SSL
1.什么是SSL?
SSL是一种安全套接层协议，是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。
2.SSL协议的三个特性
保密：在握手协议中定义了会话密钥后，所有的消息都被加密；
鉴别：可选的客户端认证，和强制的服务器端认证；
完整性：传送的消息包括消息完整性检查（使用MAC）。
3.SSL的位置
ssl位于应用层和TCP层之间
初始：应用层数据直接递给传输层
ssl加入后：应用层———>ssl层--->对数据加密，增加自己的ssl头
4.SSL工作原理
a).握手协议（Handshake protocol）
首先握手协议是在应用程序的数据传输之前使用的
其次握手协议是客户机和服务器之间用ssl链接的时候使用的子协议。握手协议是ssl中复杂的协议，它包括客户机和服务器之间的一系列消息。它允许服务器和客户机相互验证，协商加密和MAC算法以及保密密钥，用来保护在SSL记录中发送的数据。
每个握手协议包含以下3个字段
（1）Type：表示10种消息类型之一
（2）Length：表示消息长度字节数
（3）Content：与消息相关的参数
握手协议的4个阶段：
（英文的，下面浅说一下）
阶段一：启动逻辑连接，建立这个连接的安全能力
客户机向服务器发出client hello消息并等待服务器响应
服务器向客户机返回server hello消息，对client hello消息中的信息进行确认。
Client hello消息包括Version，Random，Session id，Cipher suite，Compression method等信息。
ClientHello：客户发送CilentHello信息，包含如下内容：
1.客户端可以支持的SSL最高版本号
2. 一个用于生成主秘密的32字节的随机数。
3.一个确定会话的会话ID。
4.一个客户端可以支持的密码套件列表。（密码套件格式：每个套件都以“SSL”开头，紧跟着的是密钥交换算法。用“With”这个词把密钥交换算法、加密算法、散列算法分开，例如：SSL_DHE_RSA_WITH_DES_CBC_SHA,表示把DHE_RSA(带有RSA数字签名的暂时Diffie-HellMan)定义为密钥交换算法；把DES_CBC定义为加密算法；把SHA定义为散列算法）
5.一个客户端可以支持的压缩算法列表。
ServerHello：服务器用ServerHello信息应答客户，包括下列内容：
1.一个SSL版本号：取客户端支持的最高版本号和服务端支持的最高版本号中的较低者。
2.一个用于生成主秘密的32字节的随机数。（客户端一个、服务端一个）
3.会话ID
4.从客户端的密码套件列表中选择的一个密码套件
5.从客户端的压缩方法的列表中选择的压缩方法
————————————————
原文链接：https://blog.csdn.net/chengqiuming/article/details/70139813
这个阶段之后，客户端服务端知道了下列内容：
1.SSL版本
2.密钥交换算法、散列算法和加密算法
3.压缩方法
4.有关密钥生成的两个随机数
阶段二：服务器鉴别与密钥交换
在这个阶段，服务器启动SSL，是本阶段消息的唯一发送方，客户机是唯一的接收方.
该阶段有四步：
第一步：证书
服务器将数字证书和到根CA整个链发给客户端，使客户端能用服务器证书中的服务器公钥认证服务器。
第二步：服务器密钥交换（可选）
这里视密钥交换算法而定。
SSL中密钥交换算法有6种：无效（没有密钥交换）、RSA、匿名Diffie-Hellman、暂时Diffie-Hellman、固定Diffie-Hellman、Fortezza。
在SSL阶段1中，已经确定使哪种密钥交换算法。
如果协商过程中确定使用RSA交换密钥，在RSA中，服务器在它的第一个信息中，发送了RSA加密/解密公钥证书。不过，因为预备主秘密是由客户端在下一个阶段生成并发送的，所以第二个信息是空的。
第三步：证书请求（可选）
服务端可能会要求客户自身进行验证。
第四步：服务器握手完成
第二阶段的结束，第三阶段开始的信号。
阶段三：客户机鉴别与密钥交换
客户机启动SSL握手第3阶段，是本阶段所有消息的唯一发送方，服务器是所有消息的唯一接收方，该阶段分为3步。
第一步：证书（可选）
为了对服务器证明自身，客户要发送一个证书信息，这是可选的，在IIS中可以配置强制客户端证书认证。
第二步：客户机密钥交换（Pre-master-secret）
这里客户端将预备主密钥发送给服务端，注意这里会使用服务端的公钥进行加密。
第三步：证书验证（可选）
对预备秘密和随机数进行签名，证明拥有第一步证书的公钥。
阶段四：完成
客户机启动SSL握手第4阶段，使服务器结束。该阶段分为4步，前2个消息来自客户机（改变密码规格值，MD5散列值+SHA散列），后2个消息来自服务器（改变密码规格值，MD5散列值+SHA散列）。
b).记录协议（Record protocol）
记录协议在客户机和服务器握手成功后使用，即客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入SSL记录协议，记录协议向SSL连接提供两个服务：
（1）保密性：使用握手协议定义的秘密密钥实现
（2）完整性：握手协议定义了MAC，用于保证消息完整性
c).警报协议（Alert protocol）
客户机和服务器发现错误时，向对方发送一个警报消息。如果是致命错误，则算法立即关闭SSL连接，双方还会先删除相关的会话号，秘密和密钥。每个警报消息共2个字节，第1个字节表示错误类型，如果是警报，则值为1，如果是致命错误，则值为2；第2个字节制定实际错误类型。
文章参考如下，讲解很详细都配图了，比较好懂：
1.https://blog.csdn.net/chengqiuming/article/details/70139813
2.https://zhuanlan.zhihu.com/p/114612812