主机 node_exporter192…
阅读更多...
【Java】设计模式之两阶段终止

【Java】设计模式之两阶段终止

两阶段终止 两阶段终止，即Two Phase Termination。是用来终止线程的套路。 它的思想是，如何在一个线程T1中优雅地终止线程T2？这里的【优雅】指的是给T2一个料理后事的机会。 错误思路： 使用stop方法。stop 方法会真正杀死线程…
阅读更多...
使用命令行方式搭建uni-app + Vue3 + Typescript + Pinia + Vite + Tailwind CSS + uv-ui开发脚手架

使用命令行方式搭建uni-app + Vue3 + Typescript + Pinia + Vite + Tailwind CSS + uv-ui开发脚手架

使用命令行方式搭建uni-app Vue3 Typescript Pinia Vite Tailwind CSS uv-ui开发脚手架 项目代码以上传至码云，项目地址：https://gitee.com/breezefaith/uniapp-vue3-ts-scaffold 文章目录 使用命令行方式搭建uni-app Vue3 Typescript Pinia V…
阅读更多...
多线程执行后台任务，提供效率

多线程执行后台任务，提供效率

场景： 大批量复制物料描述到新的物料上，多线程同时执行已提高效率 REPORT zmm316. INCLUDE zmm316_top. INCLUDE zmm316_f01. *----------------------------------------------------------------------- I N I T I A L I Z A T I O N *------------…
阅读更多...
向量数据库:usearch的简单使用+实现图片检索应用

向量数据库:usearch的简单使用+实现图片检索应用

usearch的简单使用 usearch是快速开源搜索和聚类引擎，用于C、C、Python、JavaScript、Rust、Java、Objective-C、Swift、C#、GoLang和Wolfram 🔍中的向量和🔜字符串 // https://github.com/unum-cloud/usearch/blob/main/python/README.md …
阅读更多...
[C#]使用sdcb.paddleocr部署v4版本ocr识别模型

[C#]使用sdcb.paddleocr部署v4版本ocr识别模型

【官方框架地址】 https://github.com/sdcb/PaddleSharp 【算法介绍】 PaddleOCR，全称为PaddlePaddle OCR，是PaddlePaddle深度学习平台下的一款强大的光学字符识别工具。它利用深度学习技术，实现了高精度的文字识别，可以帮助用户…
阅读更多...
生态系统服务构建生态安全格局中的实践技术应用

生态系统服务构建生态安全格局中的实践技术应用

生态安全是指生态系统的健康和完整情况。生态安全的内涵可以归纳为：一，保持生态系统活力和内外部组分、结构的稳定与持续性；二，维持生态系统生态功能的完整性；三，面临外来不利因素时，生态系统具…
阅读更多...
window使用cpolar实现内网穿透

window使用cpolar实现内网穿透

文章目录 cpolar下载和安装启动和配置cpolar卸载 cpolar下载和安装 进入spolar官网，完成注册，下载相应的cploar版本解压和运行安装文件 配置安装路径，然后选择next，完成即可 启动和配置 点击首页的快捷图标打开网页&#xf…
阅读更多...
分布式系统架构设计之分布式消息队列基础知识

分布式系统架构设计之分布式消息队列基础知识

随着微服务、大数据和云计算的普及，分布式系统已经成为现代软件架构的核心。在分布式系统中，各个组件间的通信和数据交换尤其重要，而消息队列正是实现这一目标的关键技术之一。 在分布式架构设计过程中，架构师们需要对消息队列有…
阅读更多...
StarRocks 在小红书自助分析场景的应用与实践

StarRocks 在小红书自助分析场景的应用与实践

作者：小红书 OLAP 研发负责人 王成 近两年 StarRocks 一直是小红书 OLAP 引擎体系里非常重要的部分，过去一年，小红书的 StarRocks 使用规模呈现出翻倍的增长速度，目前整体规模已经达到 30 个集群，CPU 规模已经达到了 3…
阅读更多...
Redis——centos7环境安装Redis6.2.14版本，make命令编译时报错：jemalloc/jemalloc.h：没有那个文件或目录

Redis——centos7环境安装Redis6.2.14版本，make命令编译时报错：jemalloc/jemalloc.h：没有那个文件或目录

一、报错原因 在redis-6.2.14文件夹下有一个README.md文件，有如下一段话： 在构建 Redis 时，通过设置 MALLOC 环境变量来选择非默认的内存分配器。Redis 默认编译并链接到 libc malloc，但在 Linux 系统上，jemalloc 是…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023