测试一下可以写多少字

FTP协议的分析和扩展

创建时间：2004-04-20 更新时间：2004-04-22
文章属性：转载
文章提交：wlj (wlj_at_uid0.net)

FTP协议的分析和扩展

作者：elly
出处：http://elly.blogdriver.com/index.jsp

>>1.0<< FTP和TCP端口号
根据是使用Port模式还是Passive模式，FTP使用不同的TCP端口号，在详细描述FTP前，我们来
简单讨论一下TCP端口号的一些基本概念。TCP使用端口号来标识所发送和接收的应用，端口号
可以帮助TCP来分离字节流并且帮相应字节传递给正确的应用程序。
TCP端口号可以是半永久的和暂时的。服务器端监听在半永久的端口上来让客户端访问。客户
端使用暂时的端口在本地标识一个对话，客户端端口只在使用TCP服务时候才存在，而服务器
端口只要服务器在运行就一直在监听。

TCP端口可以归为3类：
1、众所周知的端口来标识在TCP上运行的标准服务，包括FTP、HTTP、TELNET、SMTP等，这些
     端口号码范围为0-1023；
2、注册端口号用来标识那些已经向IANA（Internet Assigned Numbers Assigned Numbers
     Authority）注册的应用，注册端口号为1024-49151；
3、私有端口号是非注册的并且可以动态地分配给任何应用，私有端口为49152-65535；
      注册的端口号本来打算只给注册的应用使用，可近年来端口号已经陷入了到达极限的困境，你
     可能会看到本来应该是给注册应用使用的注册端口被非注册应用用做暂时的端口。RFC1700详
     细标注了众所周知的和注册的端口号，然而不幸的是，这个RFC文档自从1994年以来一直没有
     被更新，然后你仍可以从IANA得到一个及时更新的端口列表，详细URL为：
     http://www.iana.org/assignments/port-numbers

 

>>2.0<< FTP Port模式和FTP Passive模式
当你对一个FTP问题进行排错时候，你首先要问的一个问题是使用的是port模式的还是passive
模式。因为这两种行为迥异，所以这两种模式引起的问题也不同；在过去，客户端缺省为acti
ve(port)模式；近来，由于Port模式的安全问题，许多客户端的FTP应用缺省为Passive模式。

>>2.1  FTP Port模式
Port模式的FTP步骤如下：
1、 客户端发送一个TCP SYN（TCP同步）包给服务器段众所周知的FTP控制端口21，客户端
      使用暂时的端口作为它的源端口；
2、 服务器端发送SYN ACK（同步确认）包给客户端，源端口为21，目的端口为客户端上使用
      的暂时端口；
3、 客户端发送一个ACK（确认）包；客户端使用这个连接来发送FTP命令，服务器端使用这个
      连接来发送FTP应答；
4、 当用户请求一个列表(List)请求或者发起一个要求发送或者接受文件的请求，客户端软件使用
      PORT命令，这个命令包含了一个暂时的端口，客户端希望服务器在打开一个数据连接时候使用
      这个暂时端口；PORT命令也包含了一个IP地址，这个IP地址通常是客户自己的IP地址，而且FT
      P也支持第三方（third-party）模式，第三方模式是客户端告诉服务器端打开与另台主机的连接；
5、 服务器端发送一个SYN包给客户端的暂时端口，源端口为20，暂时端口为客户端在PORT命令中
      发送给服务器端的暂时端口号；
6、 客户端以源端口为暂时端口，目的端口为20发送一个SYN ACK包；
7、 服务器端发送一个ACK包；
8、 发送数据的主机以这个连接来发送数据，数据以TCP段(注：segment，第4层的PDU)形式发送（
      一些命令，如STOR表示客户端要发送数据，RETR表示服务器段发送数据），这些TCP段都需要
      对方进行ACK确认（注：因为TCP协议是一个面向连接的协议）
9、 当数据传输完成以后，发送数据的主机以一个FIN命令来结束数据连接，这个FIN命令需要另一
      台主机以ACK确认，另一台主机也发送一个FIN命令，这个FIN命令同样需要发送数据的主机以A
      CK确认；
10、 客户端能在控制连接上发送更多的命令，这可以打开和关闭另外的数据连接；有时候客户端结
      束后，客户端以FIN命令来关闭一个控制连接，服务器端以ACK包来确认客户端的FIN，服务器
      同样也发送它的FIN，客户端用ACK来确认。

