安全协议

1.什么是SSH SSH是英文Secure Shell的简写形式。通过使用SSH，你可以把所有传输的数据进行加密，这样"中间人"这种攻击方式就不可能实现了，而且也能够防止DNS欺骗和IP欺骗。使用SSH，还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，又可以为FTP、Pop、甚至为PPP提供一个安全的"通道"。如图所示: 2.SSH基本框架 SSH协议框架中最主要的部分是三个协议： * 传输层协议（The Transport Layer Protocol）提供服务器认证，数据机密性，信息完整性 等的支持； * 用户认证协议（The User Authentication Protocol） 则为服务器提供客户端的身份鉴别； * 连接协议（The Connection Protocol） 将加密的信息隧道复用成若干个逻辑通道，提供给更高层的应用协议使用； 各种高层应用协议可以相对地独立于SSH基本体系之外，并依靠这个基本框架，通过连接协议使用SSH的安全机制。 同时SSH协议框架中还为许多高层的网络安全应用协议提供扩展的支持。它们之间的层次关系可以用如下图来表示： 3.互联网主机秘钥机制 对于SSH这样以提供安全通讯为目标的协议，其中必不可少的就是一套完备的密钥机制

REST是一种架构风格，其核心是面向资源，REST专门针对网络应用设计和开发方式，以降低开发的复杂性，提高系统的可伸缩性。REST提出设计概念和准则为： 1.网络上的 所有事物都可以被抽象为资源(resource) 2.每一个资源都有唯一的资源标识(resource identifier)，对资源的操作不会改变这些标识 3.所有的操作都是 无状态 的 REST简化开发，其架构遵循CRUD原则，该原则告诉我们对于资源(包括网络资源)只需要四种行为：创建，获取，更新和删除就可以完成相关的操作和处理。您可以通过统一资源标识符（Universal Resource Identifier，URI）来识别和定位资源，并且针对这些资源而执行的操作是通过 HTTP 规范定义的。 其核心操作只有GET,PUT,POST,DELETE。 由于REST强制所有的操作都必须是stateless的，这就没有上下文的约束，如果做分布式，集群都不需要考虑上下文和会话保持的问题。极大的提高系统的可伸缩性。 对于SOAP Webservice和Restful Webservice的选择问题，首先需要理解就是SOAP偏向于面向活动，有严格的规范和标准，包括安全，事务等各个方面的内容，同时SOAP强调操作方法和操作对象的分离，有WSDL文件规范和XSD文件分别对其定义。而REST强调面向资源

　　首先，应该怀着这样一种心态来学习Restful——Restful你可以将其理解一种软件架构风格，并且诠释了Http协议的设计初衷，所以不要把他理解的那么神秘，Restful风格有好处，当然也是有坏处的。 　　然后是正文（转的）： 在SOA的基础技术实现方式中WebService占据了很重要的地位，通常我们提到WebService第一想法就是SOAP消息在各种传输协议上交互。近几年REST的思想伴随着SOA逐渐被大家接受，同时各大网站不断开放API提供给开发者，也激起了REST风格WebService的热潮。 SOAP 什么是SOAP，我想不用多说，google一把满眼都是。其实SOAP最早是针对RPC的一种解决方案，简单对象访问协议，很轻量，同时作为应用协议可以基于多种传输协议来传递消息（Http,SMTP等）。但是随着SOAP作为WebService的广泛应用，不断地增加附加的内容，使得现在开发人员觉得SOAP很重，使用门槛很高。在SOAP后续的发展过程中，WS-*一系列协议的制定，增加了SOAP的成熟度，也给SOAP增加了负担。 REST REST其实并不是什么协议也不是什么标准，而是将Http协议的设计初衷作了诠释，在Http协议被广泛利用的今天，越来越多的是将其作为传输协议，而非原先设计者所考虑的应用协议。SOAP类型的WebService就是最好的例子

在SOA的基础技术实现方式中WebService占据了很重要的地位，通常我们提到WebService第一想法就是SOAP消息在各种传输协议上交互。近几年REST的思想伴随着SOA逐渐被大家接受，同时各大网站不断开放API提供给开发者，也激起了REST风格WebService的热潮。 SOAP 什么是SOAP，我想不用多说，google一把满眼都是。其实SOAP最早是针对RPC的一种解决方案，简单对象访问协议，很轻量，同时作为应用协议可以基于多种传输协议来传递消息（Http,SMTP等）。但是随着SOAP作为WebService的广泛应用，不断地增加附加的内容，使得现在开发人员觉得SOAP很重，使用门槛很高。在SOAP后续的发展过程中，WS-*一系列协议的制定，增加了SOAP的成熟度，也给SOAP增加了负担。 REST REST其实并不是什么协议也不是什么标准，而是将Http协议的设计初衷作了诠释，在Http协议被广泛利用的今天，越来越多的是将其作为传输协议，而非原先设计者所考虑的应用协议。SOAP类型的WebService就是最好的例子，SOAP消息完全就是将Http协议作为消息承载，以至于对于Http协议中的各种参数（例如编码，错误码等）都置之不顾。其实，最轻量级的应用协议就是Http协议。Http协议所抽象的get,post,put,delete就好比数据库中最基本的增删改查

