Bidirektionelle kanaler i både Transport Layer Security (TLS) og Secure Shell (SSH) -protokoller håndterer datakryptering og dekryptering gennem en kombination af nøgleudveksling, krypteringsalgoritmer og sessionstyringsteknikker, der sikrer sikker kommunikation i både retninger mellem klient og server.
TLS tovejskanalkryptering og dekryptering
TLS er designet til at give fortrolighed og integritet af data, der udveksles mellem to kommunikationspartier over et netværk, såsom en klient og en server. Dens tovejskanaler gør det muligt at udveksle data sikkert i begge retninger samtidigt ved at udnytte flere kryptografiske processer:
- Nøgleudveksling og godkendelse: TLS -håndtrykket begynder med, at begge parter forhandler om kryptografiske parametre for at etablere delte nøgler uden at transmittere dem direkte. Offentlige nøglekryptografiske algoritmer som RSA, Diffieâ Hellman (DH), Ephemeral Diffieâ Hellman (DHE), elliptisk-kurve Diffieâ Hellman (Ecdhe) og andre bruges til sikkert at generere en delt hemmelig nøgle. Denne nøgle sendes ikke direkte over netværket, men afledes uafhængigt af begge sider efter at have udvekslet de nødvendige offentlige værdier. Under dette håndtryk autentificerer serveren sig normalt til klienten via et certifikat, der eventuelt er gensidig godkendelse. Håndtrykket er også enig i chiffer suiter, der dikterer krypteringsalgoritmer, der bruges til bulkdatakryptering. Denne proces giver både godkendelse og hemmeligholdelse i nøgleaftalefasen.
- Symmetrisk kryptering til dataoverførsel: Efter en delt hemmelig nøgle er etableret gennem håndtrykket, skifter TLS til symmetrisk kryptering for at beskytte de faktiske meddelelser, der er udvekslet i sessionen. Fordi symmetriske krypteringsalgoritmer er beregningseffektive, tillader de realtid kryptering og dekryptering i begge retninger. Almindelige symmetriske krypteringsalgoritmer, der bruges i TLS, inkluderer AES (avanceret krypteringsstandard), Chacha20 og andre. Begge parter bruger den samme sessionstast til at kryptere udgående og dekryptere indgående datastrømme, hvilket sikrer tovejs fortrolighed.
- Dataintegritet og godkendelse: TLS integrerer meddelelsesgodkendelseskoder (MAC'er) eller godkendte krypteringstilstande som AES-GCM (Galois/Counter Mode) for at sikre meddelelsesintegritet og ægthed. Dette garanterer, at enhver manipulation eller forfalskning af meddelelser i begge retninger vil blive opdaget.
- Tovejs natur: TLS -kanaler er iboende tovejs, hvilket betyder, at begge slutpunkter kan sende og modtage krypterede data samtidigt. De krypterings- og dekrypteringsprocesser spejles i begge ender ved hjælp af de etablerede symmetriske nøgler, hvilket muliggør problemfri, sikker tovejskommunikation.
- Fremad hemmeligholdelse: Moderne variationer af TLS bruger flygtige nøgler med DHE eller ECDHE, der etablerer nøgler pr. Session, der giver fremadhemmelighed. Dette betyder, at selv hvis langsigtede nøgler kompromitteres, forbliver tidligere kommunikationssessioner sikre.
- Session genoptagelse: For at forbedre effektiviteten i forhold til gentagne sessioner understøtter TLS session genoptagelse, hvor tidligere sessionstaster eller identifikatorer genbruges for at undgå et fuldt håndtryk, mens den opretholder sikkerhed, hvilket gælder tovejs krypteret dataflow.
SSH tovejskanalkryptering og dekryptering
SSH leverer sikkert fjernlogin og andre sikre netværkstjenester over et usikkert netværk. Dens tovejskanaler sikrer også, at data er krypteret og dekrypteret sikkert både, når man sender og modtager:
- Nøgleudvekslingsprotokol: I lighed med TLS begynder SSH med en nøgleudvekslingsmekanisme til at producere en delt hemmelig nøgle, der bruges til at kryptere sessionen. Det bruger ofte Diffie-Hellman Key Exchange-algoritmen. Serveren præsenterer sin offentlige værtsnøgle, som klienten verificerer for at autentificere serveren, inden den fortsætter. Begge parter bruger derefter aftalte algoritmer til at generere en delt hemmelig nøgle uafhængigt.
- Asymmetrisk kryptografi til godkendelse: I modsætning til den symmetriske kryptering, der bruges til bulkdata, tjener asymmetriske taster i SSH specifikt godkendelsesformål. De private nøgler i disse asymmetriske par forbliver hemmelige og bruges til at bevise identitet, men bulkdatakryptering bruger symmetriske taster.
- Symmetrisk kryptering af kommunikation: Efter de vigtigste udvekslings- og godkendelsesfaser skifter SSH til symmetriske krypteringsalgoritmer til sikker transmission af data på tværs af den tovejskanal. SSH understøtter flere symmetriske chiffer, såsom AES, 3DES, Blowfish, Cast128 og Arcfour. Både klient og server bruger den samme nøgle til at kryptere udgående data og dekryptere indkommende data, hvilket muliggør fuld-duplex sikker kommunikation.
- Integritet og komprimering: For at sikre, at meddelelser ikke er manipuleret med i transit, anvender SSH kryptografiske hash -funktioner til at oprette meddelelsesgodkendelseskoder (MAC'er) eller bruger godkendte krypteringstilstande. Derudover kan komprimering anvendes for at forbedre transmissionseffektiviteten.
- Bidirectional Channel -funktionalitet: SSH -forbindelsen skaber sikre tunneler eller kanaler, der er tovejs, der understøtter samtidig afsendelse og modtagelse af data med kryptering og dekryptering, der sker symmetrisk på både klient- og serversider. Dette tillader sikker kommandoudførelse, filoverførsler (via SFTP) og portforsendelse, alle overført krypterede kanaler.
- Flowkontrol og fejlhåndtering: SSH -kanaler inkluderer flowkontrolmekanismer, der styrer datatransmissionshastighederne i begge retninger, justerer for netværksbetingelser og sikrer pålidelig kommunikation.
delte egenskaber ved TLS og SSH tovejskanaler
- Begge bruger et indledende håndtryk til at etablere krypterede sessionstaster sikkert uden at udsætte dem for potentielle aflyttere.
- Symmetrisk kryptering bruges til effektivitet i kryptering og dekryptering af bulkkommunikationsdata, når sessionnøglen er etableret.
- Begge anvender meddelelsesgodkendelsesteknikker for at sikre fortrolighed, integritet og ægthed af data i begge retninger.
-De understøtter fuld-duplex, samtidig tovejsdataflow inden for sikre krypterede tunneler.
- Brug af algoritmer, der kan give fremadrettet hemmeligholdelse, hvilket sikrer, at tidligere kommunikation forbliver sikker, selvom langsigtede nøgler kompromitteres.
- Begge protokoller forhandler og er enige om krypteringsalgoritmer og nøglelængder i starten af sessionen.
- Den tovejs karakter af disse protokoller sikrer, at fejlhåndtering, videresendelse og flowkontrolmeddelelser også kan udveksles sikkert.