下图图示了FTP PORT模式前几步步骤：
/====================================================================/
|                                                                    |
|       [ ftp Client ]                       [ ftp Server ]          |
|                                                                    |
|       (TCP:21 连接初始化,控制端口)                                    |
|                              SYN                                   |
|        Port xxxx   ---------------------->    Port 21       [TCP]  |
|                             SYN+ACK                                |
|        Port xxxx   <----------------------    Port 21              |
|                              ACK                                   |
|        Port xxxx   ---------------------->    Port 21              |
|                                                                    |
|       (控制操作: 用户列目录或传输文件)                                 |
|                                                                    |
|                       Port, IP, Port yyyy                          |
|        Port xxxx   <----------------------    Port 21              |
|                       Port Seccussful                              |
|        Port xxxx   <----------------------    Port 21              |
|                       List, Retr or Stor                           |
|        Port xxxx   ---------------------->    Port 21              |
|                                                                    |
|                                                                    |
|        (TCP:20 连接初始化,数据端口)                                   |
|                               SYN                                  |
|        Port yyyy   <----------------------    Port 20              |
|                            SYN+ACK                                 |
|        Port yyyy   ---------------------->    Port 20              |
|                               ACK                                  |
|        Port yyyy   <----------------------    Port 20              |
|                                                                    |
|                                                                    |
|        (数据操作: 数据传输)                                           |
|                           Data + ACK                               |
|        Port yyyy   <--------------------->    Port 20              |
|                               .                                    |
|                               .                                    |
|                               .                                    |
|                                                                    |
/====================================================================/

FTP Port模式会给网络管理人员在许多方面带来很多问题，首先，在PORT命令消息中的IP地址和端
口号的编码不是直白地显示。另外，应用层的协议命令理论上不应该包含网络地址信息（注：
IP地址），因为这打破了协议层的原则并且可能导致协同性和安全性方面的问题。

下图是WildPackets EtherPeek协议分析仪解码了PORT命令的地址参数，地址参数后是端口号，见PORT
192,168,10,232,6,127；6，127部分的第一个阿拉伯数字乘以256，然后加上第2个阿拉伯数字
就得到端口号，所以客户端指定了端口号为6*256+127=1663；
/====================================================================/
| IP Header - Internet Protocol Datagram                             |
|   Version:              4                                          |
|   Header Length:        5  (20  bytes)                             |
|                                                                    |
|   ...............                                                  |
|                                                                    |
|   Time To Live:         128                                        |
|   Protocol:             6  TCP - Transmission Control Protocol     |
|   Header Checksum:      0xAA36                                     |
|   Source IP Address:    192.168.0.1  DEMO                          |
|   Dest. IP Address:     192.168.0.3  VI                            |
|   No IP Options                                                    |
|                                                                    |
| TCP - Transport Control Protocol                                   |
|   Source Port:          2342  manage-exec                          |
|   Destination Port:     21  ftp                                    |
|   Sequence Number:      2435440100                                 |
|   Ack Number:           9822605                                    |
|   Offset:               5  (20  bytes)                             |
|   Reserved:             %000000                                    |
|   Flags:                %011000                                    |
|                         0. .... (No Urgent pointer)                |
|                         .1 .... Ack                                |
|                         .. 1... Push                               |
|                         .. .0.. (No Reset)                         |
|                         .. ..0. (No SYN)                           |
|                         .. ...0 (No FIN)                           |
|                                                                    |
|   Window:               65150                                      |
|   Checksum:             0x832A                                     |
|   Urgent Pointer:       0                                          |
|   No TCP Options                                                   |
|                                                                    |
| FTP Control - File Transfer Protocol                               |
|   Line  1:              PORT 192,168,0,1,9,39<CR><LF>              |
|                                                                    |
| FCS - Frame Check Sequence                                         |
|   FCS (Calculated):     0xF4C04A4F                                 |
/====================================================================/