在 SOA 的基础技术实现方式中 WebService 占据了很重要的地位，通常我们提到 WebService 第一想法就是 SOAP 消息在各种传输协议上交互。近几年 REST 的思想伴随着 SOA 逐渐被大家接受，同时各大网站不断开放 API 提供给开发者，也激起了 REST 风格 WebService 的热潮。 SOAP 什么是 SOAP ，我想不用多说， google 一把满眼都是。其实 SOAP 最早是针对 RPC 的一种解决方案，简单对象访问协议，很轻量，同时作为应用协议可以基于多种传输协议来传递消息（ Http,SMTP 等）。但是随着 SOAP 作为 WebService 的广泛应用，不断地增加附加的内容，使得现在开发人员觉得 SOAP 很重，使用门槛很高。在 SOAP 后续的发展过程中， WS-* 一系列协议的制定，增加了 SOAP 的成熟度，也给 SOAP 增加了负担。 REST REST 其实并不是什么协议也不是什么标准，而是将 Http 协议的设计初衷作了诠释，在 Http 协议被广泛利用的今天，越来越多的是将其作为传输协议，而非原先设计者所考虑的应用协议。 SOAP 类型的 WebService 就是最好的例子， SOAP 消息完全就是将 Http 协议作为消息承载，以至于对于 Http 协议中的各种参数（例如编码，错误码等）都置之不顾。其实

下面我们来一起学习一下 HTTPS ，首先问你一个问题，为什么有了 HTTP 之后，还需要有 HTTPS ？我突然有个想法，为什么我们面试的时候需要回答 标准答案 呢？为什么我们不说出我们自己的想法和见解，却要记住一些所谓的标准回答呢？ 技术还有正确与否吗 ？ HTTPS 为什么会出现 一个新技术的出现必定是为了解决某种问题的，那么 HTTPS 解决了 HTTP 的什么问题呢？ HTTPS 解决了什么问题 一个简单的回答可能会是 HTTP 它不安全。由于 HTTP 天生明文传输的特性，在 HTTP 的传输过程中，任何人都有可能从中截获、修改或者伪造请求发送，所以可以认为 HTTP 是不安全的；在 HTTP 的传输过程中不会验证通信方的身份，因此 HTTP 信息交换的双方可能会遭到伪装，也就是 没有用户验证 ；在 HTTP 的传输过程中，接收方和发送方并 不会验证报文的完整性 ，综上，为了结局上述问题，HTTPS 应用而生。 什么是 HTTPS 你还记得 HTTP 是怎么定义的吗？HTTP 是一种 超文本传输协议(Hypertext Transfer Protocol) 协议， 它 是一个在计算机世界里专门在两点之间传输文字、图片、音频、视频等超文本数据的约定和规范 ，那么我们看一下 HTTPS 是如何定义的 HTTPS 的全称是 Hypertext Transfer

SSL ***背景  企业出差员工，需要在外地远程办公，并期望 能够通过Internet随时随地的远程访问企业内部资源 。同时，企业为了 保证内网资源的安全性 ，希望能对移动办公用户进行多种形式的身份认证， 并对移动办公用户可访问内网资源的权限做精细化控制  IPSec、L2TP等先期出现的***技术虽然可以支持远程接入这个应用场景，但这些***技术的组网不灵活；移动办公用户 需要安装指定的客户端软件（SecoClient） ，导致网络部署和维护都比较麻烦； 无法对移动办公用户的访问权限做精细化控制  SSL ***作为新型的 轻量级 远程接入方案，可以有效地解决上述问题，保证移动办公用户能够在企业外部安全、高效的访问企业内部的网络资源  FW作为企业出口网关连接至Internet，并向移动办公用户（即出差员工）提供SSL ***接入服务。移动办公用户使用终端（如便携机、PAD或智能手机）与FW建立SSL ***隧道以后，就能通过SSL ***隧道远程访问企业内网的Web服务器、文件服务器、邮件服务器等资源 传统***存在的问题  IPSec ***可安全 、稳定地在两个网络间传输数据，并保证数据的完整无缺，适用于处理总公司与分公司之间的信息往来及其他 Site-to-Site 应用场景 由于IPSec是基于网络层的协议，很难穿越NAT和防火墙

