网络协议-HTTPS

转载：http://www.renfed.com/2017/02/03/https/

一、解决问题

　　HTTPS解决的是中间人攻击

　　公网：域名解析--IP：所以中间站点抢答返回错误IP

　　局域网：路由器找机器是找的mac地址，路由器会向局域网类ARP广播，找ip对应的mac地址，从而有可能产生ARP攻击

https连接的前几毫秒发生了什么

2017年2月3日会编程的银猪

在讨论这个话题之前，先提几个问题：

为什么说https是安全的，安全在哪里？
https是使用了证书保证它的安全的么？
为什么证书需要购买？

我们先来看https要解决什么问题

一、 https解决什么问题

https要解决的问题就是中间人攻击，什么是中间人攻击（Man In The Middle Attack）呢？如下图所示：

你和服务器的连接会经过一个中间人，你以为你和服务器在正常地传输入数据，其实这些数据都先经过了一个中间人，这个中间人可以窥探你的数据或者篡改你的数据后再发给服务器，相反也可以把服务器的数据修改了之后再发给你。而这个中间人对你是透明的，你不知道你的数据已经被人窃取或者修改了。

二、中间人攻击的方式

常见的有以下两种：

1）域名污染

由于我们访问一个域名时需要先进行域名解析，即向DNS服务器请求某个域名的IP地址。例如taobao.com我这边解析的IP地址为：

在经过DNS的中间链点可能会抢答，返回给你一个错误的IP地址，这个IP地址就指向中间人的机器。

2）APR欺骗

广域网的传输是用的IP地址，而在局域网里面是用的物理地址，例如路由器需要知道连接它的设备的物理地址它才可以把数据包发给你，它会通过一个ARP的广播，向所有设备查询某个IP地址的物理地址是多少，如下所示：

路由器发了一个广播，询问192.168.1.100的物理地址是多少，由于没有人响应，所以它每隔1秒就重新发了个包。由于这个网络上的所有机器都会收到这个包，所以这个时候就可以欺骗路由器：

上面的192.168.1.102就向路由器发了一个响应的包，告诉路由器它的物理地址。

三、https是应对中间人攻击的唯一方式

在ssl的源码里面就有一段注释：

/* cert is OK. This is the client side of an SSL connection.

* Now check the name field in the cert against the desired hostname.

* NB: This is our only defense against Man-In-The-Middle (MITM) attacks!

最后一句的意思就是说使用https，是应对中间人攻击的唯一方式。为什么这么说呢，这得从https连接的过程说起。

四、https连接的过程

如果对于一个外行人，可以这么解释：

https连接，服务器发送它的证书给浏览器（客户端），浏览器确认证书正确，并检查证书中对应的主机名是否正确，如果正确则双方加密数据后发给对方，对方再进行解密，保证数据是不透明的

但是如果这个外行人比较聪明，他可能会问你浏览器是怎么检验证书正确的，证书又是什么东西，加密后不会被中间人破解么?