下图验证了服务器端的确从端口20打开到端口1663的TCP连接：
/====================================================================/
| TCP - Transport Control Protocol                                   |
|   Source Port:          20  ftp-data                               |
|   Destination Port:     1663                                       |
|   Sequence Number:      2578824336                                 |
|   Ack Number:           0                                          |
|   Offset:               6  (24  bytes)                             |
|   Reserved:             %000000                                    |
|   Flags:                %000010                                    |
|                         0. .... (No Urgent pointer)                |
|                         .0 .... (No Ack)                           |
|                         .. 0... (No Push)                          |
|                         .. .0.. (No Reset)                         |
|                         .. ..1. SYN                                |
|                         .. ...0 (No FIN)                           |
|                                                                    |
|   Window:               3731                                       |
|   Checksum:             0x8A4C                                     |
|   Urgent Pointer:       0                                          |
|   No TCP Options                                                   |
|                                                                    |
| TCP Options                                                        |
|   Options Type:         2   Maxinum Segment Size                   |
|   Length:               4                                          |
|   MSS:                  1460                                       |
|                                                                    |
| FCS - Frame Check Sequence                                         |
|   FCS (Calculated):     0x5A1BD023                                 |
/====================================================================/

当使用FTP时候，网络中的防火墙必须要声明相应的端口，防火墙必须要跟踪FTP对话然后检查
PORT命令，防火墙必须要参与从服务器端到客户端在PORT命令中指定的端口连接的建立过程。
如果网络中使用了NAT（注：网络地址翻译），那么NAT的网关同样也需要声明相应的端口，网
关需要把在PORT命令中指定的IP地址翻译成分配给客户的地址，然后重新计算TCP的Checksum
；如果网关没有正确地执行这个操作，FTP就失败了。

黑客可能会利用FTP支持第三方特性这一特点，在PORT命令中设置IP地址和端口号参数来指定
一台目标主机的地址和端口号（有时候称这种攻击为FTP反弹攻击），例如黑客可以让一台FTP
服务器不断地从它的源端口20发送TCP SYN包给一系列目的端口，让FTP服务器看起来正在进行
端口扫描，目的主机不知道攻击来自黑客的主机，看起来攻击象是来自FTP服务器。一些常用的
FTP应用在PORT命令中设置地址为0.0.0.0，这样做的意图是让FTP服务器只需要与打开控制连接
的相同客户进行数据连接，设置地址为0.0.0.0可能会让防火墙不知所措。例如，CISCO PIX IOS
6.0以上版本的PIX（注：CISCO硬件防火墙设备，6.0以上版本为其修正了相关的FTP协议）
要求数据连接的IP地址与已经存在的控制连接的IP地址必须相同。这样做的原因是防止黑客用
PORT命令来攻击别的机器，虽然一些FTP应用设置IP地址为0.0.0.0不是有意图的攻击，但在PI
X修正协议环境下的确引起了一些问题，同时对其他不允许第三方模式和避免FTP反弹攻击的防
火墙来说，这也会引起相同的问题。

>>2.2  FTP Passive模式
下面的列表描述了Passive模式的FTP的步骤，步骤1到3和Port模式FTP相同，步骤9到11同样与
Port模式FTP最后三步相同。

