📄 204003.htm
字号:
<html><body><span id=Layer1><a name=204003><font color=#3e70d7 face=arial size=5><b>了解SSL</span><span id=Layer2></b></font><p><font size=2 color=#3c3c3c face=arial>Kerberos是Windows 2000核心的安全性协定，不过它并不是唯一的选择。SSL协定也可以用在其它类型的Windows 2000应用程式之中。虽然它目前最常见的使用者是浏览器与伺服器，回顾一下SSL是一个实作在Windows 2000上的SSP，透过SSPI存取。这代表其他应用程式协定也可能地善用SSL。</span><span id=Layer3></font></p><p><font size=2 color=#3c3c3c face=arial>Windows 2000让SSL能被许多应用程式存取</span><span id=Layer4></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>Windows 2000让SSL能被许多应用程式存取</span><span id=Layer5></font></p><hr><p><font size=2 color=#3c3c3c face=arial>今天SSL在Web-based的应用程式上闪闪发光。举例来说，假设你允许交易夥伴的使用者跨Internet存取一个位在你公司内部网路中的网站。如果这样做的话，就需要透过某些方式验证使用者的安全性。若交易夥伴的系统是Microsoft Windows NT或Windows 2000，理论上你可以选择使用NTLM或Kerberos在自己公司网域与交易夥伴网域之间建立信任关系（虽然要让这些解决方案更具延展性可能有点困难）。另外，若交易夥伴不使用Microsoft作业系统，则另一种更具延展性的选择方案便是使用SSL。</span><span id=Layer6></font></p><p><font size=2 color=#3c3c3c face=arial>SSL是最常应用在Web上的技术</span><span id=Layer7></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL是最常应用在Web上的技术</span><span id=Layer8></font></p><hr><p><font size=2 color=#3c3c3c face=arial>一旦你了解公开金钥技术运作的方式 数位签章、凭证，和其它东西 则了解SSL就很容易了。SSL就像Kerberos一样， 能够提供验证、资料完整性、与资料私密性。对於验证而言，SSL主要是依赖数位签章与凭证。SSL并非使用公开金钥技术来提供资料完整性以及资料私密性。取代的做法，SSL使用公开金钥加密技术来交换建构秘密金钥（secret key）所要的资讯，然後使用秘密金钥和一个演算法，如RC4来提供完整性与私密性。对於资料完整性来说，SSL新增一个检查码到每一个传送的封包，跟Kerberos很像。对於资料私密性，SSL加密封包中传送的每一份资料。</span><span id=Layer9></font></p><p><font size=2 color=#3c3c3c face=arial>SSL可以提供验证、资料完整性与资料私密性</span><span id=Layer10></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL可以提供验证、资料完整性与资料私密性</span><span id=Layer11></font></p><hr><p><font size=2 color=#3c3c3c face=arial>SSL规格有许多种选择。举例来说，客户端与伺服器可以选择欲使用的加密演算法，以及是否需要相互进行验证。Windows 2000的SSL实作，SSP（Microsoft有时也称为Secure Channel，或SChannel）支援IETF标准传输阶层安全性（Transport Layer Security（TLS））协定，以及SSL版本2与版本3。它也支援Private Communications Technology （PCT），这是Microsoft对SSL版本2的加强技术，但已在SSL版本3，以及最近的TLS中被淘汰。在本节中，我将使用「SSL」这个名词来讨论SSL版本3定义的规格。</span><span id=Layer12></font></p><p><font size=2 color=#3c3c3c face=arial>Windows 2000 SSL实作支援这个协定的多个版本</span><span id=Layer13></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>Windows 2000 SSL实作支援这个协定的多个版本</span><span id=Layer14></font></p><hr><p><font size=2 color=#3c3c3c face=arial>事实上，TLS与SSL规格定义一个协商的机制。SChannel SSP首先会建议使用TLS，然後在必要时试着协商双方使用SSL版本3。</span><span id=Layer15></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b>附注 </b></font><p><font size=2 color=#3c3c3c face=arial>事实上，TLS与SSL规格定义一个协商的机制。SChannel SSP首先会建议使用TLS，然後在必要时试着协商双方使用SSL版本3。