CN104137511B - 用于安全协议的动态选择的方法、设备和客户端设备 - Google Patents

Abstract

这里描述的技术使得客户端能够存储指示各种主机（例如，服务器、web域）是否支持优选的安全协议（诸如经抢跑修改的TLS或SSL协议）的信息。客户端然后可以使用这个信息来动态地确定当连接到特定的主机时是否使用优选的协议。当客户端第一次尝试握手来建立与主机的安全连接时，客户端使用优选的协议来这样做。如果握手失败，则客户端本地存储用于主机的域或其它标识信息，这样，客户端在随后的连接尝试中可以采用非优选的协议。因此，客户端可以避免由尝试与不支持优选的协议的主机进行优选的协议连接而引起的性能降级。所存储的信息可包括时间戳，其使能用于主机能力更新的周期性检查。

Description

用于安全协议的动态选择的方法、设备和客户端设备

背景技术

安全套接字层（SSL）和传输层安全（TLS）是在开放系统互连（OSI）模型的应用层上运行的、用来提供互联网上客户端与服务器之间的安全通信的通信协议。在简单的SSL或TLS握手中，客户端通过发送包括由客户端支持的协议版本以及在客户端处生成的随机数的客户端问候（ClientHello）开始。然后服务器用包括由服务器支持的协议版本连同在服务器处生成的随机数的服务器问候语消息进行应答。然后服务器可以发送它的证书，包括其用于加密的公开密钥，之后发送指示关于握手协商已完成的、服务器问候完成（ServerHelloDone）消息。

然后客户端可以用包含使用服务器的公开密钥加密的预备主秘密（PreMasterSecret）的客户端密钥交换（ClientKeyExchange）消息进行应答。然后客户端和服务器可以使用所交换的随机数和预备主秘密来计算被使用来生成用于通信会话的会话密钥的公共的主秘密（MasterSecret）。然后，客户端和服务器互相发送指示随后的消息将被加密的改变密码说明（ChangeCipherSpec），以及加密的完成（Finished）消息。服务器和客户端将尝试解密相互的完成消息。如果任一项尝试失败，则握手失败且连接终止。如果客户端和服务器都成功解密完成消息，则握手成功。如果客户端也具有其自己的证书，和/或如果握手正在恢复以前的会话，则握手可以被修改。然而，在上述的简单的情形下，完整的握手通常包括在握手完成以及客户端和服务器可以开始发送应用数据之前的至少两次完整的协议往返行程，因此，为建立通信会话增加了两次网络往返行程的等待时间（latency）惩罚。

为了减小这个等待时间，已向互联网工程任务组（IETF）的TLS工作组提交了建议，以通过并入被称为抢跑（False Start）的特征而修改TLS并且可能修改SSL。这个建议的修改使得客户端能够在其已经接收和验证服务器的完成消息之前就开始发送应用数据。在其中采用缩短的握手来恢复以前的会话的场景下，服务器在它已经接收和验证客户端的完成消息之前就开始发送应用数据。因此，抢跑使等待时间减少一个往返行程的时间。然而，如果能够抢跑的客户端尝试与不支持抢跑的服务器进行握手，则握手将失败，并且客户端将尝试使用标准的、非抢跑协议进行另一次握手，这招致相当大的等待时间惩罚。

发明内容

这里描述的技术使得客户端能够存储指示各种服务器或主机是否支持对于TLS或SSL的抢跑修改的信息。然后客户端可以使用这个信息来确定是否在连接到服务器时发起抢跑握手。当能够进行抢跑的客户端第一次尝试进行握手来建立与服务器的安全连接时，客户端使用经抢跑修改的协议来进行握手。如果安全连接被通过使用抢跑建立（例如，如果握手成功），则客户端和服务器将进行应用数据的交换。

