握手协议是关于客户和服务器如何协商它们在安全信道中要使用的安全参数，这些参数包括要采用的协议版本、加密算法和密钥。另外，客户要认证服务器，服务器则可以选择认证/不认证客户。 PKI在客户—服务器认证阶段就开始运作了，这就是握手协议的实质。

1．握手协议工作过程
① 客户（client）端发送ClientHello信息给服务器（Server）端， Server 回答ServerHello。这个过程建立的安全参数包括协议版本、“佳话”标识、加密算法、压缩方法。另外，还交换两个随机数：C1ientHello.Random和 ServerHello.Random，用于计算机“会话主密钥”。 

② Hello消息发送完后，Server 端会发送它的证书和密钥交换信息。如果Server 端被认证，它就会请求Client端的证书，在验证以后，Server就发送HelloDone 消息，以示达成了握手协议，即双方握手接通。
③ Server请求Client证书时，Client要返回证书或返回没有证书的指示，这种情况用于单向认证，即客户端不装有证书。然后，Client发送密钥交换消息。
④ 服务器Server此时要回答“握手完成”消息（Finished），以示完整的握手消息交换已经全部完成。 
⑤ 握手协议完成后，Client端即可与Server端传输应用加密数据，应用数据加密一般是用第②步密钥协商时确定的对称加/解密密钥，如DES、3DE等。目前，商用加密强度为128位，非对称密钥一般为RAS，商用强度为1024位，用于证书的验证。

其中，带*号的命令是可选的，或依据状态而发的消息，而改变加密算法协议（ChangeCipherSpec）并不在实际的握手协议之中，它在第③步与第④步之间，用于Client与Server 协商新的加密数据包时而改变原先的加密算法。

2．握手协议的作用
      SSL中的握手协议，将公钥加密技术与对称密钥加密技术的应用有效、巧妙地结合在一起，有机地组成了互联网（或其他网络）上信息安全传输的通道。这种信息安全通道，有其实用价值，比如，利用对称加密技术比公钥加密技术对大容量信息的加/解密速度要快，而公钥技术却提供了更好的身份认证技术。SSL的握手协议可以非常有效地让客户与服务器之间完成身份认证。

      通过SSL客户端与服务器传送自己的数字证书，互验合法性，特别是验证服务器的合法性，可以有效地防止互联网上虚假网站的网上钓鱼事件；同时，服务器端也可以严格验证客户端的真实身份。其作用如下：
① 客户端的浏览器向服务器传送客户端SSL 协议的版本号、加密算法的种类、产生的随机数，以及其他服务器和客户端之间通信所需要的各种信息。 
② 服务器向客户端传送SSL协议的版本号、加密算法的种类、随机数及其他相关信息，同时，服务器还将向客户端传送自己的证书。
③ 客户利用服务器传过来的信息验证服务器的合法性。服务器的合法性包括：证书是否过期，发行服务器证书的CA是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，则通信将断开；如果合法性验证通过，则将继续进行第④步。
④ 客户端随机产生一个用于后面通信的“对称密码”，然后用服务器的公钥（从步骤②中服务器的证书中获得）对其加密，再将加密后的“预主密码”传给服务器。 
⑤ 如果服务器要求客户的身份认证（在握手过程中为可选），用户则可以建立一个随机数，然后对其进行数字签名，将这个含有签名的随机数和客户自己的证书，以及加密过的“预主密码”一起传给服务器。
⑥ 如果服务器要求客户的身份认证，服务器则必须检验客户证书和签名随机数的合法性。具体的合法性验证包括：客户的证书使用日期是否有效，为客户提供证书的CA是否可靠，发行CA的公钥能否正确解开客户证书的发行CA的数字签名，检查客户的证书是否在证书撤销列表（CRL）中。检验如果没有通过，则通信立刻中断；如果验证通过，则服务器将用自己的私钥解开加密的“预主密码”，然后执行一系列步骤来产生主通信密码（客户端也将通过同样的方法产生相同的主通信密码）。 
⑦ 服务器和客户端用相同的主密码，即“通话密码”，一个对称密钥用于SSL协议的安全数据通信的加/解密通信。同时，在 SSL通信过程中还要完成数据通信的完整性，以防止数据通信中的任何变化。 

⑧ 客户端向服务器端发出信息，指明后面的数据通信将使用步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。
⑨ 服务器向客户端发出信息，指明后面的数据通信将使用步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。
⑩ SSL的握手部分结束，SSL安全通道的数据通信开始，客户和服务器开始使用相同的对称密钥进行数据通信，同时进行通信完整性的检验。