La sessione SSL è basata solo? Esiste una definizione (formale) di una connessione SSL?

3

In vari documenti su SSL c'è un riferimento alla connessione.
Ma dal contesto non sono sicuro se questo significhi la connessione TCP sottostante o la connessione SSL.
Sto pensando che non esiste una connessione SSL (definita formalmente) nel protocollo SSL e solo una sessione SSL.
Quindi se leggo ad esempio:

For each SSL session, multiple connections can be setup. Each connection uses the same session parameters but different key

O

An SSL session can outlive the connection which produced it

La connessione è la connessione TCP giusto?
Formalmente parlando c'è sempre un SSL Connection ?

    
posta Jim 22.04.2012 - 12:09
fonte

2 risposte

4

Quando SSL è impostato, subisce un handshake. Questa stretta di mano consente ai due clienti di decidere in modo sicuro i dettagli della conversazione e scambiare il materiale chiave. Una volta che l'handshake è completo, entrambi i lati possono comunicare in modo sicuro. L'intera conversazione è semplicemente uno scambio di messaggi, quindi SSL non è tecnicamente limitato a nessun protocollo di trasporto. È possibile eseguire SSL su UDP se lo si desidera, anche se le librerie standard probabilmente non lo supportano e non suggerirei di provarlo.

Per rispondere alla tua domanda completamente - non esiste un messaggio nel protocollo SSL per dire "questa sessione SSL sta finendo". La sessione è legata a qualunque logica sia fornita dal livello di trasporto e dal livello dell'applicazione, e dipende dall'implementazione SSL per deallocare le risorse quando la conversazione è "terminata".

Una cosa che l'applicazione potrebbe fare è creare un wrapper SSL attorno a una connessione TCP, inviare alcuni messaggi, inviare un messaggio "I'm done", eliminare il wrapper SSL, quindi tornare indietro al primo passaggio senza che chiude la connessione TCP. In questo modo è possibile eseguire più "sessioni" SSL in seriale usando una singola connessione. Non sono sicuro di quale sia il caso d'uso e creerò una nuova connessione, ma non ci sono limiti tecnici per fermarti.

    
risposta data 22.04.2012 - 13:15
fonte
0

La connessione effettiva sarà TCP con SSL che ne definisce l'aspetto di sicurezza e il livello dell'applicazione che serve i dati effettivi. La stessa connessione può essere utilizzata per avviare una nuova "connessione" SSL utilizzando la sessione precedente o la nuova. La sessione viene utilizzata o riutilizzata per dettare se si tratta di una stretta di mano completa (chiamate costose) o di una stretta di mano abbreviata.

    
risposta data 21.10.2015 - 05:51
fonte

Leggi altre domande sui tag