S-HTTP

S-HTTP

本文内容来自于互联网，分享S-HTTP

S-HTTP　　S-HTTP：安全超文本传输协议

　　S-HTTP：Secure Hypertext Transfer Protocol

　　安全超文本传输协议（S-HTTP）是一种面向安全信息通信的协议，它可以和 HTTP 结合起来使用。 S-HTTP 能与 HTTP 信息模型共存并易于与 HTTP 应用程序相整合。

　　S-HTTP 协议为 HTTP 客户机和服务器提供了多种安全机制，提供安全服务选项是为了适用于万维网上各类潜在用户。 S-HTTP 为客户机和服务器提供了相同的性能（同等对待请求和应答，也同等对待客户机和服务器），同时维持 HTTP 的事务模型和实施特征。

　　S-HTTP 客户机和服务器能与某些加密信息格式标准相结合。 S-HTTP 支持多种兼容方案并且与 HTTP 相兼容。使用 S-HTTP 的客户机能够与没有使用 S-HTTP 的服务器连接，反之亦然，但是这样的通讯明显地不会利用 S-HTTP 安全特征。

　　S-HTTP 不需要客户端公用密钥认证（或公用密钥），但它支持对称密钥的操作模式。这点很重要因为这意味着即使没有要求用户拥有公用密钥，私人交易也会发生。虽然 S-HTTP 可以利用大多现有的认证系统，但 S-HTTP 的应用并不必依赖这些系统。

　　S-HTTP 支持端对端安全事务通信。客户机可能“首先”启动安全传输（使用报头的信息），例如它可以用来支持已填表单的加密。使用 S-HTTP，敏感的数据信息不会以明文形式在网络上发送。

　　S-HTTP 提供了完整且灵活的加密算法、模态及相关参数。选项谈判用来决定客户机和服务器在事务模式、加密算法（用于签名的 RSA 和 DSA 、用于加密的 DES 和 RC2 等）及证书选择方面取得一致意见。

　　虽然 S-HTTP 的设计者承认他有意识的利用了多根分层的信任模型和许多公钥证书系统，但 S-HTTP 仍努力避开对某种特定模型的滥用。 S-HTTP 与摘要验证（在 [RFC-2617] 中有描述）的不同之处在于，它支持共钥加密和数字签名，并具有保密性。 HTTPS　作为另一种安全 web 通信技术，是指 HTTP 运行在 TLS 和 SSL 上面的实现安全 web 事务的协议。

　　协议结构

　　在语法上，S-HTTP 报文与 HTTP 相同，由请求或状态行组成，后面是信头和主体。显然信头各不相同并且主体密码设置更为精密。

　　正如 HTTP 报文，S-HTTP 报文由从客户机到服务器的请求和从服务器到客户机的响应组成。请求报文的格式如下：

　　请求行 通用信息头 请求头 实体头 信息主体

　　为了和 HTTP 报文区分开来，S-HTTP 需要特殊处理，请求行使用特殊的“安全”途径和指定协议“S-HTTP/1.4”。因此 S-HTTP 和 HTTP 可以在相同的 TCP 端口混合处理，例如，端口80，为了防止敏感信息的泄漏，URI 请求必须带有“*”。

　　S-HTTP 响应采用指定协议“S-HTTP/1.4”。响应报文的格式如下：

　　状态行 通用信息头 响应头 实体头 信息主体

　　注意，S-HTTP 响应行中的状态并不表明展开的 HTTP 请求的成功或失败。如果 S-HTTP 处理成功，服务器会一直显示200OK。这就阻止了所有请求的成功或失败分析。接受器由压缩数据对其中正确的作出判断，并接受所有的异常情形。