首先证书是个什么东西，可以在浏览器上面看到证书的内容，例如我们访问谷歌，然后点击地址栏的小锁：

再点击详情->查看证书，就可以看到整个证书的完整内容：
证书的内容

接下来再用一个WireShark的抓包工具，抓取整个https连接的包，并分析这些包的内容。

下面以访问淘宝为例，打开淘宝，可以在Chrome里面看到淘宝的IP
域名IP

然后打开WireShark，设定过滤条件为源IP和目的IP都为上面的IP，就可以观察到整一个连接建立的过程：

第一步是肯定是要先建立TCP连接，这里就不说了，我们从Client Hello开始说起：

1. Client Hello

我们在wireshark里面观察，将client hello里面客户端发给服务器的一些重要信息罗列出来

（1）使用的TLS版本是1.2，TLS有三个版本，1.0，1.1，1.2，1.2是最新的版本，https的加密就是靠的TLS安全传输层协议：

（2）客户端当前的时间和一个随机密码串，这个时间是距Unix元年(1970.1.1)的秒数，这里是147895117，随机数的作用下面再提及。

（3）sessionId，会话ID，第一次连接时为0，如果有sessionId，则可以恢复会话，而不用重复握手过程：

（4）浏览器支持的加密组合方式：可以看到，浏览器一共支持22种加密组合方式，发给服务器，让服务器选一个。具体的加密方式下文再介绍

（5）还有一个比较有趣的东西是域名：

为什么说这个比较特别呢，因为域名是工作在应用层http里的，而握手是发生在TLS还在传输层。在传输层里面就把域名信息告诉服务器，好让服务根据域名发送相应的证书。

可以说，https = http + tls，如下图所示：

数据传输还是用的http，加密用的tls。tls和ssl又是什么关系？ssl是tls的前身，ssl deprecated之后，才开始有了tls 1.0、1.1、1.2

3. Server Hello

服务器收到了Client Hello的信息后，就给浏览器发送了一个Server Hello的包，这个包里面有着跟Client Hello类似的消息：

（1）时间、随机数等，注意服务器还发送了一个Session Id给浏览器。

（2）服务器选中的加密方式：服务器在客户端提供的方式里面选择了下面这种，这种加密方式也是目前很流行的一种方式：

4. Certificate证书

接着服务器发送一个证书的包过来：

在WireShark里面展开证书：

服务器总共是发了三个证书，第一个叫做*.tmall.com，第二个证书叫做GlobalSign Org.，第三个叫GlobalSign Root.这三个证书是什么关系呢？这三个证书是相互依赖的关系，在浏览器里面可以看出：

tmall的证书是依赖于GlobalSign Org的证书，换句话说，GlobalSign Org的证书为tmall的证书做担保，而根证书GlobalSign Root为GlobalSign Org做担保，形成一条依赖链。明白这点很重要，从技术的角度上来说，GlobalSign为tmall的证书做签名，只要签名验证正确就说明tmall的证书是合法的。

在tmall的证书里面会指明它的上一级证书是啥：

现在来看下一个证书里面具体有什么内容。

除了上面提到的签名外，每个证书还包含签名的算法，和被签名的证书tbsCertificate(to be signed Certificate)三部分：

这个tbsCertificate里面有什么东西呢？在WireShark里面展开可以看到，里面有申请证书时所填写的国家、省份、城市、组织名称：

以及证书支持的域名，可以看到taobao就在里面：

证书的有效期，可以看到这个证书如果不续费到今年年底就要到期了：

还有证书的公钥，GlobalSign Org的公钥为：

我们把证书的公钥拷贝出来，它是一串270个字节的数字，16进制为540位：

String publicKey = "3082010a0282010100c70e6c3f23937fcc70a59d20c30e533f7ec04ec29849ca47d523ef03348574c8a3022e465c0b7dc9889d4f8bf0f89c6c8c5535dbbff2b3eafbe356e74a46d91322ca36d59bc1a8e3964393f20cbce6f9e6e899c86348787f5736691a191d5ad1d47dc29cd47fe18012ae7aea88ea57d8ca0a0a3a1249a262197a0d24f737ebb473927b05239b12b5ceeb29dfa41402b901a5d4a69c436488def87efee3f51ee5fedca3a8e46631d94c25e918b9895909aee99d1c6d370f4a1e352028e2afd4218b01c445ad6e2b63ab926b610a4d20ed73ba7ccefe16b5db9f80f0d68b6cd908794a4f7865da92bcbe35f9b3c4f927804eff9652e60220e10773e95d2bbdb2f10203010001";

这个公钥是由什么组成的呢？这是由N和e组成的：

1	publicKey = (N, e)

其中N是一个大整数，由两个质数相乘得到：

N = p * q

e是一个幂指数。这个就涉及到非对称加密算法，它是针对对称加密算法来说的。什么是对称加密算法呢？所谓对称加密算法是说：会话双方使用相同的加密解密方式，所以会话前需要先传递加密方式或者说是密钥，而这个密钥很可能会被中间人截取。所以后来才有了非对称加密算法：加密和解密的方式不一样，加密用的密钥，而解密用的公钥，公钥是公开的，密钥是不会传播的，可能是保存在拥有视网膜扫描和荷枪实弹的警卫守护的机房当中。

