ssl - 为什么 SSL 被认为是安全的？

Question

难道不能在机器之间协商时简单地捕获 key 吗？

假设我连接到我的银行网站。浏览器将请求发送到银行服务器。银行服务器将向我发送其 SSL 证书的副本。如果有效，浏览器将发送已签名的确认。那个时候不可以简单的抓取私钥吗？

Answer 1

您的私钥(以及银行的私钥)永远不会通过网络发送。银行的公共(public) key 是它发送到您的浏览器的 X509 证书的一部分。如果银行使用其私钥签署任何内容，您的浏览器将使用银行的公钥(来自证书)验证签名。整个 SSL session 使用对称 密码加密(出于性能原因)。为此，双方需要交换 session key (每个连接都不同，并在定义的时间间隔后重新协商)。这种交换是使用 Diffie-Hellman 算法完成的。在此交换期间， key 不通过网络发送，它由双方独立计算。