关于SSL和HTTPS的好文章？

Question

我在iPhone程序中接受无效的SSL证书时出现问题。这个问题现在已经解决了，但是我开始理解我对整个事情的确切运作方式有非常抽象的想法：

• 网页浏览器如何验证收到的证书是否真的是为了与中间的同一方进行通信而不是伪造的主机？
• 如果浏览器与某个第三方（CA？）进行对话以进行证书检查？

还有很多其他问题...... 有人请推荐好的信息来源，深入了解所有部分如何一起点击吗？

Answer 1

这里有很多细节：The First Few Milliseconds of an https Connection

关于这个主题的权威书籍：SSL and TLS: Designing and Building Secure Systems

Answer 2

检查articles here，特别是“SSL简介”和“为客户端 - 服务器环境构建用户身份验证系统。”

Answer 3

Web Spoofing Revisited: SSL and Beyond

Answer 4

这是关于针对SSL的现代攻击的优秀BlakHat演讲： http://www.thoughtcrime.org/software/sslstrip/ Chrome最近为https引入了“严格传输安全性”，部分解决了Moxie Marlen Spikes攻击。