然而，如果握手失败并且安全连接未建立，则客户端重新尝试通过使用标准的（例如，未经抢跑修改的）TLS或SSL握手来建立连接，并且把指示服务器不支持抢跑的信息存储在客户端。所存储的信息可包括服务器的标识和/或由服务器所宿有的网站，所述标识是以域、子域、统一资源定位器（URL）、互联网协议（IP）地址、和/或其它标识信息的形式。信息可被存储在客户端的主动式存储器（例如，物理存储器）中，用来优化在同一个通信会话内的安全连接的建立。信息也可以被存储在永久存储器中（例如，在客户端的硬驱动机上），用来优化跨不同通信会话的安全连接的建立。在某些情形下（例如，其中信息被存储在永久存储器中），信息还可包括指示信息被存储时的时间和日期的时间戳。这样的时间戳可以使得客户端能够重新检查服务器或主机，以确定它是否已经被更新成支持抢跑。

本概要被提供来以简化的形式介绍概念的选择，这些概念还将在下面的详细说明中进行描述。本概要既不打算确认所要求保护的主题的关键特征或必要特征，也不打算被使用来限制所要求保护的主题的范围。

附图说明

详细说明是参照附图描述的。在图上，参考标号的最左面的数字标识其中该参考标号第一次出现的图。在不同的图上相同的参考标号指示类似的或相同的项。

图1A、1B和1C图示出其中启用抢跑的客户端尝试与启用抢跑或未启用抢跑的服务器或主机握手的示例性场景。

图2是描绘实施例可以在其中运行的示例性环境的图。

图3是描绘按照实施例的示例性计算系统的图。

图4描绘用于把信息存储在客户端以指示服务器是否支持优选的安全协议（例如，支持抢跑的协议）的示例性过程的流程图。

图5描绘用于采用被存储在客户端的信息来确定是否尝试使用优选的安全协议（例如，支持抢跑的协议）进行连接的示例性过程的流程图。

具体实施方式

综述

这里描述的实施例为启用抢跑的客户端提供用于确定是否使用经抢跑修改的协议来尝试建立与服务器或主机的安全连接的技术。对于SSL（例如，SSL 3.0和以后版本）和TLS（例如，TLS 1.0、1.1、1.2和以后版本）的抢跑修改通过从建立安全的客户端-服务器连接的握手中移除一次往返行程而减小等待时间。然而，不是所有的服务器都支持带有抢跑修改的协议。当支持抢跑的客户端尝试与不支持抢跑的服务器握手时，握手失败，并且客户端重新尝试不带有抢跑的握手。第一次失败的握手尝试可以造成在建立连接中的增加的等待时间，因此可能使尝试建立与服务器的安全通信的web浏览器或其它客户端侧应用的性能降级。为了防止这样的性能降级，实施例使得能够把指示特定的服务器是否支持抢跑的信息或元数据存储在客户端。然后客户端可以使用这个数据来确定是否尝试抢跑握手。

图1A、1B和1C图示出其中启用抢跑的客户端尝试与启用抢跑或未启用抢跑的服务器握手的示例性场景。如图1A所示，执行启用抢跑的客户端应用的客户端设备102尝试连接到支持抢跑的web服务器104。在这种情形下，抢跑握手106成功。在某些实施例中，客户端应用是超级文本传送协议（HTTP）客户端，其可在客户端设备102上作为web浏览器或其它应用的组件执行，以连接到网站或由web服务器104提供的其它web服务。

图1B图示出其中客户端设备102尝试连接到不支持抢跑的不同web服务器110的示例性场景。在客户端对web服务器110的第一次访问（First Visit）108时，客户端尝试抢跑握手112，该抢跑握手由于web服务器缺乏对于抢跑的支持而失败。然后，客户端重新尝试通过使用非抢跑握手114进行连接。在第二次访问（Second Visit）116时，客户端再一次尝试抢跑握手118，该握手再一次失败，然后客户端尝试通过使用非抢跑握手120来建立连接。在这种场景下，因为客户端没有并入这里描述的实施例的各种特征，所以客户端没有从其第一次访问108的失败的抢跑握手112中吸取教训，接着又在其第二次访问116中，重新尝试抢跑握手。

然而，图1C图示出其中客户端设备102保留web服务器110不支持抢跑的信息的示例性场景。在客户端第一次访问122时，客户端尝试抢跑握手124，该握手因为web服务器110不支持抢跑而失败。然后客户端重新尝试通过使用非抢跑握手126而进行连接。然而，在本例中，在第一次失败的握手后，客户端存储了指示web服务器110不支持抢跑的信息。因此，在客户端第二次访问128时，客户端查找以前存储的信息，并根据该信息，知道不尝试与web服务器110进行抢跑握手。 而是，客户端尝试非抢跑握手130。这个信息的存储、检索和使用在下面参照图4和图5进一步描述。