HTTP 的缺点 到现在为止，我们已了解到 HTTP 具有相当优秀和方便的一面，然而 HTTP 并非只有好的一面，事物皆具两面性，它也是有不足之处的。HTTP 主要有这些不足，例举如下。 1、通信使用明文（ 不加密） ， 内容可能会被窃听 2、不验证通信方的身份， 因此有可能遭遇伪装 3、无法证明报文的完整性， 所以有可能已遭篡改 这些问题不仅在 HTTP 上出现，其他未加密的协议中也会存在这类问题。 除此之外，HTTP 本身还有很多缺点。而且，还有像某些特定的 Web 服务器和特定的 Web 浏览器在实际应用中存在的不足（也可以说成是脆弱性或安全漏洞），另外，用 Java 和 PHP 等编程语言开发的 Web 应用也可能存在安全漏洞。 通信使用明文可能会被窃听 由于 HTTP 本身不具备加密的功能，所以也无法做到对通信整体（使用 HTTP 协议通信的请求和响应的 内容 ）进行加密。即，HTTP 报文使用明文（指未经过加密的报文）方式发送。 TCP/IP 是可能被窃听的网络 如果要问为什么通信时不加密是一个缺点，这是因为，按 TCP/IP 协议族的工作机制，通信内容在所有的通信线路上都有可能遭到窥视。 所谓互联网，是由能连通到全世界的网络组成的。无论世界哪个角落的服务器在和客户端通信时，在此通信线路上的某些网络设备 、光缆、计算机等都不可能是个人的私有物

由于工作需要和知识储备，重新系统地学习网络方面的知识，先从《TCP/IP详解卷一》开始，对看书的大体内容进行简单整理，在这里进行记录。记录只是对知识的整理过程，并不追求面面俱到。 概念 EAP：可拓展身份认证协议，在链路层上保护一跳通信中的数据；它可与多种链路层技术一同使用，并提供多种方法来实现身份验证、授权以及计费（AAA）。 ESP：封装安全负载，IPsec中最流行的协议； 主要内容 补充内容 TCP/IP安全协议分层 与网络协议一样，安全协议也存在于协议栈的多个不同层次。链路层的安全服务致力于保护一跳通信中的信息；网络层的安全致力于保护两个主机之间传输的信息；传输层的安全服务致力于保护进程与进程之间的通信；应用层的安全服务致力于保护应用程序操纵的信息。常见的安全协议与分层如图所示。 IPsec IPsechi一个集合了许多标准的体系结构，它们在网络层为提供数据源认证、完整性、机密性以及访问控制。IPsec的操作分为建立阶段与数据交换阶段。建立阶段负责交换密钥材料并建立安全关联（SA）；数据交换阶段会使用不同类型的封装架构，成为认证头（AH）和封装安全负载（ESP）。IPsec可用于不同模式，如隧道模式或传输模式，以保护IP数据报流。以安全网关为例，IPsec的简要过程如图所示。 TLS TLS用于保证Web通信以及其他流行协议的安全。由于TLS能在应用程序或底部实现

加密算法 1、加密的两种方法： 　　对称（私钥）密码体制 　　非对称（公钥）密码体制 2、对称密码体制 　　加密密钥与解密密钥相同 　　保密强度高，但密钥管理难且可抵赖 　　从加密模式来看，分为两类： 　　a、序列密码 　　有限状态机产生伪随机序列——>使用该序列逐比特加密信息流 　　b、分组密码 　　明文按照固定长度分组——>用固定长度密钥单独加密每个分组 　　分组算法：DES、3DES、IDEA、IDEA、Skip-jack、Safer-64、LOK189、Shark 3、非对称加密体制 　　加密密钥（公开密钥）与解密密钥（专用密钥）不同 　　基本过程：A生成一对密钥——>公开其中的公开密钥PK——>C使用PK加密并将密文发送给A——>A用其中的专用密钥ZK解密 　　非对称密码体制中的每个用户都有一对选定的密钥 　　非对称密码体制，密钥管理简单，不可抵赖，但所需密钥长度较长，处理速度较慢 WPKI 　　 1、PKI：公钥基础设施 　　PKI系统：提供公钥加密和数字签名的系统 　　数字证书组成：用户身份，用户公钥，认证中心的数字签名 2、PKI系统的组成：认证中心CA、注册中心RA、证书库、客户端软件 　　a、认证中心 　　验证用户身份——>对含有用户身份与公钥的数据结构数字签名，捆绑用户身份和密钥——>生成公钥证书 　　根证书：直接被用户终端信任的CA