第一个非对称加密算法叫Diffie-Hellman密钥交换算法，它是Diffie和Hellman发明的，后来1977年麻省理工的Rivest、Shamir 和 Adleman提出了一种新的非对称加密算法并以他们的名字命名叫RSA。它的优点就在于：

加密和解密的计算非常简单
破解十分难，只要密钥的位数够大，以目前的计算能力是无法破解出密钥的

可以说，只要有计算机网络的地方，就会有RSA。RSA加密具体是怎么进行的呢：

5. RSA加密和解密

假设发送的信息为Hello，由于Hello的ASCII编码为：104 101 108 108 111，所以要发送的信息为：

M = 1041010108108111

即先把要发送的文本转成ASCII编码或者是Unicode编码，然后进行加密：

EM = M^e % N

就是把M作e次幂，然后除以N取余数，得到EM，EM即为加密后的信息。其中（N，e）就是上文提到的公钥。接下来将EM发送给对方，对方收到后用自己的密钥进行解密：

M = EM^d % N

将加密的信息作d次幂，再除以N取模，（N，d）就是对方的密钥，这样就能够将EM还原为M，可以证明，只要密钥和公钥是一一配对的，上式一定成立。不知道密钥的人是无法破译的，上文已提到破解密钥是相当困难的。

接下来回到上文提到的证书的公钥，这是一串270个字节的数字，可以拆成两部分N和e：

灰色的数字是用来作为标志的。N是一个16进制为512位、二进制为2048位的大数字。普通的证书是1024位，2048位是一个很高安全级别，换算成10进制是617位，如果你能够将这个617位的大整数拆成两个质数相乘，就可以推导出GlobalSign的密钥，也就是说你破解了GlobalSign的证书（但这是不可能的）。

e为65537，证书通常取的幂指数都为这个数字。

在证书里面知道证书使用的加密算法为RSA + SHA256，SHA是一种哈希算法，可用来检验证书是否被篡改过：

我们将encrypted的值拷贝出来就是证书的签名：

String sinature = "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";

这个签名是一个256个字节的数字，它是GlobalSign Org用它的密钥对tbsCertificate做的签名，接下来用GlobalSign Org的公钥进行解密：

String decode =

new BigInteger(signature, 16) //先转成一个大数字

.pow(e) //再做e次幂

.mod(new BigInteger(N) ) //再模以N

.toString();

System.out.println(decode);

注意在实际的计算中，不能直接e次幂，不然将是一个天文数字里的天文数字，计算量将会非常大，需要乘一次就模一次，很快就算出来了。计算出来的结果为：

这个结果又可以拆成几部分来看：

第一个字节是00，第一个字节要比其它字节都要小，第二个字节是01，表示这是一个私有密钥操作，中间的ff是用来填充，加大签名的长度，加大破解难度，最后面的64个字节就是SHA哈希的值，如果证书没有被篡改过，那么将tbsCertificate作一个SHA哈希，它的值应该是和签名里面是完全一样的。所以接下来我们手动计算一下tbsCertificate的哈希值和签名里面的哈希进行对比。

这个的计算方式如下：

hash = SHA_256(DER(tbsCertificate))

注意不是将tbsCertificate直接哈希，是对它的DER编码值进行哈希，DER是一种加密方式。DER值可以在WireShark里面导出来，证书发过来的时候就已经被DER过了：

然后再用openssl计算它的哈希值，命令为：

openssl dgst -sha256 ~/tbsCertificate.bin

计算结果为：

即为：

bedfc063c41b62e0438bc8c0fff669de1926b5accfb487bf3fa98b8ff216d650

和上面签名里面的哈希值进行对比，即下面的绿色字：

可以发现：检验正确！这个证书没有被篡改过，确实是tmall的证书。那么这个时候问题来了，中间人有没有可能既篡改了证书，还能保证哈希值是对的？首先不同的字符串被SHA256哈希后的值是一样的概率比较小，同时由于密钥和公钥是一一配对的，所以中间人只能把公钥改成它的公钥，这个公钥是一个p * q的整数，所以他必须得满足两个条件，一个是要更改成一个有意义的公钥，另一个是整个证书的内容被哈希后的值和没改前是一样的，满足这两个条件就相当困难了。

