※ 引述《Shiaobin (小斌)》之铭言： : 逢甲大学单一签入首页 : http://bb.fcu.edu.tw/webapps/login/ : 有在用 bb 系统的应该都有下载过「逢甲大学根凭证」吧。这个根凭证下载 : 其实很奇怪啊；仔细看下载网址，是 https 开头。 https 需要装根凭证才能连线， : 也就是说想要下载根凭证就要先安装根凭证。 : 这个大概就跟 WinRAR 安装档用 rar 压缩起来一样可笑吧？ : 不过，好像没什麽人在意这个。是我太无聊吗…… [以下颇无趣, 没兴趣者请end] what is https? https: Hypertext Transfer Protocol Secure, 他是利用SSL/TLS进行网站验证及连线加密功能, 先说说public key加密方式.. 每个个体都有两把钥匙.. 一把藏起来 一把公开.. 就如有一个 信箱 与 信箱钥匙 .. 信箱钥匙藏起来(private key), 信箱地址公开(public key).. 我要丢秘密讯息给对方 就用对方的public key锁起来..(丢到对方的信箱) 只有拥有plivate key(信箱钥匙)的人才可以解开... 这是public key的加密方式.. SSL是利用public key演算法进行加密验证与连线的通讯协定.. 连线流程大概如下括号内是白话说法: 1) 从网站取得网站的public key (知道逢甲大学信箱的位置) 2) 验证public key是否正确, 若无法验证 浏览器会产生警告(逢甲警告三次) * (验证这个信箱是不是真的属於逢甲大学) 3) 送出自己的public key给server ** (告诉逢甲大学我阿西毛的信箱位置) 4) 协调session key, 可能是用对方的public key传送或用Diffie-Hellman协调 (把要说的话丢到对方信箱, 来回交谈, 协调出连线用的key, 每次连线都不同) 5) 利用session key进行加密连线 (两边都利用刚刚协调出来的key进行连线加解密) 详细的通讯协定 这张图.. http://zh.wikipedia.org/zh-tw/ File:Ssl_handshake_with_two_way_authentication_with_certificates.png 缺少凭证只会让上面 2 和 3 有 * 的部分出问题, 可是不至於会妨碍连线.. * 验证public key是否正确是验证public key的凭证, 一般public key的凭证是由 公正单位发行, 一般就是要钱, 学校为了节省这不必要的支出, 所以自行针对 public key签发凭证, 若未事先安装该凭证, 便无法验证public key与网站是否遭伪造, 换句话说, 可能被假网站钓鱼钓走... **若自己有public key与凭证, 则会发送自己的public key, 但若没有(一般都没有), 便随机产生一个public key, 并传送, 如此一来主机便无法验证使用者真伪, 所以说现在SSL都只有做一半, 另一半仍利用id/pw验证.. 资工系有修资讯网路安全还看不懂的.. 去找TJ Liu或JS Lee磕头谢罪 = =+ 特别是相信没有根凭证就不能进行SSL连线的.. 别再相信没有根据的说法了... 如果如原po所说, 大家是怎麽装的? lol~ 其他 看不懂有兴趣的请推文或来信... 为什麽我懂.. 因为我的论文会跟这个有关... = =; by ASimon --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 203.70.81.141