SSL公共私钥逻辑

Question

我正在阅读SSL安全逻辑文章。我有点困惑。服务器有私钥，服务器发送客户端公钥。只有公钥的加密数据可以用私钥解密。

1-客户端没有私钥。客户如何解决服务器数据？

2-如果通过互联网发送公钥，有人可以访问收听网络的密钥。

3-加密和解密应该有一个算法。所有的浏览器都知道这个算法吗？如果浏览器公司知道加密算法，这是一个安全问题。

Answer 1

公钥和私钥不用于SSL中的数据加密。它们仅用于身份验证阶段。这就是客户端不需要私钥的原因，除非服务器需要客户端身份验证。实际加密通过使用协商会话密钥的对称加密完成。

互联网上有一些资源可以声明，否则就会出现Linux Documentation Project页面。他们错了。规范性参考文件是RFC 2246。

有关了解加密算法的说法很不正确。首先，客户必须知道算法能够加密和解密。其次，它在很多年前就已经确立，那种安全隐瞒并不起作用。真正的加密安全性来自设计良好且经过充分测试的算法，不管其众所周知，还有密钥长度。