1、客户端发送一个TCP SYN（TCP同步）包给服务器段众所周知的FTP控制端口21，客户端使
     用暂时的端口作为它的源端口；
2、服务器端发送SYN ACK（同步确认）包给客户端，源端口为21，目的端口为客户端上使用
     的暂时端口；
3、客户端发送一个ACK（确认）包；客户端使用这个连接来发送FTP命令，服务器端使用这个
     连接来发送FTP应答；
4、当用户请求一个列表(List)或者发送或接收文件时候，客户端软件发送PASV命令给服务器端
     表明客户端希望进入Passive模式；
5、服务器端进行应答，应答包括服务器的IP地址和一个暂时的端口，这个暂时的端口是客户端
     在打开数据传输连接时应该使用的端口；
6、客户端发送一个SYN包，源端口为客户端自己选择的一个暂时端口，目的端口为服务器在PASV
     应答命令中指定的暂时端口号；
7、服务器端发送SYN ACK包给客户端，目的端口为客户端自己选择的暂时端口，源端口为PASV
     应答中指定的暂时端口号；
8、客户端发送一个ACK包；
9、发送数据的主机以这个连接来发送数据，数据以TCP段(注：segment，第4层的PDU)形式发送（
     一些命令，如STOR表示客户端要发送数据，RETR表示服务器段发送数据），这些TCP段都需要
     对方进行ACK确认；
10、当数据传输完成以后，发送数据的主机以一个FIN命令来结束数据连接，这个FIN命令需要另一
     台主机以ACK确认，另一台主机也发送一个FIN命令，这个FIN命令同样需要发送数据的主机以A
     CK确认；
11、客户端能在控制连接上发送更多的命令，这可以打开和关闭另外的数据连接；有时候客户端结
     束后，客户端以FIN命令来关闭一个控制连接，服务器端以ACK包来确认客户端的FIN，服务器
     同样也发送它的FIN，客户端用ACK来确认。

下图图示了Passive模式FTP的开始几个步骤：
/====================================================================/
|                                                                    |
|       [ ftp Client ]                       [ ftp Server ]          |
|                                                                    |
|       (TCP:21 连接初始化,控制端口)                                    |
|                              SYN                                   |
|        Port xxxx   ---------------------->    Port 21       [TCP]  |
|                             SYN+ACK                                |
|        Port xxxx   <----------------------    Port 21              |
|                              ACK                                   |
|        Port xxxx   ---------------------->    Port 21              |
|                                                                    |
|       (PASV操作: 被动连接数据端口初始化)                               |
|                                                                    |
|                             PASV                                   |
|        Port xxxx   ---------------------->    Port 21              |
|                     PASV OK, IP, Port yyyy                         |
|        Port xxxx   <----------------------    Port 21              |
|                               SYN                                  |
|        Port zzzz   ---------------------->    Port yyyy            |
|                            SYN+ACK                                 |
|        Port zzzz   <----------------------    Port yyyy            |
|                               ACK                                  |
|        Port zzzz   ---------------------->    Port yyyy            |
|                                                                    |
|                                                                    |
|        (数据操作: 数据传输)                                           |
|                       List, Retr or Stor                           |
|        Port xxxx   ---------------------->    Port 21              |
|                           Data + ACK                               |
|        Port zzzz   <--------------------->    Port yyyy            |
|                               .                                    |
|                               .                                    |
|                               .                                    |
|                                                                    |
/====================================================================/
一个PASV请求要求服务器在服务器选择的一个新的端口上接受数据连接，PASV命令没有任何参
数，服务器端的回应只是一行显示服务器IP地址和服务器接受连接的TCP端口号。

下图显示了服务器对PASV命令的回应，服务器告诉客户端它在端口5365（192,168,179,100,20
,245）上进行监听，计算端口的方法是20*256+245=5365；
/====================================================================/
| TCP - Transport Control Protocol                                   |
|   Source Port:          21  ftp                                    |
|   Destination Port:     1249                                       |
|   Sequence Number:      4239887193                                 |
|   Ack Number:           36925357                                   |
|   Offset:               5  (20  bytes)                             |
|   Reserved:             %000000                                    |
|   Flags:                %011000                                    |
|                         0. .... (No Urgent pointer)                |
|                         .1 .... Ack                                |
|                         .. 1... Push                               |
|                         .. .0.. (No Reset)                         |
|                         .. ..0. (No SYN)                           |
|                         .. ...0 (No FIN)                           |
|                                                                    |
|   Window:               8760                                       |
|   Checksum:             0x3EAB                                     |
|   Urgent Pointer:       0                                          |
|   No TCP Options                                                   |
|                                                                    |
| FTP Control - File Transfer Protocol                               |
|   Line  1:              PASV 192,168,0,1,100,20,245<CR><LF>        |
|                                                                    |
| FCS - Frame Check Sequence                                         |
|   FCS (Calculated):     0xBED4346D                                 |
/====================================================================/
当收到PASV命令的回应后，客户端打开一个TCP连接，源端口为一个暂时的端口，目的端口为
服务器提供的暂时端口。

