¿Una forma de SSL es el cifrado de una manera?

Question

Si se usa SSL de una vía (autenticación de certificado de servidor), los datos enviados desde el cliente se cifran con la clave pública del certificado del servidor. Entonces, la protección de privacidad está disponible para los datos enviados por el cliente. Mis preguntas son

1. ¿Esto significa que los datos en SSL Una forma enviados desde el servidor al cliente no se cifra y se envía como texto sin formato?

2. Por tanto el servidor al cliente y el cliente para las comunicaciones del servidor los datos/mensaje no está firmado y la protección de modo de manipulación indebida o integridad de los datos no está asegurada. ¿Hay otros medios para lograr la integridad de los datos al usar seguridad de transporte basada en SSL y no en las opciones de seguridad de mensajes?

Answer 1

Una forma de SSL solo significa que el servidor no valida la identidad del cliente. No tiene ningún efecto sobre ninguna de las otras propiedades de seguridad de SSL.

Si bien el protocolo SSL es un poco complejo, la esencia básica de lo que sucede es la siguiente: el cliente genera una clave aleatoria, la encripta para que solo el servidor pueda descifrarla y la envía al servidor. El servidor y el cliente ahora tienen un secreto compartido que se puede usar para encriptar y validar las comunicaciones en ambas direcciones.

El servidor no tiene idea de la identidad del cliente, pero, de lo contrario, la validación de cifrado y mensaje es bidireccional.

Actualización:

1) Sí, cifrado en ambos sentidos es simétrica y utiliza un secreto compartido generado durante la configuración de la sesión.

2) Con un secreto compartido, la integridad del mensaje es trivial para asegurar. Solo asegúrate de que el mensaje tenga una forma particular. Por ejemplo, puedo prefijar cada mensaje que envío con un número de secuencia y anexar una suma de verificación antes del cifrado. Lo descifras con el secreto compartido y validas el número de secuencia y la suma de comprobación. ¿Cómo puede un atacante sustituir o modificar el mensaje sin conocer el secreto compartido y aún así mantener intactos el número de secuencia y la suma de verificación?

Answer 2

En SSL, suceden dos cosas:

En primer lugar, una clave de sesión se negocia el uso de algo como el Diffie-Hellman method. Eso genera una clave de sesión compartida, pero nunca transmite la clave entre las partes.

En segundo lugar, esa clave de sesión se utiliza en un cifrado simétrico normal para la duración de la conexión.

SSL usa public/private de una manera, porque un certificado X509 es utilizado para identificar al menos un extremo de la conexión. Esos certs son firmados usando un par de claves asimétricas.

extraído de How can SSL secure a two-way communication with only one key-pair?