</span><span id=Layer16></font></p><hr><font color=#3e72d7 face=arial size=4><b>SSL协定</span><span id=Layer17></b></font><p><font size=2 color=#3c3c3c face=arial>Internet是最常用到SSL的地方，在Internet若要每个客户端拥有自己的凭证和公开金钥是很痛苦的一件事。若要如此便需要许多安全的伺服器，而现在伺服器的数量比客户端要少很多。因此，SSL通常都是应用在单向验证，伺服器向客户端证明自己的身份。不过若客户端与伺服器两者都拥有自己的公开金钥与凭证，SSL也可以用在相互验证上。本节将介绍这两个选项运作的过程。</span><span id=Layer18></font></p><p><font size=2 color=#3c3c3c face=arial>SSL允许与在伺服器验证，或同时在伺服器与客户端验证</span><span id=Layer19></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL允许与在伺服器验证，或同时在伺服器与客户端验证</span><span id=Layer20></font></p><hr><p><font size=2 color=#3c3c3c face=arial><font size=2 face=arial color=#3e80d7><b> SSL与提供一个伺服器凭证</span><span id=Layer21> </b></font>图4-14展示没有凭证和私密金钥的客户端使用SSL与拥有凭证和私密金钥的伺服器沟通的过程。就如图显示，这个程序开始於客户端传送一个ClientHello讯息到伺服器。这个讯息，就像所有的SSL讯息一样，跨TCP或其它连结导向（connection-oriented）的传输协定传送，它包含许多资讯。最重要的资讯便是一个乱数（用法稍後介绍）、一个session识别码、一堆加密演算法的清单。</span><span id=Layer22></font></p><p><font size=2 color=#3c3c3c face=arial>SSL通常执行在TCP之上</span><span id=Layer23></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL通常执行在TCP之上</span><span id=Layer24></font></p><hr><p><font size=2 color=#3c3c3c face=arial>若客户端第一次对伺服器发出要求，session识别码栏位将会是空白。若不是第一次发出要求，这栏位将会包含一个值，以辨识客户端可能想继续使用的前一个session。这个值是在前一次的session由伺服器提供的，以服务特殊类别的SSL使用者：Web浏览器。若要了解这个值为何如此重要，思考一下当你浏览一个网站时会发生什麽事。当你的浏览器使用HTTP存取到一个网页时，通常要建立欲存取的每一个网页并透过TCP连线来传送网页中的资料。（事实上，一个单独的网页可能需要许多个TCP连线。）在一个单独的Session中，包含了你和某些伺服器的许多互动动作，你的浏览器可能会建立并摧毁许多不同的TCP连线。若要在一个完整的SSL连线来交换所有东西可能会让一个安全的浏览器存取速度非常的慢。若客户端可以指定它要回到前一个session，客户端便可以重复使用前一个Session中的许多资讯。在同一个浏览器Session中使用多个TCP连线的结果会让SSL连线过程较为快速。Session识别码栏位则实现了这个理想。</span><span id=Layer25></font></p><br><center><a target=_new href=imagesh/4-14.gif><img border=0 src='imagesl/4-14.gif'></a></center></span><span id=Layer26><center><table border=0 ><td align=center><font color=#3c3c3c face=arial size=2><font size=2 face=arial color=#3e80d7><b> 图4-14</span><span id=Layer27> </b></font>若只有伺服器拥有凭证与私密金钥，SSL可用来验证伺服器，然後安全地建立一个客户端与伺服器都知道的秘密金钥。</span><span id=Layer28></td></table></font></center><p><font size=2 color=#3c3c3c face=arial>包含在图4-14 ClientHello讯息中的加密演算法清单，指明客户端可以选用的演算法。图中客户端建议两种常用的演算法（虽然有许多演算法被定义）：</span><span id=Layer29></font></p><font size=2 color=#3c3c3c face=arial><ul><font size=2 face=arial color=#3c3c3c><li><font size=2 face=arial color=#3e80d7><b> SSL_RSA_WITH_RC4_128_MD5</span><span id=Layer30> </b></font>需要RSA以交换秘密金钥资讯，和128位元的RC4来加密交换的资料，以及MD5做为杂凑演算法（hash algorithm）。</span><span id=Layer31></li><br></font><font size=2 face=arial color=#3c3c3c><li><font size=2 face=arial color=#3e80d7><b> SSL_RSA_EXPORT_WITH_RC4_40_MD5</span><span id=Layer32> </b></font>同样需要RSA 、RC4与MD5，但只使用40位元的RC4加密交换的资料。