下图显示了客户端的TCP连接建立过程，正如上面所说，目的端口为5365。
/====================================================================/
| TCP - Transport Control Protocol                                   |
|   Source Port:          1250                                       |
|   Destination Port:     5365                                       |
|   Sequence Number:      36931503                                   |
|   Ack Number:           0                                          |
|   Offset:               7  (28  bytes)                             |
|   Reserved:             %000000                                    |
|   Flags:                %000010                                    |
|                         0. .... (No Urgent pointer)                |
|                         .0 .... (No Ack)                           |
|                         .. 0... (No Push)                          |
|                         .. .0.. (No Reset)                         |
|                         .. ..1. SYN                                |
|                         .. ...0 (No FIN)                           |
|                                                                    |
|   Window:               8192                                       |
|   Checksum:             0x1A57                                     |
|   Urgent Pointer:       0                                          |
|   No TCP Options                                                   |
|                                                                    |
| TCP Options                                                        |
|   Options Type:         2   Maxinum Segment Size                   |
|   Length:               4                                          |
|   MSS:                  1460                                       |
|                                                                    |
| FCS - Frame Check Sequence                                         |
|   FCS (Calculated):     0x5A1BD023                                 |
/====================================================================/

大多数人认为在防火墙网络环境中Passive模式比Port模式的问题小，但我们注意到在Passive
模式下，客户端打开一个暂时的目的端口连接，一些防火墙或者CISCO设备的访问列表(ACL)可
能会阻止这种连接，同样服务器的回应也是从一个暂时的端口到一个暂时的端口，防火墙或者
CISCO的访问列表也会阻止这种连接。在CISCO路由器上你可以用访问列表关键字"established
"来避免第二个问题，"established"关键字告诉路由器允许带ACK字端的包通过，服务器端的S
YN ACK包带有ACK字端。在新版本PIX IOS中也可以通过fixit关键字建立针对ftp协议的深层状
态检测过滤，其他大多数状态检测防火墙例如LinuxNetfilters也支持ftp协议的状态检测，进行
准确的PASV动态端口过滤。

>>2.3  用户名和口令的明文传输
FTP另一个声名狼藉的问题是它以明文方式发送用户名和口令，也就是不加密地发送。任何人
只要在网络中合适的位置放置一个协议分析仪就可以看到用户名和口令；FTP发送的数据也是
以明文方式传输，通过对ftp连接的监控和数据收集就可以收集和重现ftp的数据传输并实现协
议连接回放。事实上很多用户把相同的用户名和口令用在不同的应用中，这样这个问题可能
看起来更为糟糕；如果黑客收集到FTP口令，他们也可能就得到了你在线帐号或者其他一些
机密数据的口令。