所以我们有理由相信，只有知道了GlobalSign Org密钥的人，才能对这个证书正确地加密。也就是说，tmall的证书确实是GobalSign颁发和签名的，我们可以用相同的方式验证GlobalSign Org是GlobalSign Root颁发和签名。但是我们为什么要相信Gloabal Sign呢？

如果上面提到的中间人不篡改证书，而是把整一个证书都换它自己的证书，假设叫HackSign，证书里面要带上访问的域名，所以HackSign里面也会带上*.taobao.com。这个HackSign和GlobalSign有什么区别呢？为什么我们要相信GlobalSign，而不相信HackSign呢？

因为GlobalSign Root是浏览器或者操作系统自带的证书，在火狐浏览器的证书列表里面可以看到：

GlobalSign Root是Builtin的，即内置的。我们绝对相信GlobalSign Root，同时验证了GlobalSign Org是签名是合法的，GlobalSign Org给tmall的证书也是合法的。所以这个就是我们的信任链，从GlobalSign Root一直相信到了tmall。而*.taobao.com的域名已经被证书机构注册了，所以另外的人是不能再用*.taobao.com去注册它的证书的。

所以证书为什么会有有效期，证书为什么要购买，从这里就可以知道原因了。

到这里，你可能又会冒出来另外一个问题，既然我不能改证书，也不能换证书，那我难道不能直接克隆你的证书放到我的机器上去，因为证书是完全公开透明的，可以在浏览器或者wireshark里面看到证书的完整内容。然后我再用域名污染等技术将你访问的域名打到我的机器上，那么我跟你一模一样的证书不也是合法的？证书不就没用了？

这个问题之前也困扰我许久，为了回答这个问题，我们先继续讲解连接的过程。

上面已经说到浏览器已经验证了证书是合法的，接下来：

6. 密钥交换Key Exchange

上文提到服务器选择的加密组合方式为：

Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)

这一串加密方式可以分成三部分：

服务器选中的密钥交换加密方式为RSA，数据传输加密方式为AES，检验数据是否合法的算法为SHA256.

具体的密钥交换为ECDHE_RSA，什么叫ECDHE呢？

由于证书的密钥和公钥（2048位）都比较大，使用ECDH 算法最大的优势在于，在安全性强度相同的情况下，其所需的密钥长度较短。以 DH 演算法密钥长度 2048 位元为例。ECDH 算法的密钥长度仅需要 224 位元即可

所以RSA是用来验证身份然后交换密钥的，并不是用来加密数据的，因为它太长了，计算量太大。加密数据是用的ECDHE生成的密钥和公钥。

在服务器发送了它的证书给浏览器之后，就进行了密钥交换Server Key Exchange和Client Key Exchange：

在WireShark里面展开，可以看到它发给客户端的公钥：

这个公钥只有65个字节，260位，和上面的270个字节的公钥相比，已经短了很多。

同样地，浏览器结合服务器发给它的随机密码(Server Hello)，生成它自己的主密钥，然后发送公钥发给服务器：

这个公钥也是只有65个字节

双方交换密钥之后，浏览器给服务器发了一个明文的Change Cipher Spec的包，告诉服务器我已经准备好了，可以开始传输数据了：

同样地，服务器也会给浏览器发一个Change Cipher Spec的包：

浏览器给服务回了个ACK，然后就开始传输数据：

传输数据是用的http传输的，但是数据是加密的，没有密钥是没办法解密的：

上面已经提到服务器选择的数据传输加密方式为AES，AES是一种高效的加密方式，它会使用主密钥生成另外一把密钥，其加密过程可见维基百科。

到此，整一个连接过程就讲解完了。这个时候就可以回答上文提出的证书被克隆的问题，其实答案很简单，因为这是没有意义的。双方采用RSA交换公钥，使用的公钥和密钥是一一配套的，所以只要证书是对的，即公钥是对的，对方没办法知道配套的密钥是多少，所以即使证书被克隆，对方收到的数据是无法解密的。所以没有人会取偷证书，因为是没有意义的，因为他不知道密钥，从这个角度来说证书可以验证身份的合法性是可以理解的