因此，通过采用所存储的信息，客户端可以确定是否尝试使用优选的安全协议（例如，抢跑协议）进行连接，从而防止与不支持优选安全协议的服务器的失败的第一次尝试。因为客户端可以访问关于主机服务器的能力（例如，它是否支持抢跑）的信息，所以客户端可以节省多达三次往返行程时间：对于在抢跑握手时的初始失败的尝试的两次往返行程，加上（在某些情形下）由于以下原因而引起的另一次往返行程时间，即：因为TCP会话在跟随抢跑握手的失败尝试而已经被服务器拆掉之后可能需要被重建。

而且，因为实施例规定：关于服务器能力的信息被本地存储在客户端本身，所以客户端可以动态地确定采用哪个安全协议，而不需要访问在远程服务器上存储的其它信息（例如，不支持的主机的黑名单）。这使得客户端能够更有效地进行它的确定，而不招致对于从远程服务器检索服务器能力信息所需要的附加的等待时间打击（hit）。再者，实施例还可以使得能进行有效的通信，因为服务器能力信息被本地存储并基于客户端与某些主机连接的能力来被动态地更新。而且，因为客户端本身存储关于服务器能力的信息，所以信息可以比被存储在远程服务器的服务器能力信息（例如，在黑名单中）更频繁地更新，因此导致使用优选的安全协议的握手较少失败。

示例性环境

图2显示实施例可以在其中运行的示例性环境200。如图所示，环境200的各种设备经由一个或多个网络202来互相通信，所述网络可包括使得能进行这样的通信的任何类型的网络。例如，网络202可包括诸如互联网那样的公用网、诸如公共机构和/或个人的内联网那样的专用网、或专用网与公用网的某种组合。网络202还可包括任何类型的有线和/或无线网，包括，但不限于，局域网（LAN）、广域网（WAN）、Wi-Fi、WiMax和移动通信网（例如，3G、4G等等）。网络202可以利用通信协议，其包括基于分组的和/或基于数据报的协议，诸如互联网协议（IP）、传输控制协议（TCP）、用户数据报协议（UDP）、或其它类型的协议。而且，网络202还可包括促进网络通信和/或形成用于网络的硬件基础的多个设备，诸如交换机、路由器、网关、接入点、防火墙、基站、中继器、骨干设备等等。

环境200还包括与终端用户相关联的一个或多个客户端设备204。概略地说，客户端设备204可包括用户可以采用来通过网络202发送和接收信息的任何类型的计算设备。例如，客户端设备204可包括，但不限于，台式计算机、膝上型计算机、平板计算机、电子书阅读器、可穿戴计算机、媒体播放器、车载计算机、移动计算设备、智能电话、个人数据助理（PDA）、游戏控制台、移动游戏设备、机顶盒等等。

客户端设备204通常包括一个或多个应用，包括但不限于，文字处理应用、游戏、web浏览器、电子邮件客户端应用、文本消息传送应用、聊天或即时消息传送（IM）客户端以及其它应用。这些应用中的一个或多个应用可包括使得应用能够经由HTTP或另外的联网协议连接到网站或以别的方式访问基于web的信息的组件。客户端设备204以及其它设备被描述在图2上，并在此处参照图3作进一步描述。

如图2进一步显示的，环境200可包括被配置成用来通过网络202供应内容或把服务提供给用户的一个或多个web服务器设备206。这样的内容和服务可包括，但不限于，被宿有的静态和/或动态的网页、社交网络服务、电子邮件服务、聊天服务、游戏、多媒体和通过网络202提供的任何其它类型的内容、服务或信息。web服务器设备206可以支持用于与客户端设备204或其它联网设备通信的一个或多个通信协议。例如，web服务器设备206可被配置成通过使用TCP/IP而建立通信会话，和/或通过使用HTTP而应答对于数据的请求。web服务器设备206还可以被配置成通过使用诸如TLS或SSL的安全协议来建立安全通信会话，该安全协议可被修改成支持抢跑。