下面是通过tcpdump -- 一个著名的网络协议分析程序抓取的ftp的完整通讯过程。
/===============================================================================/
21:55:36.682402 IP 192.168.0.1.2323 > 192.168.0.3.21: S 2047626269:2047626269(0)
win 65535 <mss 1460,nop,nop,sackOK> (DF)
21:55:36.682792 IP 192.168.0.3.21 > 192.168.0.1.2323: S 3917547047:3917547047(0)
ack 2047626270 win 65535 <mss 1460,nop,nop,sackOK> (DF)
21:55:36.682855 IP 192.168.0.1.2323 > 192.168.0.3.21: . ack 1 win 65535 (DF)
<TCP三步握手>
21:55:36.854899 IP 192.168.0.3.21 > 192.168.0.1.2323: P 1:115(114) ack 1 win 65535
(DF)
0x0000  4500 009a d570 4000 8006 a398 c0a8 0003 E....p@.........
0x0010  c0a8 0001 0015 0913 e981 0628 7a0c 4c1e ...........(z.L.
0x0020  5018 ffff cd50 0000 3232 302d 5468 6973 P....P..220-This
0x0030  2073 6572 7665 7220 6973 2066 6f72 2070 .server.is.for.p
0x0040  7269 7661 7465 2075 7365 206f 6e6c 790d rivate.use.only.
0x0050  0a32                                    .2
21:55:37.016115 IP 192.168.0.1.2323 > 192.168.0.3.21: . ack 115 win 65421 (DF)
0x0000  4500 0028 b8d0 4000 8006 c0aa c0a8 0001 E..(..@.........
0x0010  c0a8 0003 0913 0015 7a0c 4c1e e981 069a ........z.L.....
0x0020  5010 ff8d 6f83 0000                     P...o...
21:55:37.016471 IP 192.168.0.3.21 > 192.168.0.1.2323: P 115:154(39) ack 1 win
65535 (DF)
<FTP协议连接>
0x0000  4500 004f d586 4000 8006 a3cd c0a8 0003 E..O..@.........
0x0010  c0a8 0001 0015 0913 e981 069a 7a0c 4c1e ............z.L.
0x0020  5018 ffff 074f 0000 3232 3020 506c 6561 P....O..220.Plea
0x0030  7365 2065 6e74 6572 2079 6f75 7220 6c6f se.enter.your.lo
0x0040  6769 6e20 6e61 6d65 206e 6f77 2e0d 0a   gin.name.now...
21:55:37.022282 IP 192.168.0.1.2323 > 192.168.0.3.21: P 1:12(11) ack 154 win 65382
(DF)
0x0000  4500 0033 b8d2 4000 8006 c09d c0a8 0001 E..3..@.........
0x0010  c0a8 0003 0913 0015 7a0c 4c1e e981 06c1 ........z.L.....
0x0020  5018 ff66 c4eb 0000 5553 4552 2065 6c6c P..f....USER.ell
0x0030  790d 0a                                 y..
<用户名:elly>
21:55:37.059430 IP 192.168.0.3.21 > 192.168.0.1.2323: P 154:188(34) ack 12 win
65524 (DF)
0x0000  4500 004a d58b 4000 8006 a3cd c0a8 0003 E..J..@.........
0x0010  c0a8 0001 0015 0913 e981 06c1 7a0c 4c29 ............z.L)
0x0020  5018 fff4 b343 0000 3333 3120 5061 7373 P....C..331.Pass
0x0030  776f 7264 2072 6571 7569 7265 6420 666f word.required.fo
0x0040  7220 656c 6c79 202e 0d0a                r.elly....
21:55:37.060301 IP 192.168.0.1.2323 > 192.168.0.3.21: P 12:27(15) ack 188 win
65348 (DF)
0x0000  4500 0037 b8db 4000 8006 c090 c0a8 0001 E..7..@.........
0x0010  c0a8 0003 0913 0015 7a0c 4c29 e981 06e3 ........z.L)....
0x0020  5018 ff44 e479 0000 5041 5353 2038 3838 P..D.y..PASS.888
0x0030  3838 3838 380d 0a                       88888..
<密码:88888888>
21:55:37.243954 IP 192.168.0.3.21 > 192.168.0.1.2323: . ack 27 win 65509 (DF)
0x0000  4500 0028 d59d 4000 8006 a3dd c0a8 0003 E..(..@.........
0x0010  c0a8 0001 0015 0913 e981 06e3 7a0c 4c38 ............z.L8
0x0020  5010 ffe5 6ec8 0000 0000 0000 0000      P...n.........
21:55:37.285586 IP 192.168.0.3.21 > 192.168.0.1.2323: . 188:1648(1460) ack 27 win
65509 (DF)
0x0000  4500 05dc d5a4 4000 8006 9e22 c0a8 0003 E.....@...."....
0x0010  c0a8 0001 0015 0913 e981 06e3 7a0c 4c38 ............z.L8
0x0020  5010 ffe5 0300 0000 3233 302d 5765 6c63 P.......230-Welc
0x0030  6f6d 6520 746f 2076 6920 4654 5020 7365 ome.to.vi.FTP.se
0x0040  7276 6572 0d0a 3233 302d 0d0a 3233 302d rver..230-..230-
0x0050  4375                                    Cu
<明文数据传输>
/===============================================================================/

