SSL(Secure Sockets Layer 安全套接字协议),及其继任者传输层安全（Transport Layer
证券，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层与
应用层之间对网络连接进行加密。
密码技术
要了解SSL协议，首先要了解：加密算法、
MD5（又称为哈希算法Hash），数字签名等概念。这些技术每个都可以写出一整本的书，它们结合在一起，提供了保密性、完整性和
身份验证的功能。
加密算法
设想：ALICE想发消息给她的银行要汇出一笔款。ALICE希望这些消息是保密的，因为这里面包括她的帐户资料和汇款金额。一种办法是使用加密算法，这种技术将她要传递的消息变成经过加密的密文，直接银行解密才可以被读取。如果采用这种形式，消息只能被一个
密钥所加密。没有这个密钥，消息就是无用的。一个良好的加密算法，可以使入侵者面临无法克服困难来解密原文。
有两种加密算法系列：传统加密算法（对称加密）和公钥加密算法（
非对称加密）
传统加密
算法对称加密，需要发送者和接收者共享一个密钥：同时用于加密和解密的信息。只要密钥是保密的，除了收件人和发件人外没有人可以阅读该消息。如果Alice和银行知道这个密钥，那么他们可以给对方发送的经过此密钥加密的消息。这种算法的主要任务在于发送者和接收者如何共享一个
密钥，同时确保没有第三方知道这个密钥，如果多人之间传递消息，如何保证这么多密钥的安全，就是一个棘手的问题。
公钥加密算法---为
非对称加密技术，通过使用2个密钥（其中一个可以解密另外一个加密的消息），解决了加密
密钥交换的问题。如果用其中的一个密钥用于加密信息，必须使用另外一个密钥来解密。这样就有可能获得简单地发布一个密钥（公钥），并使用未发布的密钥（私钥）来接受经过公钥加密的消息。
任何人都可以使用公共
密钥加密消息，但只有私钥拥有者将能够读取它。这样，ALICE可以在发送需要保密的汇款消息给银行的时候，可以使用银行的密钥对中的公钥来对这个消息进行加密，而只有银行可以使用他们自己保管的私钥来进行解密。
虽然ALICE可以加密她的消息，但仍然有一个问题，就是有人可能会修改她发给银行的消息，并将ALICE的钱转移到自己的帐户上。为了保证ALICE消息在传递过程中没有被人篡改，可以让她创建一个消息的摘要和加密的消息一起寄到银行，银行收到消息后，将消息和消息的摘要做一个比较，如果消息内容和摘要匹配，则就可以证明消息传递过程中，没有别人篡改。
像这样的摘要被称为消息摘要，单向函数或哈希函数。消息摘要用于创建一个简短的固定长度，或可变长度的消息。
MD5被设计成为每个消息产生一条独立的信息摘要。消息摘要算法的目的，就是让人无法为两条不同的消息找到相同的消息摘要，从而消除了使用一条摘要相同的消息替换另外一条消息的可能性。
另一个爱丽丝面临的挑战是找到一种方法，即使安全地将消息摘要发送到银行；如果消息摘要发送过程不安全，银行将无法判断消息是否就是来自ALICE。只有在消息摘要能安全地发送，才能够使消息的完整性被确定。
一个安全发送消息摘要的方式是使用数字签名。
数字签名
当Alice将消息发送给银行，银行需要确保消息真正地是从她这里发出的，以确保入侵者不能使用她的帐户进行交易。签名就是由ALICE为实现这一目的而创建的一个专门消息。
数字签名主要使用私钥来加密消息摘要和其他信息，譬如一个
序列号，虽然任何人都可以使用公钥解密数字签名，只有发送方知道私钥。这意味着，只有发件人可以签署了该消息。包含了信息摘要的签名表示这个签名只对这个消息有效，而且它确保了消息的完整性，即这个消息的发送过程中没人可以改变摘要并另外对它做签名。
为了防止入侵者拦截，并在以后再次使用这个签名，签名包含一个唯一的序列号。这样可以保证ALICE无法否认她曾经发送过这条消息，因为只有她可以签名这条消息（不可抵赖性）。
证书
虽然ALICE给银行发出一条经过她个人私钥签名的消息，并且可以确保她发送的消息是真实可靠的，但她依然要确保她的确是和银行在通信。这意味着她必须确保她使用的公钥是银行
密钥对中的公钥，而不是入侵者的。同样道理，银行业也需要核实用于签名该消息的私钥是属于ALICE的。如何使银行和ALICE能否核实对方的身份呢？
如果每个人的证书都由一个大家都信任的机构签名，那么每个人都可以验证其他有该证书的人的身份。这种被大家都信任的机构，称为认证中心（CA)，比如知名的认证中心有Versign，Wosign，
thawte等，他们负责认证证书。
证书的内容