这个连接的过程大概多久呢？

四、使用https的代价

在wireshark里面可以看到每个包的发送时间：

从最开始的Client Hello，到最后的Change Cipher Spec的包，即从4.99s到5.299秒，这个建立https连接的过程为0.3s。所以使用https是需要付出代价：

建立https需要花费时间(~0.3s)
数据需要加密和解密，占用更多的cpu
数据加密后比原信息更大，占用更多的带宽

五、怎样绕过https

使用ssltrip，这个工具它的实现原理是先使用arp欺骗和用户建立连接，然后强制将用户访问的https替换成http。即中间人和用户之间是http，而和服务器还是用的https。
怎样规避这个问题：
如果经常访问的网站是https的，某一天突然变成了http，那么很可能有问题，最直观的就是浏览器地址栏的小锁没有了：

六、怎样创建一个自签名的证书

证书要么买，要么自己创建一个，可以使用openssl生成一个证书：

openssl req -x509 -nodes -sha256 -days 365 -newkey rsa:2048 -keyout test.com.key -out test.com.crt

如上，使用sha256 + rsa 2048位，有效期为365天，输出为证书test.com.crt和密钥test.com.key，在生成过程中它会让你填相关的信息：

最后会生成两个文件，一个是证书（未被签名），另一个是密钥：

然后把这个证书添加到浏览器里面，设置为信任，浏览器就不会报NET::ERR_CERT_AUTHORITY_INVALID的错误，就可以正常使用这个证书了。

附录：RSA加密

1977年，三位数学家Rivest、Shamir 和 Adleman 设计了一种算法，可以实现非对称加密。这种算法用他们三个人的名字命名，叫做RSA算法。从那时直到现在，RSA算法一直是最广为使用的"非对称加密算法"。毫不夸张地说，只要有计算机网络的地方，就有RSA算法。

这种算法非常可靠，密钥越长，它就越难破解。根据已经披露的文献，目前被破解的最长RSA密钥是768个二进制位。也就是说，长度超过768位的密钥，还无法破解（至少没人公开宣布）。因此可以认为，1024位的RSA密钥基本安全，2048位的密钥极其安全。

下面，我就进入正题，解释RSA算法的原理。文章共分成两部分，今天是第一部分，介绍要用到的四个数学概念。你可以看到，RSA算法并不难，只需要一点数论知识就可以理解。

二、互质关系

如果两个正整数，除了1以外，没有其他公因子，我们就称这两个数是互质关系（coprime）。比如，15和32没有公因子，所以它们是互质关系。这说明，不是质数也可以构成互质关系。

关于互质关系，不难得到以下结论：

　　1. 任意两个质数构成互质关系，比如13和61。

　　2. 一个数是质数，另一个数只要不是前者的倍数，两者就构成互质关系，比如3和10。

　　3. 如果两个数之中，较大的那个数是质数，则两者构成互质关系，比如97和57。

　　4. 1和任意一个自然数是都是互质关系，比如1和99。

　　5. p是大于1的整数，则p和p-1构成互质关系，比如57和56。

　　6. p是大于1的奇数，则p和p-2构成互质关系，比如17和15。

三、欧拉函数

请思考以下问题：

　　任意给定正整数n，请问在小于等于n的正整数之中，有多少个与n构成互质关系？（比如，在1到8之中，有多少个数与8构成互质关系？）

计算这个值的方法就叫做欧拉函数，以φ(n)表示。在1到8之中，与8形成互质关系的是1、3、5、7，所以 φ(n) = 4。

φ(n) 的计算方法并不复杂，但是为了得到最后那个公式，需要一步步讨论。

第一种情况

如果n=1，则 φ(1) = 1 。因为1与任何数（包括自身）都构成互质关系。

第二种情况

如果n是质数，则 φ(n)=n-1 。因为质数与小于它的每一个数，都构成互质关系。比如5与1、2、3、4都构成互质关系。

第三种情况

如果n是质数的某一个次方，即 n = p^k (p为质数，k为大于等于1的整数)，则

$\phi(p^{k})=p^{k}-p^{k-1}$

比如 φ(8) = φ(2^3) =2^3 - 2^2 = 8 -4 = 4。

这是因为只有当一个数不包含质数p，才可能与n互质。而包含质数p的数一共有p^(k-1)个，即1×p、2×p、3×p、...、p^(k-1)×p，把它们去除，剩下的就是与n互质的数。