就名称所暗示，支援这个选项的软体可以从美国外销不需授权。</span><span id=Layer33></li><br></font></ul></font><p><font size=2 color=#3c3c3c face=arial>客户端提出一份加密演算法的清单</span><span id=Layer34></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>客户端提出一份加密演算法的清单</span><span id=Layer35></font></p><hr><p><font size=2 color=#3c3c3c face=arial>再次强调，在本书出书之时这个法律可能已经改变了，在你读到本书时，这段叙述可能已不具正确性。</span><span id=Layer36></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b>附注 </b></font><p><font size=2 color=#3c3c3c face=arial>再次强调，在本书出书之时这个法律可能已经改变了，在你读到本书时，这段叙述可能已不具正确性。</span><span id=Layer37></font></p><hr><p><font size=2 color=#3c3c3c face=arial>为了回应到ClientHello，伺服器传送一个ServerHello讯息。这个讯息包含另一个乱数，以及一个伺服器从客户端建议的演算法清单中选用的一个演算法。它也包含一个session识别码，若稍後客户端想要继续使用这个session，便可在未来的ClientHello讯息中提供这个值。在ServerHello讯息後，伺服器传送给客户端一个Certificate讯息，包含x.509凭证，其後便是一个ServerHelloDone讯息。</span><span id=Layer38></font></p><p><font size=2 color=#3c3c3c face=arial>伺服器传回选用的演算法，和它的凭证</span><span id=Layer39></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>伺服器传回选用的演算法，和它的凭证</span><span id=Layer40></font></p><hr><p><font size=2 color=#3c3c3c face=arial>客户端现在可以传送一个ClientKeyExchange讯息。包含在这个讯息的内容则因选用的演算法而有所不同。在这个范例中使用RSA，这是目前最常用的选择，因此讯息包含了一些所谓的premaster secret。这个值是由客户端乱数产生的，然後使用伺服器的公开金钥加密，在图中以KSPub表示，客户端可以从伺服器的凭证中取得之。因为只有伺服器知道它的私密金钥，只有它才可以解密premaster secret。客户端与伺服端两者都要在这个值上进行一些稍微复杂的杂凑运算，以便产生一个48位元组的master secret。master secret将和交换Hello讯息的乱数一起使用，以便产生用来维护资料完整性与资料私密性的秘密金钥。</span><span id=Layer41></font></p><p><font size=2 color=#3c3c3c face=arial>客户端传送给伺服器一个位元组字串，并使用伺服器的公开金钥加密</span><span id=Layer42></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>客户端传送给伺服器一个位元组字串，并使用伺服器的公开金钥加密</span><span id=Layer43></font></p><hr><p><font size=2 color=#3c3c3c face=arial>Windows 2000实作的SSL同样支援使用Diffie-Hellman演算法来交换金钥资讯。</span><span id=Layer44></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b>附注 </b></font><p><font size=2 color=#3c3c3c face=arial>Windows 2000实作的SSL同样支援使用Diffie-Hellman演算法来交换金钥资讯。</span><span id=Layer45></font></p><hr><p><font size=2 color=#3c3c3c face=arial>现在客户端传送一个ChangeCipherSpec讯息，它永远都是相同的，它并没有可变动的参数。它代表「让我们开始使用加密演算法，以及我们认可的金钥」。最後，客户端传送一个Finished讯息，包含许多标准资讯的杂凑值。这个讯息是使用大家同意的加密演算法加密的，它就是以这个方式传送第一个受保护的讯息。</span><span id=Layer46></font></p><p><font size=2 color=#3c3c3c face=arial>两端都取得一把秘密金钥，然後便可以交换加密的资料</span><span id=Layer47></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>两端都取得一把秘密金钥，然後便可以交换加密的资料</span><span id=Layer48></font></p><hr><p><font size=2 color=#3c3c3c face=arial>在Finished讯息之後，伺服端回应一个ChangeCipherSpec讯息。和之前一样，这个Finished讯息使用之前交换的演算法与金钥加密。两端现在都可以使用任一种应用程式协定，安全地传送加密的资料。这是因为两端都知道秘密金钥（由master secret获得的），而其它想窃取资料的人并不知道金钥为何。