证书内容包括：公钥和真实身份识别信息，包括个人，服务器或其他实体。如表1所示，主题信息包括身份识别信息（DN）和公钥。它还包括认证和签发的CA签发这个证书的有效期，还可能有一些其他的信息（或者成为扩展信息），一般由CA自行定义使用的管理信息，譬如
序列号等。
表一：证书信息
识别名DN是用来提供对某个特定背景下的身份，例如：某个人作为公司的一个雇员而拥有一个证书。识别名DN有X.509标准定义，包括它的字段，字段名和相应的缩写表示。（如表2所示）
表二：识别名(DN)信息
证书颁发机构可以定义一个策略，指明哪些识别名字段名是可选的，哪些是必需的。很多证书还对某些字段的内容做出要求。例如，Netsacpe浏览器要求一个服务器证书的CN能够匹配通配符样式的
域名，例如：*.snakeoil.com。
证书的
二进制格式是使用了ASN.1（
ASN.1）定义[X208] [ PKCS]。这种表示法定义了如何指定编码规则的内容和如何将信息转换成二进制形式。证书的二进制编码使用了区分编码规则Distinguished Encoding Rules (DER)，它是基本编码规则Basic Encoding Rules (BER)的一个
子集。对于那些不能采用二进制的信息传递，二进制形式可以转化为一个ASCII形式使用Base64编码[MIME]。当证书放置在Begin和End分割线中的时候，这种编码被称为增强型安全私人邮件格式(PEM -"Privacy Enhanced Mail") 编码的证书。
PEM编码证书的样例（snakioil.crt)
Example of a PEM-encoded certificate (snakeoil.crt)
-----BEGIN CERTIFICATE-----
MIIC7jCCAlegAwIBAgIBATANBgkqhkiG9w0BAQQFADCBqTELMAkGA1UEBhMCWFkx
FTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25ha2UgVG93bjEXMBUG
A1UEChMOU25ha2UgT2lsLCBMdGQxHjAcBgNVBAsTFUNlcnRpZmljYXRlIE
一级方程式锦标赛dGhv
cml0eTEVMBMGA1UEAxMMU25ha2UgT2lsIENBMR4wHAYJKoZIhvcNAQkBFg9jYUBz
bmFrZW9pbC5kb20wHhcNOTgxMDIxMDg1ODM2WhcNOTkxMDIxMDg1ODM2WjCBpzEL
MAkGA1UEBhMCWFkxFTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25h
a2UgVG93bjEXMBUGA1UEChMOU25ha2UgT2lsLCBMdGQxFzAVBgNVBAsTDldlYnNl
cnZlciBUZWFtMRkwFwYDVQQDExB3d
中国强制性产品认证uc25ha2VvaWwuZG9tMR8wHQYJKoZIhvcN
AQkBFhB3d3dAc25ha2VvaWwuZG9tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKB
gQDH9Ge/s2zcH+da+rPTx/DPRp3xGjHZ4GG6pCmvADIEtBtKBFAcZ64n+Dy7Np8b
vKR+yy5DGQiijsH1D/j8HlGE+q4TZ8OFk7BNBFazHxFbYI4OKMiCxdKzdi
一级方程式锦标赛yfaa
lWoANFlAzlSdbxeGVHoT0K+gT5w3UxwZKv2DLbCTzLZyPwIDAQABoyYwJDAPBgNV
HRMECDAGAQH/AgEAMBEGCWCGSAGG+EIBAQQEAwIAQDANBgkqhkiG9w0BAQQFAAOB
gQAZUIHAL4D09oE6Lv2k56Gp38OBDuILvwLg1v1KL8mQR+KFjghCrtpqaztZqcDt
2q2QoyulCgSzHbEGmi0EsdkPfg6mp0penssIFePYNI+/8u9HT4LuKMJX15hxBam7
dUHzICxBVC1lnHyYGjDuAMhe396lYAn8bCld1/L4NMGBCQ==
-----END CERTIFICATE-----
证书颁发机构CA
通过在批准证书之前核实证书请求中的信息，CA可以保证
密钥对的私钥所有人的身份。举例，如果Alice请求一个个人证书，证书颁发机构必须首先核实ALICE在证书申请中所提交的个人信息和资料。
证书链
CA机构有时也会为另外一家CA机构颁发证书。当检查证书的时候，ALICE可能需要检查每一级证书的父亲证书，一直找到一个她所能信任的证书为止。为了降低她在检查证书链中遇到一个“坏”证书的风险，ALICE可能会设定可信证书链的深度。
创建一个根CA
如前所述，每个证书需要发行者来声明证书拥有者身份的有效性，一直到最顶层CA。这就产生了一个问题：谁来保证最顶层CA的权威性，而这个CA是没有发行者。在这个独特的情况下，证书采用一种“自签名”的方式，所以证书的发行者就是证书拥有者自己。浏览器会将一些知名的CA配置成可信，将他们的
根证书安装到自己的受信根证书列表中，但如果要自己添加信任的自签名证书，就需要特别当心。
一些公司，例如
GlobalSign、
thawte、Comodo、GeoTrust、Wosign 和
verisign已经建立了他们自己的证书颁发机构。这些公司提供以下服务：
验证证书请求
处理证书申请
发行和管理证书
用户也可以创建自己的证书颁发机构。虽然在互联网上存在比较大的风险，但它在企业内网中是很有用的，可以轻松地验证个人和服务器的身份。
证书管理
建立一个证书机构需要有坚实的行政，技术和管理框架。证书颁发机构不仅颁发证书，他们还要管理好证书，也就是说，他们确定证书在多久的时间内仍然有效，他们有一个列表，里面列举了过去颁发的，但已经不再有效的证书，并且不断更新这个列表（证书吊销清单，或CRL）。
例如：ALICE曾经作为公司的雇员获得一个证书，但她现在已经离开公司了，她的证书就需要被吊销。由于证书只在审核完当事人身份后被签发，并且被传递给需要和当事人沟通的同事，从证书本身告诉去告知它已经被吊销了是不可能的。因此要检查一个证书是否有效，就必须联系CA机构获取证书吊销清单CRL，而这通常是无法自动完成的。
注意：
如果你需要使用一个不是浏览器缺省信任的CA机构，就必须将这个CA的
根证书装入浏览器的可信根证书列表，使浏览器可以识别这个CA颁发的服务器证书，但这样做是非常危险的，因为一旦加载了这个CA的根证书，浏览器将接受所有由这个根证书签发的服务器证书。
Secure Sockets Layer(SSL) 安全套接字层
SSL是工作在面对连接
网络层（如TCP层）和
应用层（HTTP层）之间的协议层。SSL层协议通过为客户端和服务器提供双向认证，对隐私数据的加密，和用数字签名来保证数据完整性，从而提供了一个安全的通信通道。
本协议被设计为支持一系列制定的算法用于加密，数据摘要和签名。这允许对特定服务器的算法选择建立在法律、出口和其他问题的基础上，并且使协议能够利用新的算法。在
客户机和服务器试图建立一个对话的时候，会协商算法。
表4：SSL协议的版本
如表4所示，有多个SSL协议的版本，其中SSL3.0的一个优势就是它增加了对证书链加载的支持。这项功能使服务器可以将自己的服务器证书和发行者的证书一起传给浏览器。证书链的加载，使得客户机即使没有安装过服务器的中间证书，也可以来验证服务器证书的有效性，因为服务器的中间证书被放在证书链中一起发送给了客户机。SSL 3.0是安全传输层TLS协议的基础，这项协议正由IETF负责制订开发。
建立会话
客户机和服务器同构一种“
握手”次序来建立SSL会话，如图1.这个握手次序可能会有所不同，这取决于服务器是否配置成提供服务器证书，或者需要客户机提供客户证书。虽然在其他情况下存在因对
密码管理要求不同而不同的“握手”步骤，详见各种SSL协议规范，但本文总结了一个基本的握手次序。图1：基本握手次序
注意：
服务器为每个SSL会话分配一个唯一的会话
标识符并
CPU缓存在服务器和客户端（直到会话标识符过期），使客户在下次连接的时候减少了握手的时间。
在
握手序列中的被客户端和服务器使用的各项要素，如下列所示：
协商数据传输中使用的加密套接字。
可选的服务器端身份认证
可选的客户端身份认证
首先，加密套接字协商，允许客户端和服务器选择一个他们都是支持的加密套接字方式。SSL3.0协议定义了31中加密套接字方式，每一种安全套接字由下列部分组成：
数据加密传输
这3个要素将在下面的几节中详细描述。
密钥交换方法
密钥交换方法定义在客户端和服务器之间共享双方都同意的，被用于应用数据传输的对称加密的密钥。SSL2.0协议只适用RSA
密钥交换方式，而SSL3.0不仅支持RSA密钥交换（在使用证书的情况下），还支持Diffie-Hellman密钥交换（在没有使用证书或者没有客户端和服务器之间通信密钥之前的情况下。）
在决定
密钥交换方式中的变量是选择是否需要数字签名和使用什么样的签名。使用私钥签名可以防止在交换共享密钥的时候，遭受
中间人攻击。
数据加密传输
SSL在加密会话中的消息时采用传统的对称加密方法，有9种加密方式可以选择，包括也可以选择不加密。
No encryption
Stream Ciphers
--RC4 with 128-bit keys
CBC Block Ciphers
--RC2 with 40 bit key
--DES with 40 bit key
--DES with 56 bit key
--Triple-DES with 168 bit key
--Idea (128 bit key)
--Fortezza (96 bit key)
“CBC”是Cipher Block Chaining的缩写，意思为密码分组链接，表示前一段加密后的密文被用当前段的加密中使用。
"DES" 是指
数据 Encryption Standard，有一系列不同的变量。包括DES40和3DES_EDE
"
IntelliJ IDEA" 是目前最好的，也是加密强度最高的算法。
"RC2" 是RSA DSI专用的算法。
摘要函数
对信息摘要函数的选择决定了如何从一个记录单元创建一个摘要。SSL支持以下模式：
无摘要
128位哈希的MD5
160位的安全哈希算法（SHA - 1）
消息摘要是用来创建一个消息认证码（
麦金塔），MAC是与消息加密，来核实消息的完整性和保护消息不受回放式攻击。
握手次序使用三个协议：
SSL Handshake Protocol. SSL握手协议执行客户端和服务器SSL会话的建立过程。
SSL Change Cipher Spec Protocol .SSL更改密码协议负责协商会话用的密码套接字。
SSL Alert Protocol.SSL告警协议负责在客户端和服务器间传递SSL错误信息。
这些协议以及应用协议数据，都被SSL记录协议封装，如图2所示。封装好的数据被不检查数据的低一层的协议传递。下一层的协议对封装协议来说是未知的。
图2：SSL协议栈
SSL控制协议对记录协议的封装，使一个正在进行的会话在需要重新协商时，控制协议能够被安全地传输。如果没有前一个会话，则使用空的密码套接字，也就是说，在会话建立以前，不会使用密码也没有验证完整性的消息摘要。
数据传输
SSL记录协议，如图3所示 , 用于在客户端和服务器之间传递SSL控制协议和
应用层数据，必需将这些数据分割成较小的单元，或者将多个较高层协议数据合并为一个单元。它可能会在将这些数据传递到下一层可靠的传递协议前将这些数据压缩、加密和附加一个摘要签名。（注：目前主流的SSL都没有对压缩的支持）。图3：SSL记录协议
安全HTTP通信
SSL最常见的一想用途就是在浏览器和WEB服务器之间加密安全的WEB HTTP通信。使用加密的HTTP（称为
https），即在SSL协议上使用HTTP协议，并没有排除HTTP协议，不过在URL地址中使用HTTPS来替换原来的HTTP，并使用另外一个服务器端口（HTTPS缺省使用443，HTTP使用80）。
SSL应用
SSL证书经过
身份验证，确保证书持有组织的真实性。从而最大限度上确保网站的安全性，树立网站可信形象，不给欺诈钓鱼网站以可乘之机。
如果不是绿色地址栏的 SSL 类型，则可以点击浏览器处的锁头标志来查看网站信息。所有的一切，均向客户传递同一信息，该网站身份可信，信息传递安全可靠，而非钓鱼网站。
解析内容
Secure Socket Layer，为
网景所研发，用以保障在Internet上数据传输的安全，利用数据加密(Encryption)技术，可确保数据在网络上的传输过程中不会被截取及窃听。一般通用的规格为40
刨刀的安全标准，
美国则已推出128 bit的更高安全标准。只要3.0版本以上的I.E.或Netscape浏览器即可支持SSL。
当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。
SSL协议位于TCP/IP协议与各种
应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层： SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL
握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密
密钥等。
提供服务
1）认证用户和服务器，确保数据发送到正确的
客户机和服务器；
2）加密数据以防止数据中途被窃取；
3）维护数据的完整性，确保数据在传输过程中不被改变。
服务器类型
1. Tomcat 5.x
2. Nginx
3. IIS
5. IBM HTTP SERVER 6.0
工作流程
服务器认证阶段：1）客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；2）服务器根据客户的信息确定是否需要生成新的主
密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；3）客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的
公开密钥加密后传给服务器；4）服务器回复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。
用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开
密钥，从而向服务器提供认证。
SSL协议提供的安全通道有以下三个特性：
机密性：SSL协议使用密钥加密通信数据。
可靠性：服务器和客户都会被认证，客户的认证是可选的。
完整性：SSL协议会对传送的数据进行完整性检查。
从SSL 协议所提供的服务及其工作流程可以看出，SSL协议运行的基础是商家对消费者信息保密的承诺，这就有利于商家而不利于消费者。在
电子商务初级阶段，由于运作电子商务的企业大多是信誉较高的大公司，因此这问题还没有充分暴露出来。但随着电子商务的发展，各中小型公司也参与进来，这样在电子支付过程中的单一认证问题就越来越突出。虽然在SSL3.0中通过数字签名和数字证书可实现浏览器和Web服务器双方的
身份验证，但是SSL协议仍存在一些问题，比如，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议并不能协调各方间的安全传输和信任关系。在这种情况下，Visa和 MasterCard两大信用卡公司组织制定了SET协议，为网上信用卡支付提供了全球性的标准。
体系结构
SSL的体系结构中包含两个协议子层，其中底层是SSL记录协议层（SSL Record Protocol Layer）；高层是SSL
握手协议层（SSL HandShake Protocol Layer）。SSL的协议栈如图1所示，其中阴影部分即SSL协议。
SSL记录协议层的作用是为高层协议提供基本的安全服务。SSL记录协议针对HTTP协议进行了特别的设计，使得
超文本的传输协议HTTP能够在SSL运行。记录封装各种高层协议，具体实施压缩解压缩、加密解密、计算和校验
麦金塔等与安全有关的操作。
SSL握手协议层包括SSL握手协议（SSL HandShake Protocol）、SSL密码参数修改协议（SSL Change Cipher Spec Protocol）、应用数据协议（Application
数据 Protocol）和SSL告警协议（SSL Alert Protocol）。
握手层的这些协议用于SSL管理信息的交换，允许应用协议传送数据之间相互验证，协商加密算法和生成
密钥等。SSL握手协议的作用是协调客户和服务器的状态，使双方能够达到状态的同步。
记录协议
SSL记录协议（Record Protocol）为SSL连接提供两种服务。
（1）保密性：利用握手协议所定义的共享密钥对SSL净荷（Payload）加密。
（2）完整性：利用握手协议所定义的共享的MAC密钥来生成报文的鉴别码（
麦金塔）。
SSL的工作过程如下。
（1）发送方的工作过程为：
从上层接受要发送的数据（包括各种消息和数据）；
对信息进行分段，分成若干记录；
使用指定的压缩算法进行数据压缩（可选）；
使用指定的MAC算法生成MAC；
使用指定的加密算法进行数据加密；
添加SSL记录协议的头，发送数据。
（2）接收方的工作过程为：
接收数据，从SSL记录协议的头中获取相关信息；
使用指定的解密算法解密数据；
使用指定的MAC算法校验MAC；
使用压缩算法对数据解压缩（在需要进行）；
将记录进行数据重组；
将数据发送给高层。
SSL记录协议处理的最后一个步骤是附加一个SSL记录协议的头，以便构成一个SSL记录。SSL记录协议头中包含了SSL记录协议的若干控制信息。
会话状态
会话（Session）和连接（Connection）是SSL中两个重要的概念，在规范中定义如下。
（1）SSL连接：用于提供某种类型的服务数据的传输，是一种点对点的关系。一般来说，连接的维持时间比较短暂，并且每个连接一定与某一个会话相关联。
（2）SSL会话：是指客户和服务器之间的一个关联关系。会话通过
握手协议来创建。它定义了一组安全参数。
一次会话过程通常会发起多个SSL连接来完成任务，例如一次网站的访问可能需要多个HTTP/SSL/TCP连接来下载其中的多个页面，这些连接共享会话定义的安全参数。这种共享方式可以避免为每个SSL连接单独进行安全参数的协商，而只需在会话建立时进行一次协商，提高了效率。
