??隨著互聯網的發(fā)展，很多人開始在網上進行信息的傳輸以及網絡購物，人們開始享受互聯網所帶來的便利，然而為了保護我們的用戶信息，ssl證書便應運而生，如何進行雙向ssl認證顯得非常重要，下面就是小編為大家總結的相關知識。

??SSL雙向認證原理

??要想弄明白SSL認證原理，首先要對CA有有所了解，新網中的描述為，它在SSL認證過程中有非常重要的作用。說白了，CA就是一個組織，專門為網絡服務器頒發(fā)證書的，國際知名的CA機構有VeriSign、Symantec，國內的有GlobalSign。每一家CA都有自己的根證書，用來對它所簽發(fā)過的服務器端證書進行驗證。

??如果服務器提供方想為自己的服務器申請證書，它就需要向CA機構提出申請。服務器提供方向CA提供自己的身份信息，CA判明申請者的身份后，就為它分配一個公鑰，并且CA將該公鑰和服務器身份綁定在一起，并為之簽字，這就形成了一個服務器端證書。

??如果一個用戶想鑒別另一個證書的真?zhèn)危陀?CA 的公鑰對那個證書上的簽字進行驗證，一旦驗證通過，該證書就被認為是有效的。證書實際是由證書簽證機關（CA）簽發(fā)的對用戶的公鑰的認證。

??證書的內容包括：電子簽證機關的信息、公鑰用戶信息、公鑰、權威機構的簽字和有效期等等。目前，證書的格式和驗證方法普遍遵循X.509 國際標準。

??雙向認證 SSL 協(xié)議的具體過程

??① 瀏覽器發(fā)送一個連接請求給安全服務器。

??② 服務器將自己的證書，以及同證書相關的信息發(fā)送給客戶瀏覽器。

??③ 客戶瀏覽器檢查服務器送過來的證書是否是由自己信賴的 CA 中心所簽發(fā)的。如果是，就繼續(xù)執(zhí)行協(xié)議；如果不是，客戶瀏覽器就給客戶一個警告消息：警告客戶這個證書不是可以信賴的，詢問客戶是否需要繼續(xù)。

??④ 接著客戶瀏覽器比較證書里的消息，例如域名和公鑰，與服務器剛剛發(fā)送的相關消息是否一致，如果是一致的，客戶瀏覽器認可這個服務器的合法身份。

??⑤ 服務器要求客戶發(fā)送客戶自己的證書。收到后，服務器驗證客戶的證書，如果沒有通過驗證，拒絕連接；如果通過驗證，服務器獲得用戶的公鑰。

??⑥ 客戶瀏覽器告訴服務器自己所能夠支持的通訊對稱密碼方案。

??⑦ 服務器從客戶發(fā)送過來的密碼方案中，選擇一種加密程度最高的密碼方案，用客戶的公鑰加過密后通知瀏覽器。

??⑧ 瀏覽器針對這個密碼方案，選擇一個通話密鑰，接著用服務器的公鑰加過密后發(fā)送給服務器。

??⑨ 服務器接收到瀏覽器送過來的消息，用自己的私鑰解密，獲得通話密鑰。

??⑩ 服務器、瀏覽器接下來的通訊都是用對稱密碼方案，對稱密鑰是加過密的。

??如何自己創(chuàng)建證書

??每個證書發(fā)布機構都有自己的用來創(chuàng)建證書的工具，當然，具體他們怎么去創(chuàng)建一個證書的我也不太清楚，不同類型的證書都有一定的格式和規(guī)范，我沒有仔細去研究過這部分內容。微軟為我們提供了一個用來創(chuàng)建證書的工具makecert.exe，在安裝Visual Studio的時候會安裝上。如果沒有安裝也無所謂，可以上新網去下一個，搜索makecert就可以了?？梢灾苯訌奈业牟┛拖螺d，這是鏈接。

??向一些正規(guī)的證書發(fā)布機構申請證書一般是要收費的(因為別人要花時間檢查你的身份，確認有沒有同名的證書等等)，這里我們看下如何自己創(chuàng)建一個證書，為后面在IIS中配置Https做準備。

??相信大家看完之后都會有自己的感觸，我們的網絡信息和我們的日常生活息息相關，自主的保護才能使我們的生活免受打擾，因此進行雙向ssl認證非常的重要。