>>3.0<<  改进: ftp安全扩展, SSL/TLS
在传统的ftp通讯和传输过程中可以看出，ftp协议提供了一种简单实用的网络文件传输方法，
但是缺陷也是显而易见的。传统ftp服务缺乏对数据的机密性和完整性保护，对通讯双方也没
有可靠的认证措施，同时还存在着明文信息传输的弱点 --
在同一个网络上的任何用户都可能窃取到重要的信息。虽然近年来出现了很多种ftp的替代服
务，例如ssh加密通道的sftp/scp，或使用IPSEC协议的VPN通道等等，但是在大多数情况下，f
tp的通用性和易用性使得它在很长一段时间内必然无法被完全取代。所以如同其他一系列古董
服务(例如SMTP/HTTP)一样，近年来也出现了一些不需要对ftp协议自身做完全更改的协议扩展
模块，能够良好的完成兼容性和功能扩展。ftp SSL/TLS Extension就是其中一种方式。

FTP安全扩展:   http://www.ietf.org/rfc/rfc2228.txt
              http://www.ietf.org/rfc/rfc2246.txt
FTP安全扩展，SSL接口草案:
http://www.ietf.org/internet-drafts/draft-murray-auth-ftp-ssl-13.txt

>>3.1  SSL/TLS简介
先说一下SSL/TLS协议，SSL(Secure Socket
Layer)最早是netscape公司设计的用于HTTP协议加密的安全传输协议，SSL工作于TCP协议的传
输层(TCP层)和应用程序之间。作为一个中间层，应用程序只要采用SSL提供的一套SSL套接字A
PI来替换标准的Socket套接字，就可以把程序转换为SSL化的安全网络程序，在传输过程中将
由SSL协议实现数据机密性和完整性的保证。SSL协议的当前版本为3.0，当SSL取得大规模成功
后，IETF(www.ietf.org)将SSL作了标准化，规范为RFC2246，并将其称为TLS（Transport
Layer
Security）。从技术上讲，TLS1.0与SSL3.0的差别非常微小，SSL由于其历史应用的原因在当
前的商业应用程序之中使用得更多一些。
TLS协议，RFC 2246:  http://www.ietf.org/rfc/rfc2246.txt

>>3.2  数据机密性和完整性
前面多次提到了数据的机密性和完整性两个方面，在此略微解释一下。数据的机密性确保数据
信息机密可靠，不会被没有权限的对象所访问和浏览到，基本的机密性保护手段就是数据加密
；而数据的完整性则是指数据在传输和存储过程中将保证数据的唯一和完整，不会被恶意篡改
着所修改，保证数据完整性的基本手段主要有数字签名。

这里就牵扯到数据加密领域的两类算法，加密算法和散列算法。加密算法从数学原理上看可以
分为对称加密和非对称加密，从数据处理方法上可以分为流加密和分组加密，本文重点不在此
，不再赘述，只举例几种常用的加密算法: DES, 3DES, AES,
BlowFish,RC2-RC6等等。数据签名算法是加密领域的另一套方法，又叫数据散列算法，用于对
数据进行处理生成一个唯一的等长签名字符串，原数据的长度可能是任意的，而任意两个相似
但哪怕只有少许细微差别的数据集，都将产生差别非常大的等长签名字符串，这个字符串在一
般意义下被认为是极少会发生空间冲突(重复)的，因此数据散列算法对于确保数据的唯一性是
一种必要的手段；常见的数字散列算法有MD5，SHA-1，CAST-256等等。