上面的式子还可以写成下面的形式：

$\phi(p^{k})=p^{k}-p^{k-1}=p^{k}(1-\frac{1}{p})$

可以看出，上面的第二种情况是 k=1 时的特例。

第四种情况

如果n可以分解成两个互质的整数之积，

　　n = p1 × p2

则

　　φ(n) = φ(p1p2) = φ(p1)φ(p2)

即积的欧拉函数等于各个因子的欧拉函数之积。比如，φ(56)=φ(8×7)=φ(8)×φ(7)=4×6=24。

这一条的证明要用到"中国剩余定理"，这里就不展开了，只简单说一下思路：如果a与p1互质(a<p1)，b与p2互质(b<p2)，c与p1p2互质(c<p1p2)，则c与数对 (a,b) 是一一对应关系。由于a的值有φ(p1)种可能，b的值有φ(p2)种可能，则数对 (a,b) 有φ(p1)φ(p2)种可能，而c的值有φ(p1p2)种可能，所以φ(p1p2)就等于φ(p1)φ(p2)。

第五种情况

因为任意一个大于1的正整数，都可以写成一系列质数的积。

$n=p_{1}^{k_{1}}p_{2}^{k_{2}}...p_{r}^{k_{r}}$

根据第4条的结论，得到

$\phi(n)=\phi(p_{1}^{k_{1}})\phi(p_{2}^{k_{2}})...\phi(p_{r}^{k_{r}})$

再根据第3条的结论，得到

$\phi(n)=p_{1}^{k_{1}}p_{2}^{k_{2}}...p_{r}^{k_{r}}(1-\frac{1}{p_{1}})(1-\frac{1}{p_{2}})...(1-\frac{1}{p_{r}})$

也就等于

$\phi(n)=n(1-\frac{1}{p_{1}})(1-\frac{1}{p_{2}})...(1-\frac{1}{p_{r}})$

这就是欧拉函数的通用计算公式。比如，1323的欧拉函数，计算过程如下：

$\phi(1323)=\phi(3^{3}\times7^{2})=1323(1-\frac{1}{3})(1-\frac{1}{7})=756$

四、欧拉定理

欧拉函数的用处，在于欧拉定理。"欧拉定理"指的是：

如果两个正整数a和n互质，则n的欧拉函数 φ(n) 可以让下面的等式成立：

$a^{\phi(n)}\equiv\1 (mod\ n)$

也就是说，a的φ(n)次方被n除的余数为1。或者说，a的φ(n)次方减去1，可以被n整除。比如，3和7互质，而7的欧拉函数φ(7)等于6，所以3的6次方（729）减去1，可以被7整除（728/7=104）。

欧拉定理的证明比较复杂，这里就省略了。我们只要记住它的结论就行了。

欧拉定理可以大大简化某些运算。比如，7和10互质，根据欧拉定理，

$7^{\phi(10)}\equiv\ 1\ (mod\ 10)$

已知 φ(10) 等于4，所以马上得到7的4倍数次方的个位数肯定是1。

$7^{4k}\equiv\ 1\ (mod\ 10)$

因此，7的任意次方的个位数（例如7的222次方），心算就可以算出来。

欧拉定理有一个特殊情况。

假设正整数a与质数p互质，因为质数p的φ(p)等于p-1，则欧拉定理可以写成

$a^{p-1}\equiv\ 1\ (mod\ p)$

这就是著名的费马小定理。它是欧拉定理的特例。

欧拉定理是RSA算法的核心。理解了这个定理，就可以理解RSA。

五、模反元素

还剩下最后一个概念：

如果两个正整数a和n互质，那么一定可以找到整数b，使得 ab-1 被n整除，或者说ab被n除的余数是1。

$ab \equiv 1\ (mod\ n)$

这时，b就叫做a的"模反元素"。

比如，3和11互质，那么3的模反元素就是4，因为 (3 × 4)-1 可以被11整除。显然，模反元素不止一个， 4加减11的整数倍都是3的模反元素 {...,-18,-7,4,15,26,...}，即如果b是a的模反元素，则 b+kn 都是a的模反元素。