</span><span id=Layer49></font></p><p><font size=2 color=#3c3c3c face=arial>在所有加密过的资料已传送後，伺服器便传送一个CloseNotifyAlert讯息，它是一个固定长度位元组字串，客户端则可以传送一个CloseNotifyAlert讯息回应之。这些讯息指明了安全的连线将要关闭。</span><span id=Layer50></font></p><p><font size=2 color=#3c3c3c face=arial>就如图4-14所示，SSL可让客户端确定伺服器的身份（当然，假设客户端信任发行伺服器凭证的CA。或者，若在使用凭证链的状况下，客户端信任阶层中的根CA）。客户端能有这种自信是基於伺服端能解密ClientKeyExchange讯息中premaster secret的能力。因为这个值是使用从伺服器萃取出来的公开金钥进行加密的，只有使用正确的伺服器凭证才能够解密，这也就是说，只有在伺服器才能知道对应的私密金钥。若伺服器可以成功地传送客户端能解密之已加密的资讯，它必须成功地解密客户端传送给它的premaster secret，因此伺服器必须是它所宣称的那个人。</span><span id=Layer51></font></p><p><font size=2 color=#3c3c3c face=arial>SSL交换只描述了让客户端验证伺服器</span><span id=Layer52></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL交换只描述了让客户端验证伺服器</span><span id=Layer53></font></p><hr><p><font size=2 color=#3c3c3c face=arial>在这个范例中，并没有验证客户端。Internet应用程式常常提示使用者输入名称与密码来验证客户端。因为客户端与伺服器现在都可以存取相同的秘密金钥，资讯便可以透过一个加密的通道来传送，因此让这个解决方案具有相当的安全性。更完整的解决方案可以让客户端拥有自己的凭证，允许SSL提供相互验证的动作。运作的过程将描述於後。</span><span id=Layer54></font></p><p><font size=2 color=#3c3c3c face=arial><font size=2 face=arial color=#3e80d7><b> SSL和提供客户端与伺服端凭证</span><span id=Layer55> </b></font>图4-15展示的范例很类似刚刚所描述的，例外的情况展示於下一个范例，使用相互验证 客户端与伺服器都拥有自己的私密金钥与凭证。和Kerberos不同的地方在於只用客户端验证是预设的，而只使用伺服器验证是一个选项。SSL将优先权转换了：只使用伺服器验证是预设值。事实上，SSL若伺服器没有提供凭证来证明自己，则不允许验证一个客户端。</span><span id=Layer56></font></p><p><font size=2 color=#3c3c3c face=arial>SSL也允许相互验证</span><span id=Layer57></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL也允许相互验证</span><span id=Layer58></font></p><hr><p><font size=2 color=#3c3c3c face=arial>展示於图4-15的程序和上一个范例一样，一开始客户端传送一个包含一个乱数值、一个session识别码...等等的Hello讯息。跟上例一样，接下来伺服器传送它的凭证。接下来和上例不同的地方在於，伺服器在Certificate讯息後传送一个Certificate-Request讯息。这个讯息包含伺服器可接收的凭证类型清单，如能配合RSA的凭证，以及这台伺服器信任的，发行这些凭证的CA清单。</span><span id=Layer59></font></p><p><font size=2 color=#3c3c3c face=arial>伺服器验证与双向验证的交换协定都是一样的</span><span id=Layer60></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>伺服器验证与双向验证的交换协定都是一样的</span><span id=Layer61></font></p><hr><p><font size=2 color=#3c3c3c face=arial>客户端传送它的X.509凭证来回应，使用的是伺服端用来传送凭证的同一种讯息格式。这个讯息跟随在ClientKeyExchange讯息之後，和前面的例子一样，它包含一个使用伺服器公开金钥加密的乱数。接下来，客户端传送一个CertificateVerify讯息，它包含了一个复杂的杂凑值（客户端已签署过）。伺服器也可以计算这个杂凑值，然後从客户端的公开金钥萃取出新接收到的凭证，然用使用凭证来验证数位签章。</span><span id=Layer62></font></p><p><font size=2 color=#3c3c3c face=arial>在这个情况下，客户端传送一个凭证与签章过的讯息</span><span id=Layer63></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>在这个情况下，客户端传送一个凭证与签章过的讯息</span><span id=Layer64></font></p><hr><p><font size=2 color=#3c3c3c face=arial>在前面的范例，客户端可以确定伺服器的识别码，因为伺服器将会展示它已正确地解密ClientKey-Exchange过程中交换的premaster secret。