说明性计算系统结构

图3描绘实施例可以在其中运行的示例性计算系统300。如图所示，计算系统300包括处理单元302。处理单元302可包含多个处理单元，并可以作为硬件、软件、或其的某种组合被实现。处理单元302可包括一个或多个处理器。正如这里使用的，处理器指硬件组件。处理单元302可包括以任何适当的编程语言编写的、计算机可执行的、处理器可执行的和/或机器可执行的指令，用于执行这里描述的各种功能。

正如例子中显示的，计算系统300还包括系统存储器304，它可包括易失性存储器，诸如随机存取存储器（RAM）306、静态随机存取存储器（SRAM）、动态随机存取存储器（DRAM）等等。RAM 306包括一个或多个正执行的操作系统（OS）308和一个或多个正执行的过程，该正执行的过程包括可由处理单元302加载和执行的组件、程序、或应用。这样的过程可包括web浏览器310，其运行来与网站或在互联网上可得到的其它服务通信。在某些实施例中，web浏览器310包括协议选择组件312，当与特定的web服务器通信时，该协议选择组件312动态地选择特定的通信协议来使用。正如下面进一步描述的，协议选择组件312可以访问所存储的关于服务器的信息，以确定是否采用启用抢跑的TLS或SSL协议来建立与服务器的安全连接。在某些实施例中，RAM 306可包括物理存储器（例如，临时存储装置314），OS 308、web浏览器310和/或其它过程316在其中执行。

系统存储器304还可包括非易失性存储器，诸如只读存储器（ROM）318、快闪存储器等等。正如所显示的，ROM 318可包括被使用来引导计算系统300的基本输入/输出系统（BIOS）320。虽然未示出，但是系统存储器304还可存储由OS 308、web浏览器310和/或其它过程316在它们执行期间所生成的和/或采用的程序或组件数据。系统存储器304还可包括高速缓冲存储器。

如图3所示，计算系统300还可包括非可移除存储装置330（例如，硬驱动机）和/或可移除存储装置334，其包括，但不限于，磁盘存储装置、光盘存储装置、磁带存储装置等等。盘驱动和相关联的计算机可读介质可以提供计算机可读指令、数据结构、程序模块和用于计算系统300的操作的其它数据的非易失性存储。而且，非可移除存储装置330还可包括永久存储装置332。

通常，计算机可读介质包括计算机存储介质和通信介质。

计算机存储介质是有形的介质，其包括以任何方法或技术来实现的、用于存储诸如计算机可读指令、数据结构、程序模块和其它数据那样的信息的易失性和非易失性的、可移除和非可移除介质。计算机存储介质包括，但不限于，RAM、ROM、可擦除可编程只读存储器（EEPROM）、SRAM、DRAM、快闪存储器、或其它存储器技术、只读光盘存储器（CD-ROM）、数字多功能盘（DVDS）或其它光存储装置、盒式磁带、磁带、磁盘存储装置或其它磁存储器件、或可被计算设备使用来存储信息以便访问的任何其它非传输介质。

相反，通信介质是非有形的，并且可以在诸如载波或其它传输机制那样的已调制数据信号中体现计算机可读指令、数据结构、程序模块、或其它数据。正如这里定义的，计算机存储介质不包括通信介质。

计算系统300可包括输入设备336，包括，但不限于，键盘、鼠标、笔、游戏控制器、用于语音标识的话音输入设备、触摸输入设备等等。计算系统300还可包括输出设备338，包括，但不限于，显示器、打印机、音频扬声器、触觉输出等等。计算系统300还可包括通信连接340，允许通信系统300与其它计算设备342通信，其它计算设备包括在一个或多个通信网上可得到的客户端设备、服务器设备、数据库和/或其它联网设备。

说明性过程

图4和5是描绘按照各种实施例的示例性过程的流程图。这些过程的操作在各个方框中举例说明，并参考那些方框进行概述。过程被图示为逻辑流程图，其每个操作可以代表能以硬件、软件、或其组合实现的一个或多个操作。在软件的上下文中，操作代表被存储在一个或多个存储介质上的计算机可执行指令，这些指令当被一个或多个处理器执行时使得所述一个或多个处理器能够执行所阐述的操作。通常，计算机可执行指令包括执行特定的功能或实现特定的抽象数据类型的例行程序、程序、对象、模块、组件、数据结构等等。操作被描述的次序不打算被看作为限制，并且任何数量的所描述的操作可以以任何次序被组合、被再划分成多个子操作和/或可并行地执行，以实现所描述的过程。