欧拉定理可以用来证明模反元素必然存在。

$a^{\phi(n)}=a\times a^{\phi(n)-1}\equiv\ 1\ (mod\ n)$

可以看到，a的 φ(n)-1 次方，就是a的模反元素。

第一步，随机选择两个不相等的质数p和q。

爱丽丝选择了61和53。（实际应用中，这两个质数越大，就越难破解。）

第二步，计算p和q的乘积n。

爱丽丝就把61和53相乘。

　　n = 61×53 = 3233

n的长度就是密钥长度。3233写成二进制是110010100001，一共有12位，所以这个密钥就是12位。实际应用中，RSA密钥一般是1024位，重要场合则为2048位。

第三步，计算n的欧拉函数φ(n)。

根据公式：

　　φ(n) = (p-1)(q-1)

爱丽丝算出φ(3233)等于60×52，即3120。

第四步，随机选择一个整数e，条件是1< e < φ(n)，且e与φ(n) 互质。

爱丽丝就在1到3120之间，随机选择了17。（实际应用中，常常选择65537。）

第五步，计算e对于φ(n)的模反元素d。

所谓"模反元素"就是指有一个整数d，可以使得ed被φ(n)除的余数为1。

　　ed ≡ 1 (mod φ(n))

这个式子等价于

　　ed - 1 = kφ(n)

于是，找到模反元素d，实质上就是对下面这个二元一次方程求解。

　　ex + φ(n)y = 1

已知 e=17, φ(n)=3120，

　　17x + 3120y = 1

这个方程可以用"扩展欧几里得算法"求解，此处省略具体过程。总之，爱丽丝算出一组整数解为 (x,y)=(2753,-15)，即 d=2753。

至此所有计算完成。

第六步，将n和e封装成公钥，n和d封装成私钥。

在爱丽丝的例子中，n=3233，e=17，d=2753，所以公钥就是 (3233,17)，私钥就是（3233, 2753）。

实际应用中，公钥和私钥的数据都采用ASN.1格式表达（实例）。

七、RSA算法的可靠性

回顾上面的密钥生成步骤，一共出现六个数字：

　　p
　　q
　　n
　　φ(n)
　　e
　　d

这六个数字之中，公钥用到了两个（n和e），其余四个数字都是不公开的。其中最关键的是d，因为n和d组成了私钥，一旦d泄漏，就等于私钥泄漏。

那么，有无可能在已知n和e的情况下，推导出d？

　　（1）ed≡1 (mod φ(n))。只有知道e和φ(n)，才能算出d。

　　（2）φ(n)=(p-1)(q-1)。只有知道p和q，才能算出φ(n)。

　　（3）n=pq。只有将n因数分解，才能算出p和q。

结论：如果n可以被因数分解，d就可以算出，也就意味着私钥被破解。

可是，大整数的因数分解，是一件非常困难的事情。目前，除了暴力破解，还没有发现别的有效方法。维基百科这样写道：

　　"对极大整数做因数分解的难度决定了RSA算法的可靠性。换言之，对一极大整数做因数分解愈困难，RSA算法愈可靠。

　　假如有人找到一种快速因数分解的算法，那么RSA的可靠性就会极度下降。但找到这样的算法的可能性是非常小的。今天只有短的RSA密钥才可能被暴力破解。到2008年为止，世界上还没有任何可靠的攻击RSA算法的方式。

　　只要密钥长度足够长，用RSA加密的信息实际上是不能被解破的。"

