一、IPsec VPN身份鑒別（參考國密標(biāo)準(zhǔn)《GMT 0022-2014 IPsec VPN技術(shù)規(guī)范》）
IKE第一階段（主模式）
- “消息2”由響應(yīng)方發(fā)出，消息中具體包含一個(gè)SA載荷（確認(rèn)所接受的SA提議）、響應(yīng)方的簽名證書和加密證書。此消息用明文傳輸，所以通過wireshark等協(xié)議分析工具可以詳細(xì)看到消息內(nèi)容，簽名證書和加密證書都可導(dǎo)出。
- “消息3”由發(fā)起方發(fā)出，此時(shí)發(fā)起方已經(jīng)具備響應(yīng)方加密證書，開始使用數(shù)字信封加密傳遞密鑰交換參數(shù)（用響應(yīng)方加密證書中的公鑰加密臨時(shí)對(duì)稱密鑰Ski，再用Ski加密Ni和IDi），同時(shí)用明文發(fā)送本方簽名證書和加密證書，并附上簽名以供身份鑒別使用。
- “消息4”由響應(yīng)方發(fā)出，這里要注意的是響應(yīng)方在接收到“消息3”后必須使用加密證書對(duì)應(yīng)的私鑰才能解開其中的數(shù)字信封從而獲得密鑰參數(shù)，這個(gè)過程也可以認(rèn)為是發(fā)起方對(duì)響應(yīng)方的身份鑒別。另外，在“消息3”中還包含有發(fā)起方的簽名，響應(yīng)方使用消息中一起發(fā)送過來的簽名證書對(duì)該簽名進(jìn)行驗(yàn)簽，這個(gè)過程是響應(yīng)方對(duì)發(fā)起方的身份鑒別?！跋?”與”消息3”結(jié)構(gòu)相似，也是用數(shù)字信封傳遞密鑰交換參數(shù)（用發(fā)起方加密證書中的公鑰加密臨時(shí)對(duì)稱密鑰Skr，再用Skr加密Nr和IDr），之后也附上本方簽名。至此雙方的身份鑒別基本完成，在“消息5”和“消息6”中雙方會(huì)對(duì)密鑰交換信息分別做一致性確認(rèn)。
綜上，IPsec VPN通道建立過程中身份鑒別主要使用簽名證書，也有加密證書的參與。
二、SSL VPN身份鑒別（參考國密標(biāo)準(zhǔn)《GMT 0024-2014 SSL VPN技術(shù)規(guī)范》）
SSL 握手協(xié)議（身份鑒別，安全參數(shù)協(xié)商）（注意以下*標(biāo)識(shí)消息只在雙向身份鑒別時(shí)出現(xiàn)）文章來源：http://www.zghlxwxcb.cn/news/detail-729906.html
- 服務(wù)端發(fā)送“Certificate消息”，其中包含服務(wù)端簽名證書和加密證書。
- 服務(wù)端隨即發(fā)送“Server Key Exchange消息”，在這里會(huì)使用服務(wù)端簽名私鑰對(duì)雙方隨機(jī)數(shù)和服務(wù)端加密證書進(jìn)行簽名。（客戶端也就是通過服務(wù)端簽名證書對(duì)這個(gè)簽名來驗(yàn)證從而完成對(duì)服務(wù)端的身份鑒別）
- 服務(wù)端發(fā)送“*Certificate Request消息”，消息中包含要求客戶端提供的證書類型列表。
- 服務(wù)端發(fā)送“Server Hello Done”，表示握手過程的Hello階段結(jié)束。
- 客戶端接收到以上消息后，需要驗(yàn)證服務(wù)端證書是否有效并驗(yàn)簽完成服務(wù)端身份鑒別。
- 客戶端按“*Certificate Request消息”的要求，發(fā)送“*Certificate消息”（包含明文的簽名證書和加密證書）。
- 客戶端發(fā)送“Client Key Exchange消息”，這個(gè)消息主要包含預(yù)主密鑰，該密鑰由客戶端產(chǎn)生，采用服務(wù)端的加密證書進(jìn)行加密后發(fā)送給服務(wù)端。
- 客戶端發(fā)送“*Certificate Verify消息”，這個(gè)消息用于服務(wù)端鑒別客戶端是否為簽名證書的合法持有者。具體做法是：客戶端使用sm3_hash計(jì)算自客戶端hello消息開始直到本消息為止（不包括本消息）的所有握手相關(guān)消息的內(nèi)容，然后使用客戶端的簽名私鑰簽名，服務(wù)端收到本消息后使用客戶端簽名證書驗(yàn)簽。
綜上，SSL VPN通道建立過程中身份鑒別主要使用簽名證書，也有加密證書的參與文章來源地址http://www.zghlxwxcb.cn/news/detail-729906.html
到了這里，關(guān)于IPsec_SSL VPN身份鑒別過程簡要的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