伺服器也可以确认客户端的识别码，因为客户端提供了数位签章与凭证。一旦两方都验证彼此的身份後，交换的过程如下：客户端传送一个ChangeCipherSpec，和Finished讯息，而伺服器回应这两个讯息。跟前例一样，两端可以交换已加密的资料，然後在交换CloseNotifyAlert讯息时标识连线结束。这个例子与上一个例子唯一不同处便是，现在客户端使用凭证和数位签章来证明自己的身份。</span><span id=Layer65></font></p><br><center><a target=_new href=imagesh/4-15.gif><img border=0 src='imagesl/4-15.gif'></a></center></span><span id=Layer66><center><table border=0 ><td align=center><font color=#3c3c3c face=arial size=2><font size=2 face=arial color=#3e80d7><b> 图4-15</span><span id=Layer67> </b></font>若客户端与伺服器都拥有凭证，SSL便可以提供相互验证。</span><span id=Layer68></td></table></font></center><font color=#3e72d7 face=arial size=4><b>Windows 2000中的SSL</span><span id=Layer69></b></font><p><font size=2 color=#3c3c3c face=arial>SSL协定是一个多厂商参与的标准。因此定义上，实作时在网路上都必须传送相同的资讯。有一些重要的概念SSL标准并未论及，这代表的含意是Windows 2000必须针对特定的厂商来考虑这些议题。这些概念包含如何决策讯息的授权，以及在一个Windows 2000网域中，何时该选择在Kerberos上用SSL。</span><span id=Layer70></font></p><p><font size=2 color=#3c3c3c face=arial><font size=2 face=arial color=#3e80d7><b> 取得授权资料</span><span id=Layer71> </b></font>因为SSL不能用来直接登入到一个Windows 2000的网域，它可以用来提供分散式应用程式安全性。Kerberos与SSL两者都提供验证、资料完整性、与资料私密性。不过它们都没有提供授权。就如前一章所描述，Kerberos ticket携带授权资料，如安全识别码（security identifier，SID）来辨识客户端与客户端隶属的群组。接收系统（receiving system）的Local Security Authority（LSA）使用这个资讯来建立安全存取标志（security access token），并允许伺服器模拟客户端。在标准的授权模型中，Windows 2000自己可以验证适当的ACL，并进行授权的决策。</span><span id=Layer72></font></p><p><font size=2 color=#3c3c3c face=arial>SSL并没有定义该如何进行授权</span><span id=Layer73></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL并没有定义该如何进行授权</span><span id=Layer74></font></p><hr><p><font size=2 color=#3c3c3c face=arial>在SSL完成同样的动作要花费更多的工作。SSL协定中并没有ticket，实际上，任何SSL封包中没有栏位携带了Windows 2000专属的授权资料。若客户端以一张凭证来识别自己，那麽伺服器要如何取得模拟客户端所需的资讯？</span><span id=Layer75></font></p><p><font size=2 color=#3c3c3c face=arial>答案显示在图4-16。当一个SSL客户端透过展示它的凭证和一个签章过的讯息来验明本身，伺服端系统首先会检查凭证。若凭证是由Microsoft Certificate Services所建立的，它便拥有一个延伸的属性栏位，其中包含客户端的User Principal Name （UPN）。若这个栏位存在，便在Active Directory全域目录中找寻客户端的使用者物件。一旦找到这个物件，客户端的授权资讯便会回传到伺服器系统，然後使用这个资讯来进行授权决策。</span><span id=Layer76></font></p><p><font size=2 color=#3c3c3c face=arial>客户端的授权资料可此从Active Directory中查询</span><span id=Layer77></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>客户端的授权资料可此从Active Directory中查询</span><span id=Layer78></font></p><hr><p><font size=2 color=#3c3c3c face=arial>这个资讯不是透过LDAP回传的。而是伺服器机器使用验证的RPC连线连结到网域控制者（domain controller），然後将必须的授权资讯回传到伺服器。</span><span id=Layer79></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b>附注 </b></font><p><font size=2 color=#3c3c3c face=arial>这个资讯不是透过LDAP回传的。而是伺服器机器使用验证的RPC连线连结到网域控制者（domain controller），然後将必须的授权资讯回传到伺服器。