图4描绘用于在客户端上存储信息以指示服务器或主机是否支持优选的安全协议（例如，支持抢跑的安全通信协议）的示例性过程400。在一些实施例中，过程400由诸如在客户端设备上执行的协议选择组件312那样的组件执行。而且，过程400可以通过客户端过程，诸如作为在客户端设备上执行的浏览器或其它应用的一部分的HTTP客户端来执行。

在402，进行尝试以使用第一安全协议在客户端与服务器（例如，web服务器）之间建立安全连接。在一些实施例中，第一安全协议是支持抢跑以减小如上所述的等待时间的优选的安全协议，诸如SSL或TLS协议，以及客户端尝试进行由抢跑修改的SSL或TLS握手。在方块404，对握手是否成功以及连接是否被建立进行确定。例如，如上所述，当使用经抢跑修改的协议时，客户端可以在接收到服务器的完成消息（或TLS或SSL握手完成的其它通信指示）之前就开始发送应用数据。如果服务器不支持抢跑，服务器可以把应用数据的客户端传输解译为过早，且终止或以别的方式拆除与客户端的连接。在这样的情形下，服务器可以把指示失败的通信发送到客户端，其包括但不限于，SSL或TLS警告、SSL或TLS错误消息、和/或TCP消息（例如，TCP FIN或TCP RESET(复位)）。而且，在一些实施例中，客户端在于一定的时间段后没有接收到来自服务器的任何应答后，可能超时。在方块404，各种实施例可以使用一个或多个这些事件来确定服务器不支持抢跑。虽然可以有连接失败的其它原因，但实施例可以根据建立安全连接或会话失败而推断：服务器不支持抢跑。

如果连接被成功地建立，则在406，客户端和服务器可以着手进行通信来交换应用数据。然而，如果连接没有被成功地建立，则在408，关于服务器的信息可被存储在客户端上的临时存储装置（例如，临时存储装置314）中。在一些实施例中，信息被存储在数据库、列表、或其它数据结构中，并且所存储的信息标识了客户端已确定不支持第一安全协议的那些服务器。这样的标识信息可包括对于任何域级别或子域级别处的服务器的域信息、用于每个服务器的URL、或其它标识信息（例如，IP地址）。

在一些实施例中，临时存储装置可以是在过程的主动式存储器（例如，物理存储器或虚拟存储器）中的存储器中的数据结构，协议选择组件正在主动式存储器中执行过程400。在一些实施例中，在临时存储装置中的这个信息可能只要过程是活动的、特定的连接是活动的，就可得到，和/或在连接变为不活动后的一定的预定时间段（例如，10分钟）内可得到。这样，把信息存储在临时存储装置中可以使得能对同一个会话的与服务器的多个连接进行优化，这样使得HTTP客户端或其它组件可以从物理存储器中有效地检索所存储的关于服务器能力的信息，而不必访问硬驱动机或其它永久存储装置。因此，假设客户端可以从临时存储装置有效地检索主机能力信息，则在某个时间段后返回到同一个主机或网站的用户可能能够更快速地连接。

在410，关于服务器能力的信息可以另外被存储在永久存储装置中，诸如在客户端设备的硬驱动机或其它非可移除存储装置上的永久存储装置332中。把服务器能力信息保存在永久存储装置中可以使得能跨多个会话来优化与服务器的连接。例如，在特定的会话被终结且临时存储装置被释放后，服务器能力信息可以在以后的会话期间从永久存储装置中检索。因此，客户端可能能够根据在以前的会话期间收集的服务器能力信息，确定特定的服务器是否支持优选的安全协议（例如，具有抢跑）。

