технологии защищенной связи: SHTTP (Secure HTTP) и SSL (Secured Socket
Layer), — обе закреплены стандартами. Это не альтернативные технологии —
они действуют на разных уровнях и даже могут применяться совместно
(SHTTP поверх SSL).
Протокол SSL — это сеансовый протокол, он занимает промежуточное
место между прикладными протоколами (HTTP, FTP, SMTP и другими) и
транспортным протоколом TCP. Это означает, что с его помощью создается
защищенный канал связи (туннель), внутри которого можно работать с любой
службой Интернета: WWW, службой передачи файлов, электронной почтой и
другими.
Протокол SHTTP - это расширение прикладного протокола HTTP. Это
означает, что им пользуются только для защищенной связи в WWW при
взаимодействии Web-сервера и броузера. В двух словах разницу между SHTTP
и SSL можно сформулировать так: с помощью SHTTP можно отправить одно
защищенное сообщение (серверу или клиенту), а с помощью SSL можно
создать защищенный сеанс, в рамках которого можно обмениваться
многократными сообщениями. Есть еще такой подход: если нужно отправить
защищенное сообщение от клиента к серверу, например при заполнении Web-
формы или вводе пароля, то можно ограничиться протоколом SHTTP, а если
есть необходимость в двустороннем обмене данными, например при
взаимодействии с банком или электронной платежной системой, то используют
SSL.
В электронной коммерции наиболее широко применяется протокол SSL.
Программные средства, реализующие его, основаны на криптографии, как и
средства ЭЦП, однако сама криптографическая система, лежащая в основе 551,
является гибридной — в ней сочетаются несимметричные и симметричные
алгоритмы шифрования, причем сами алгоритмы могут быть любыми — это
зависит от конкретных программных средств. Простейшая модель работы 551-
соединения такова: сначала стороны обмениваются своими открытыми
ключами, затем, используя открытые , ключи партнеров, приступают к
созданию закрытого канала связи и совместно вырабатывают общий
симметричный ключ шифрования, с помощью которого в дальнейшем
обмениваются данными. Этот симметричный ключ одноразовый и называется
сеансовым ключом. Теоретически, партнеры, конечно, могли бы и не создавать
совместный симметричный ключ и ограничиться только несимметричными
методами криптографии, но они очень медленны. Их хорошо использовать для
однократной операции, например для проверки ЭЦП партнера и целостности
сообщения, но для двусторонней связи симметричные ключи удобнее, к тому
же их криптостойкость намного выше. Одноразовость же сеансового ключа
необходима, чтобы промежуточные серверы, участвующие в сеансе, не имели
достаточного времени для его компрометации. В следующем сеансе связи
сеансовый ключ неизбежно будет новым.
Протокол SSL в электронных банковских технологиях
Основная потребность в защищенной связи возникает при проведении