</span><span id=Layer80></font></p><hr><br><center><a target=_new href=imagesh/4-16.gif><img border=0 src='imagesl/4-16.gif'></a></center></span><span id=Layer81><center><table border=0 ><td align=center><font color=#3c3c3c face=arial size=2><font size=2 face=arial color=#3e80d7><b> 图4-16</span><span id=Layer82> </b></font>伺服器可以使用凭证中的资讯向网域控制者查询，以取得授权资料。</span><span id=Layer83></td></table></font></center><p><font size=2 color=#3c3c3c face=arial>若客户端的凭证并非由Microsoft Certificate Services建立的，那麽它就不太可能会包含客户端的UPN。在这个情况下，凭证中发行者名称，或发行者与主题名称就被用来当做查询Active Directory中相关使用者物件的键值。Active Directory包含一个名称的对照表，使用者物件代表Active Directory中一个特定的使用者帐号，因此再一次，可找寻到适当的授权资讯，并回传到伺服器。注意第二个案例暗喻了某个人已在Active Directory建立了特定凭证与特定使用者物件的对应关系。换句话说，对於不是使用Microsoft Certificate Services建立的凭证而言，凭证与使用者的关系必须透过管理工具建立。</span><span id=Layer84></font></p><p><font size=2 color=#3c3c3c face=arial><font size=2 face=arial color=#3e80d7><b> Kerberos或SSL？</span><span id=Layer85> </b></font>为何要同时拥有Kerberos与SSL？ 实际上，在Windows 2000提供这些协定的强力支援是有意义的。因为SSL是以公开金钥技术为基础，客户端与伺服器并不需要共享Kerberos伺服器（直接或间接），如此可让SSL的延展性更佳，这也是为何它在Internet这麽流行的原因了。</span><span id=Layer86></font></p><p><font size=2 color=#3c3c3c face=arial>SSL延展性佳，适合在Internet使用</span><span id=Layer87></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>SSL延展性佳，适合在Internet使用</span><span id=Layer88></font></p><hr><p><font size=2 color=#3c3c3c face=arial>然而，公开金钥技术相当地慢，使用Kerberos进行验证的分散式应用程式执行时较使用SSL的应用程式佳。更重要的是，若Windows 2000只使用SSL做为分散式的安全机制，那麽所有使用它的人都要依赖於相当复杂的公开金钥技术。每个网域都需要设定CA、CA阶层...等等以使用公开金钥基础架构。有人可能会争论说要利用公用金钥技术的经验以及知识还有所不足，虽然说时间可以解决一切。</span><span id=Layer89></font></p><p><font size=2 color=#3c3c3c face=arial>公开金钥技术没有 Kerberos成熟是备受争议的</span><span id=Layer90></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>公开金钥技术没有 Kerberos成熟是备受争议的</span><span id=Layer91></font></p><hr><p><font size=2 color=#3c3c3c face=arial>在Windows 2000，Kerberos是Microsoft安全机制的主要选择。就我们所看到的，以Kerberos为基础的安全性能够在一个网域中使用，也可以在不同的网域中使用，它也可以延展以支援大量的使用者。看起来SSL似乎仍是极占优势的Web应用程式安全性协定，也能用在intranet的Web-based应用程式。不过在Windows 2000环境中，毫无疑问，Kerberos是核心的安全性协定。</span><span id=Layer92></font></p><p><font size=2 color=#3c3c3c face=arial>Kerberos 仍是Windows 2000中核心的安全性协定</span><span id=Layer93></font></p><hr><font face=Arial Black color=#3e77d7 size=3><b></b></font><p><font size=2 color=#3c3c3c face=arial>Kerberos 仍是Windows 2000中核心的安全性协定</span><span id=Layer94></font></p><hr><p><font size=2 color=#3c3c3c face=arial>Microsoft已经声明Kerberos与以公开金钥为基础的技术，如SSL，能够共存一段时间。SSL在Internet的广泛使用，以及公开金钥吸引人的技术，和Windows 2000 Kerberos的需求，让这个预言可能会成真。</span>
</body></html>
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -