SSL: Wie der Client entschlüsseln Nachricht vom Server

Question

Ich habe gelesen und sah viele Artikel und Videos über SSL AES und RSA, aber eine Sache fehlt immer in jeder Erklärung (oder ich verstehe es einfach nicht) ist wie der Client sensible Daten entschlüsselt, die vom Server kommen! (zB wie viel Geld du hast)

Ich bekomme es, dass dein öffentlicher Schlüssel alles verschlüsseln und an den Server senden kann und jeder es haben kann, aber was machst du tun, wenn Sie etwas vom Server abrufen möchten? Kommt es nur als Klartext?

Alle Artikel und Videos weisen darauf hin, sie alle sagen nur, dass Sie einen privaten Schlüssel haben, den Sie nicht teilen sollten, und einen öffentlichen Schlüssel, mit dem Sie Ihre Nachrichten verschlüsseln und im Internet teilen können Sagen Sie nicht, wie der Client eine GET-Anfrage mit einer verschlüsselten Nachricht durchführt und entschlüsselt, damit sie für den Menschen lesbar ist.

Wie heißt es in this link über AES:

asymmetrische Kryptographie arbeitet, indem er zwei verschiedene Schlüssel, eine für Verschlüsselung und eine für die Entschlüsselung. Es wird auch oft 'öffentlicher Schlüssel Kryptografie' genannt, weil es möglich ist, einen Schlüssel öffentlich zu machen (erlaubt jemand eine Nachricht zu verschlüsseln) während der andere private (nur der Inhaber des privaten Schlüssels kann die verschlüsselte Nachricht mit seine verwandte verschlüsselt) Öffentlicher Schlüssel).

Jede Hilfe ist willkommen!

werde ich einige Links zu Web-Sicherheit verlassen, dass ich nützlich zu lernen gefunden: https://www.coursera.org/learn/internet-history/lecture/L7HzI/security-integrity-and-certificate-authorities

Answer 1

Wenn Sie alle die Details greifen eine Kopie SSL and TLS: Designing and Building Secure Systems wollen. Für eine trockenere Vorlesung, lesen Sie RFC2246 The Transport Layer Security (TLS) Protocol.

Die Kurzgeschichte lautet: Während des TLS/SSL-Handshakes tauschen der Client und der Server ein Geheimnis aus (das PMS, Pre-Master-Secret). Dieses Geheimnis wird verwendet, um Sitzungsschlüssel, Initialisierungsvektoren und HMAC-Schlüssel für die Verwendung durch Client und Server abzuleiten. Jeder verwendet diese Schlüssel, um alles zu verschlüsseln und zu signieren, das von seiner Seite gesendet wird, und jeder benutzt den Schlüssel des anderen, um die Daten zu entschlüsseln und zu validieren, die von dem anderen gesendet werden. Nichts geht jemals in Klartext, in irgendeine Richtung.

Die Autorisierung und Authentifizierung basierend auf dem verwendeten Zertifikat ist ein vollständig orthogonales Problem.