每一个会话（或连接）都存在一组与之相对应的状态，会话（或连接）的状态表现为一组与其相关的参数集合，最主要的内容是与会话（或连接）相关的安全参数的集合，用会话（或连接）中的加密解密、认证等安全功能的实现。在SSL通信过程中，通信算法的状态通过SSL
握手协议实现同步。
根据SSL协议的约定，会话状态由以下参数来定义：
（1）会话
标识符：是由服务器选择的任意字节序列，用于标识活动的会话或可恢复的会话状态。
（2）对方的证书：会话对方的X.509v3证书。该参数可为空。
（3）压缩算法：在加密之前用来压缩数据的算法。
（4）加密规约（Cipher Spec）：用于说明对大块数据进行加密采用的算法，以及计算
麦金塔所采用的散列算法。
（5）主密值：一个48
字节长的秘密值，由客户和服务器共享。
（6）可重新开始的标识：用于指示会话是否可以用于初始化新的连接。
连接状态由以下参数来定义：
（1）服务器和客户器的随机数：是服务器和客户为每个连接选择的用于标识连接的字节序列。
（2）服务器写MAC密值：服务器发送数据时，生成MAC使用的
密钥，长度为128 bit。
（3）客户写MAC密值，服务器发送数据时，用于数据加密的密钥，长度为128 bit 。
（4）客户写密钥：客户发送数据时，用于数据加密的密钥，长度为128 bit。
（5）初始化向量：当使用CBC模式的分组密文算法是=时，需要为每个密钥维护初始化向量。
（6）
序列号：通信的每一端都为每个连接中的发送和接收报文维持着一个序列号。
https
https（Hypertext Transfer Protocol Secure）安全
超文本传输协议 它是由
网景开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。HTTPS实际上应用了Netscape的安全套接字层（SSL）作为HTTP
应用层的子层。（HTTPS使用端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。）SSL使用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。
https和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。
https是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，https的安全基础是SSL，因此加密的详细内容请看SSL。
它是一个URI
Scheme(抽象标识符体系)，句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/
身份验证层（在HTTP与TCP之间）。这个系统的最初研发由
网景进行，提供了身份验证与加密通讯方法，它被广泛用于
昆仑万维网上安全敏感的通讯，例如交易支付方面。
限制
它的安全保护依赖浏览器的正确实现以及服务器软件、实际加密算法的支持.
一种常见的误解是“银行用户在线使用https:就能充分彻底保障他们的银行卡号不被偷窃。”实际上，与服务器的加密连接中能保护银行卡号的部分，只有用户到服务器之间的连接及服务器自身。并不能绝对确保服务器自己是安全的，这点甚至已被攻击者利用，常见例子是模仿银行
域名的钓鱼攻击。少数罕见攻击在网站传输客户数据时发生，攻击者尝试窃听数据于传输中。
商业网站被人们期望迅速尽早引入新的特殊处理程序到金融网关，仅保留传输码(transaction number)。不过他们常常存储银行卡号在同一个数据库里。那些数据库和服务器少数情况有可能被未授权用户攻击和损害。
应用内容
extended validation ssl certificates翻译为中文即扩展验证（EV）SSL证书，该证书经过最彻底的
身份验证，确保证书持有组织的真实性。独有的绿色地址栏技术将循环显示组织名称和作为CA的
GlobalSign名称，从而最大限度上确保网站的安全性，树立网站可信形象，不给欺诈钓鱼网站以可乘之机。
对线上购物者来说，绿色地址栏是验证网站身份及安全性的最简便可靠的方式。在IE7.0、
FIREFOX3.0、Opera 9.5等新一代高安全浏览器下，使用扩展验证（EV）SSL证书的网站的浏览器地址栏会自动呈现绿色，从而清晰地告诉用户正在访问的网站是经过严格认证的。此外绿色地址栏临近的区域还会显示网站所有者的名称和颁发证书CA机构名称，这些均向客户传递同一信息，该网站身份可信，信息传递安全可靠，而非钓鱼网站。