SSL 的工作流程簡介：1：客戶端的瀏覽器向服務器傳送客戶端 SSL 協(xié)議的版本號，加密算法的種類，產生的隨機數，以及其他服務器和客戶端之間通訊所需要的各種信息。2：服務器向客戶端傳送 SSL 協(xié)議的

SSL 的工作流程簡介：

1：客戶端的瀏覽器向服務器傳送客戶端 SSL 協(xié)議的版本號，加密算法的種類，產生的隨機數，以及其他服務器和客戶端之間通訊所需要的各種信息。

2：服務器向客戶端傳送 SSL 協(xié)議的版本號，加密算法的種類，隨機數以及其他相關信息，同時服務器還將向客戶端傳送自己的證書。

3：客戶利用服務器傳過來的信息驗證服務器的合法性，服務器的合法性包括：證書是否過期，發(fā)行服務器證書的 CA 是否可靠，發(fā)行者證書的公鑰能否正確解開服務器證書的“發(fā)行者的數字簽名”，服務器證書上的域名是否和服務器的實際域名相匹配。如果合法性驗證沒有通過，通訊將斷開；如果合法性驗證通過，將繼續(xù)進行第四步。

4：用戶端隨機產生一個用于后面通訊的“對稱密碼”，然后用服務器的公鑰（服務器的公鑰從步驟②中的服務器的證書中獲得）對其加密，然后將加密后的“預主密碼”傳給服務器。 5：如果服務器要求客戶的身份認證（在握手過程中為可選），用戶可以建立一個隨機數然后對其進行數據簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的“預主密碼”一起傳給服務器。

6：如果服務器要求客戶的身份認證，服務器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的CA 是否可靠，發(fā)行CA 的公鑰能否正確解開客戶證書的發(fā)行 CA 的數字簽名，檢查客戶的證書是否在證書廢止列表（CRL ）中。檢驗如果沒有通過，通訊立刻中斷；如果驗證通過，服務器將用自己的私鑰解開加密的“預主密碼”，然后執(zhí)行一系列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同的主通訊密碼）。

7：服務器和客戶端用相同的主密碼即“通話密碼”，一個對稱密鑰用于 SSL 協(xié)議的安全數據通訊的加解密通訊。同時在 SSL 通訊過程中還要完成數據通訊的完整性，防止數據通訊中的任何變化。

8：客戶端向服務器端發(fā)出信息，指明后面的數據通訊將使用的步驟⑦中的主密碼為對稱密鑰，同時通知服務器客戶端的握手過程結束。

9：服務器向客戶端發(fā)出信息，指明后面的數據通訊將使用的步驟⑦中的主密碼為對稱密鑰，同時通知客戶端服務器端的握手過程結束。

10：SSL 的握手部分結束，SSL 安全通道的數據通訊開始，客戶和服務器開始使用相同的對稱密鑰進行數據通訊，同時進行通訊完整性的檢驗。

添加IIS 組件：

點擊‘確定’，安裝完畢后，查看IIS 管理器，如下：

添加”證書服務“組件

如果您的機器沒有安裝活動目錄，在勾選以上‘證書服務’時，將彈出如下窗口：

由于我們將要安裝的是獨立CA ，所以不需要安裝活動目錄，點擊‘是’，窗口跳向如下：

默認情況下，‘用自定義設置生成密鑰對和CA 證書’沒有勾選，我們勾選之后點擊‘下一步’可以進行密鑰算法的選擇：

Microsoft 證書服務的默認CSP 為：Microsoft Strong Cryptographic Provider，默認散列算法：SHA-1，密鑰長度：2048——您可以根據需要做相應的選擇，這里我們使用默認。點擊‘下一步’：

填寫CA 的公用名稱（以AAAAA 為例），其他信息（如郵件、單位、部門等）可在‘可分辨名

稱后綴’中添加，有效期限默認為5年（可根據需要作相應改動，此處默認）。

點擊‘下一步’

點擊‘下一步’進入組件的安裝，安裝過程中可能彈出如下窗口：

單擊‘是’，繼續(xù)安裝，可能再彈出如下窗口：

由于安裝證書服務的時候系統(tǒng)會自動在IIS 中（這也是為什么必須先安裝IIS 的原因）添加證書申請服務，該服務系統(tǒng)用ASP 寫就，所以必須為IIS 啟用ASP 功能，點擊‘是’繼續(xù)安裝：

‘完成’證書服務的安裝。

開始 --》 管理工具 --》 證書頒發(fā)機構，打開如下窗口：

我們已經為服務器成功配置完公用名為AAAAA 的獨立根CA ，Web 服務器和客戶端可以通過訪問該服務器的IIS 證書申請服務申請相關證書。

此時該服務器（CA ）的IIS 下多出以下幾項：

我們可以通過在瀏覽器中輸入以下網址進行數字證書的申請： http://hostname/certsrv或http://hostip/certsrv 申請界面如下：