在一些实施例中，被存储在永久存储装置中的服务器信息包括与被存储在临时存储装置中的信息相同的或类似的服务器标识（例如，域）信息。在一些实施例中，被存储在永久存储装置中的服务器信息还可包括：对于每个服务器的、指示当信息被存储时的时间和日期的时间戳。这个时间戳可以提供启发性（heuristic），以使得客户端在稍后的时间能够重新尝试使用第一安全协议连接到服务器，并且因此周期地检查以确定服务器的能力是否已更新或扩展到支持第一安全协议（例如，包括抢跑的协议）。这方面将参照图5进一步描述。

在412，进行尝试以使用第二安全协议建立安全的客户端/服务器连接。在一些实施例中，第二安全协议是非优选的或不太优选的协议，诸如不支持抢跑的SSL或TLS协议。在一些实施例中，在这个第二次握手尝试之前且跟在第一次失败的握手尝试之后，服务器信息被存储在临时和/或永久存储装置中。在一些实施例中，服务器信息可以跟在第二次握手尝试之后被存储。而且，在一些实施例中，在412，可能需要重建TCP会话，因为当抢跑握手失败时服务器可能已拆除现有的会话。

图5描绘用于采用被存储在客户端的信息来确定是否尝试使用优选的安全协议（例如，支持抢跑的协议）进行连接的示例性过程500。在一些实施例中，过程500由在客户端设备上执行的、诸如协议选择组件312那样的组件执行。而且，过程500可以由客户端过程，诸如由作为在客户端设备上执行的浏览器或其它应用的一部分的HTTP客户端来执行。

在502，接收与服务器安全地连接的指示。例如，当用户希望使用诸如SSL或TLS那样的安全通信协议通过在客户端上的web浏览器或其它应用而连接到服务器上的网站时，可以触发这样的指示。在504，从如上所述的服务器信息以前存储在其中的永久存储装置或者该过程的存储器中临时存储装置访问服务器信息。在一些实施例中，首先检查存储器中的临时存储装置，并且如果在临时存储装置中没有找到信息，则随后检查永久存储装置。

在506，对在所访问的信息中是否找到用于服务器的信息进行确定。在一些实施例中，信息在客户端上被存储为数据库、列表、或其它数据结构，并且数据库中服务器的域的存在表明服务器不支持第一安全协议（例如，支持抢跑的优选的协议）。如果服务器的域没有在数据库中列出，或数据库以别的方式指示服务器支持第一安全协议，则过程500进到508并且客户端尝试使用第一安全协议建立与服务器的安全连接，如以上参照图4描述的。

如果在506，服务器的域在数据库中列出，或数据库以别的方式指示服务器不支持第一安全协议，则可以检查与服务器的域相关联的时间戳，以确定标识该服务器的信息是否过期（例如，已期满）。在一些实施例中，这个检查可包括把时间戳的日期/时间与当前的日期/时间相比较，并确定二者之间的差别（例如，自从信息被存储以来消逝的时间）。如果时间差不大于预定的阈值（例如，30天），则可以确定：服务器信息没有期满，并且在512，可以作出尝试来使用第二安全协议（例如，不支持抢跑的非优选的安全协议）来建立安全连接。

然而，如果时间差大于预定的阈值，则可以确定：服务器的信息已期满，或者以别的方式过期了。在这种情形下，在508，可以使用第一安全协议来进行连接尝试。这样，与服务器域一起存储的时间戳可以提供用于检查从信息被存储的时间以来服务器是否已被更新来支持第一协议（例如，抢跑）的手段。在一些实施例中，阈值可以是可配置的，用来对不能抢跑的服务器提供或多或少频繁的检查，以确定它们的能力是否已升级。

一些实施例支持在客户端上周期地执行的附加支持过程以检查主机能力信息是否为最新。例如，这样的过程可以分析主机的已存储列表，并对于其信息过期的（例如，比起预定的时间段更陈旧的）每个主机，从列表中移除该主机，以便节省永久存储器中的空间。而且，在一些实施例中，对于其在列表中的信息过期的每个主机，这样的过程可以尝试与主机进行TLS 抢跑或SSL 抢跑连接，并且或者从列表中移除主机（例如，如果连接是成功的），或者把主机留在列表中并把时间戳更新到当前的日期/时间（例如，如果连接是不成功的）。