举例来说，你可以对3233进行因数分解（61×53），但是你没法对下面这个整数进行因数分解。

　　12301866845301177551304949
　　58384962720772853569595334
　　79219732245215172640050726
　　36575187452021997864693899
　　56474942774063845925192557
　　32630345373154826850791702
　　61221429134616704292143116
　　02221240479274737794080665
　　351419597459856902143413

它等于这样两个质数的乘积：

　　33478071698956898786044169
　　84821269081770479498371376
　　85689124313889828837938780
　　02287614711652531743087737
　　814467999489
　　　　×
　　36746043666799590428244633
　　79962795263227915816434308
　　76426760322838157396665112
　　79233373417143396810270092
　　798736308917

事实上，这大概是人类已经分解的最大整数（232个十进制位，768个二进制位）。比它更大的因数分解，还没有被报道过，因此目前被破解的最长RSA密钥就是768位。

八、加密和解密

有了公钥和密钥，就能进行加密和解密了。

（1）加密要用公钥 (n,e)

假设鲍勃要向爱丽丝发送加密信息m，他就要用爱丽丝的公钥 (n,e) 对m进行加密。这里需要注意，m必须是整数（字符串可以取ascii值或unicode值），且m必须小于n。

所谓"加密"，就是算出下式的c：

　　m^e ≡ c (mod n)

爱丽丝的公钥是 (3233, 17)，鲍勃的m假设是65，那么可以算出下面的等式：

　　65¹⁷ ≡ 2790 (mod 3233)

于是，c等于2790，鲍勃就把2790发给了爱丽丝。

（2）解密要用私钥(n,d)

爱丽丝拿到鲍勃发来的2790以后，就用自己的私钥(3233, 2753) 进行解密。可以证明，下面的等式一定成立：

　　c^d ≡ m (mod n)

也就是说，c的d次方除以n的余数为m。现在，c等于2790，私钥是(3233, 2753)，那么，爱丽丝算出

　　2790²⁷⁵³ ≡ 65 (mod 3233)

因此，爱丽丝知道了鲍勃加密前的原文就是65。

至此，"加密--解密"的整个过程全部完成。

我们可以看到，如果不知道d，就没有办法从c求出m。而前面已经说过，要知道d就必须分解n，这是极难做到的，所以RSA算法保证了通信安全。

你可能会问，公钥(n,e) 只能加密小于n的整数m，那么如果要加密大于n的整数，该怎么办？有两种解决方法：一种是把长信息分割成若干段短消息，每段分别加密；另一种是先选择一种"对称性加密算法"（比如DES），用这种算法的密钥加密信息，再用RSA公钥加密DES密钥。

九、私钥解密的证明

最后，我们来证明，为什么用私钥解密，一定可以正确地得到m。也就是证明下面这个式子：

　　c^d ≡ m (mod n)

因为，根据加密规则

　　ｍ^e ≡ c (mod n)

于是，c可以写成下面的形式：

　　c = m^e - kn

将c代入要我们要证明的那个解密规则：

　　(m^e - kn)^d ≡ m (mod n)

它等同于求证

　　m^ed ≡ m (mod n)

由于

　　ed ≡ 1 (mod φ(n))

所以

　　ed = hφ(n)+1

将ed代入：

　　m^hφ(n)+1 ≡ m (mod n)

接下来，分成两种情况证明上面这个式子。

（1）m与n互质。

根据欧拉定理，此时

　　m^φ(n) ≡ 1 (mod n)

得到

　　(m^φ(n))^h × m ≡ m (mod n)

原式得到证明。

（2）m与n不是互质关系。

此时，由于n等于质数p和q的乘积，所以m必然等于kp或kq。

以 m = kp为例，考虑到这时k与q必然互质，则根据欧拉定理，下面的式子成立：

　　(kp)^q-1 ≡ 1 (mod q)

进一步得到

　　[(kp)^q-1]^h(p-1) × kp ≡ kp (mod q)

即

　　(kp)^ed ≡ kp (mod q)

将它改写成下面的等式

　　(kp)^ed = tq + kp

这时t必然能被p整除，即 t=t'p

　　(kp)^ed = t'pq + kp

因为 m=kp，n=pq，所以