可以看出，面对如此多种类的加密算法，应用程序处理起来是很繁琐的。SSL在这个层次中就
提供了一种自动的算法协商，密钥交换和数据加密过程。SSL协议分为两部分：Handshake
Protocol和Record
Protocol，HandShake部分用于处理通讯双方的算法协商和密钥交换过程，Record部分用于对
数据进行加密传输。

整个的SSL基本通讯过程如下:
/====================================================================/
|                                                                    |
|      [ SSL Client ]                        [ SSL Server ]          |
|                                                                    |
|      (TCP三步握手)                                                  |
|      (SSL套结字连接)                                                 |
|                               .                                    |
|                               .                    SSLSocket()     |
|                               .                         Bind()     |
|      SSLSocket()       ------------------->                        |
|                        <-------------------            Connect     |
|      (连接加密算法协商)                                               |
|      ClientHello()     ------------------->                        |
|                                            (服务器端算法确认和证书发送)|
|                                                    ServerHello     |
|                                                    Certificate*    |
|                                              ServerKeyExchange*    |
|                                             CertificateRequest*    |
|                        <-------------------    ServerHelloDone     |
|      (客户端证书验证与密钥交换)                                        |
|      Certificate*                                                  |
|      ClientKeyExchange                                             |
|      CertificateVerify*                                            |
|      [ChangeCipherSpec]                                            |
|      Finished          ------------------->   (数据加密算法协商)      |
|                                               [ChangeCipherSpec]   |
|                        <-------------------           Finished     |
|      (应用数据加密传输)                                              |
|      Application Data  <------------------>     Application Data   |
|                                 ...                                |
/====================================================================/

SSL套结字通讯过程如下:
1, Client和Server双方程序通过ssl socket系列函数替换BSD Socket系列函数；
2, Client通过TCP协议连接到Server端应用程序；
3, Client发起连接质询，发送自身所能实现的"安全集合"，其中包含加密和签名算法协商；
4, Server回应连接，包含本次通讯所使用的算法集合，以及Server端证书；
5, Client收到证书后，使用Server端协商的算法，用Server端证书中包含的Server公钥加密一个
    随机序列，作为一个挑战质询发回Server；
6, Server收到加密密文，使用自身的私钥进行数据解密，如果成功，代表SA协商匹配，可以
    开始通讯；
7, 可选过程，继续发起Client端验证过程，Client端发出Client证书，进行Client端验证过程；
8, 可选过程，数据传输过程加密算法协商；
9, 协商完毕，开始加密数据传输；

可以看出，SSL Socket通讯过程相比正常的BSD Socket，只不过多了一个安全集合交换协商的过程，
这个过程由SSL实现自身来完成，相对于应用程序，只要采用了SSL Socket，其他的过程都是
透明的。SSL通讯过程中的第3-6步是必须操作，包含了Server端验证过程和加密算法协商，类
似于TCP协议的三步握手过程，这个过程中通过公钥加密算法加密密钥(公钥)和解密秘钥(私钥)
不同的功能，巧妙地实现了密钥交换和算法协商，并且由于解密秘钥不需要在网络上传输，这样
就同时实现了数据通讯过程的保密性和内部应用程序协议的保密性。在第7步进行Client端证书
的验证过程中，由于当前网络环境下PKI和CA体系尚不完善，并且由于SSL设计的工作环境相对
对Client端的安全需求并不很高，所以Client端验证一般作为一种可选手段来实现，取决于应
用程序的安全等级需求。

SSL数据通讯的机密性特性就是由上面的过程完成的，在算法协商过程中除了加密算法的协商外
还会交换一个数据签名算法，用于对数据生成一个唯一的散列校验码，防止在传输过程中数据
被篡改，数据签名过程实现了通讯过程的完整性保证。

对应于SSL所提供的两种安全特性，机密性和保密性，ssl定义了四个安全级别，分别是这两种
特性的状态组%