再者，一些实施例支持对于主机列表合并的优化，其中高级别域信息优先于较低级别域信息被存储（例如，存储abcdefg.com，而不是www.abcdefg.com、mail.abcdefg.com等等）。而且，在一些实施例中，较低级别域信息可被存储在数据库中，直到当列表包括了一定阈值数目的、共享高级别域的较低级别域（例如，www.abcdefg.com、mail.abcdefg.com、news.abcdefg.com等等）的时间。这时，在列表中那些较低级别域可以用高级别域（例如，abcdefg.com等等）替换，以节省列表中的空间。在一些实施例中，上文讨论的支持过程可以执行这个合并过程。然而，在一些实施例中，可以实行单独的过程来执行该合并。

结论

虽然技术是以对于结构特征和/或方法动作特定的语言描述的，但应当理解的是，所附权利要求不一定必须限于所描述的具体的特征或动作。而是，具体的特征和动作是作为这样的技术的示例性实现被公开的。

Claims (10)

1.一种用于动态地选择安全协议的计算机实现的方法，包括：

尝试通过使用第一安全协议在客户端与服务器之间建立安全连接，其中该第一安全协议包括缩短的握手；

确定是否成功地通过使用第一安全协议建立安全连接；

根据确定没有成功地使用第一安全协议建立安全连接，把将该服务器标识为不支持第一安全协议的服务器的信息存储在客户端上；以及

根据确定没有成功地使用该第一安全协议建立安全连接，尝试通过使用包括未缩短的握手的第二安全协议在客户端与服务器之间建立安全连接。

2.权利要求1的方法，其中第一安全协议是支持抢跑的安全套接层（SSL）或支持抢跑的传输层安全（TLS）协议，以及其中第二安全协议是不支持抢跑的SSL或不支持抢跑的TLS协议。

3.权利要求1的方法，其中信息被存储在客户端上的临时存储装置中，以便对在同一个通信会话内建立安全连接进行优化。

4.权利要求1的方法，其中信息被存储在客户端上的永久存储装置中，以便对跨不同通信会话建立安全连接进行优化。

5.权利要求1的方法，还包括：

在随后尝试在客户端与服务器之间建立随后的安全连接期间，访问客户端上的存储的信息，

至少部分地根据该信息来确定该服务器不支持第一安全协议；以及

根据确定该服务器不支持该第一安全协议，来尝试使用第二安全协议建立随后的安全连接，而不尝试使用该第一安全协议来建立随后的安全连接。

6.权利要求1的方法，还包括：

在随后尝试在客户端与服务器之间建立随后的安全连接期间，访问存储在客户端上的信息；

确定该存储在客户端的信息包括用于服务器的期满的信息；以及

尝试使用第一安全协议建立随后的安全连接。

7.一种用于动态地选择安全协议的设备，包括：

用于接收要在客户端与服务器之间建立安全连接的指示的装置；

用于在尝试建立安全连接之前访问客户端上的数据库，以确定数据库是否包括将服务器标识为不支持优选的安全协议的服务器的信息的装置，其中该优选的安全协议包括缩短的握手；

用于根据确定客户端上的数据库包括将该服务器标识为不支持优选的安全协议的服务器的信息，尝试使用非优选的安全协议来建立安全连接的装置，该非优选的安全协议包括未缩短的握手；以及

用于根据确定客户端上的数据库不包括将该服务器标识为不支持优选的安全协议的服务器的信息，尝试使用该优选的安全协议来建立安全连接的装置。

8.一种用于动态地选择安全协议的客户端设备，包括：

存储器，

至少一个处理器；以及

被存储在存储器中且在至少一个处理器上执行的组件，用来：

尝试通过使用支持抢跑的第一安全协议在客户端设备与服务器之间建立安全连接；

确定是否成功地通过使用第一安全协议建立安全连接；

根据确定没有成功地使用第一安全协议建立安全连接，把标识服务器为不支持抢跑的信息存储在客户端设备上；以及

重新尝试通过使用不支持抢跑的第二安全协议在客户端设备与服务器之间建立安全连接。

9.权利要求8的客户端设备，其中标识服务器为不支持抢跑的信息被存储在客户端设备的存储器中的数据库上。

10.权利要求8的客户端设备，还包括硬驱动机，其中标识服务器为不支持抢跑的信息被存储在硬驱动机的永久存储装置中。