1. 数字证书
数字证书就是“网络身份证”，用来在网络上证明数字证书持有者的身份。
2. 数字证书格式及转换
3. HTTP 和 HTTPS
SSL/TLS：安全套接字(Secure Socket Layer，SSL)协议是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。
4. 各种类型SSL数字证书区别
用于网站HTTPS化的SSL数字证书，当前主要分为DV SSL、OV SSL、EV SSL三种类型的证书。
各种类型SSL数字证书区别
阿里云上签发的Symantec证书，在原有OV、EV基础上，推出了增强型OV、增强型EV证书。增强型与专业版OV及高级版EV的区别主要在于，增强型OV、增强EV支持ECC椭圆加密算法。
5. SSL证书
-
HTTP与HTTPS区别
对比传统的加密方式，SSL证书有以下几点优势：
- https协议需要到ca申请证书，一般免费证书很少，需要交费。
- http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
- http和https使用的是完全不同的连接方式用的端口也不一样，前者是80，后者是443。
- http的连接很简单,是无状态的。
- HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。
Nginx 集群环境SSL证书部署
Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件 (IMAP/POP3)代理服务器，并在一个BSD-like协议下发行。中国大陆使用nginx网站用户有:百度、京东、新浪、网易、腾讯、淘宝等。
1. 在CentOS服务器上安装OpenSSL软件
yum update openssl openssl-devel
yum install openssl openssl-devel
2. 配置CA服务器
生成自签署证书的密钥
- 进入证书目录(安装了OpenSSL软件就会存在该目录)
cd /etc/pki/CA/
- 使用rsa加密算法生成自签署证书的密钥(此处指定密钥长度为2048)
openssl genrsa -out private/cakey.pem 2048
- 修改权限，增加安全性
chmod 600 private/cakey.pem
利用密钥生成CA服务器的证书文件， 为了方便，首先在OpenSSL配置文件中设置一些默认值
- 编辑配置文件
vim /etc/pki/tls/openssl.cnf
- 找到如下部分，在签署证书时证书中会写入如下内容(大概128行)
[ req_distinguished_name ]
countryName = Country Name (2 letter code)
# 配置默认国家
countryName_default = CN
countryName_min = 2
countryName_max = 2
stateOrProvinceName = State or Province Name (full name)
# 默认省份名称
stateOrProvinceName_default = SiChuan
localityName = Locality Name (eg, city)
# 默认城市名称
localityName_default = ChengDu
0.organizationName = Organization Name (eg, company)
# 默认公司名称
0.organizationName_default = SkyGuard
# we can do this but it is not needed normally :-)#1.organizationName = Second Organization Name (eg, company)#1.organizationName_default = World Wide Web Pty Ltd
organizationalUnitName = Organizational Unit Name (eg, section)
# 默认组织单位名称
organizationalUnitName_default = BigData
生成自签署证书：
- 用刚刚生成的密钥文件生成一个有效期为10年的证书
openssl req -new -x509 -key ./private/cakey.pem -out cacert.pem -days 3650
- 以下几项使用刚刚配置的默认值，所有直接回车
Country Name (2 letter code) [CN]:
State or Province Name (full name) [SiChuan]:
Locality Name (eg, city) [ChengDu]:
Organization Name (eg, company) [SkyGuard]:
Organizational Unit Name (eg, section) [BigData]:
- 此处配置CA服务器名字，建议使用DNS上能查找到的域名(测试可随便指定)
Common Name (eg, your name or your server's hostname) []:nginx.xiaochunping.com
- 此处设置管理员邮箱(测试可随便指定)
Email Address []:xiaochunping9987@163.com
创建如下两个文件:
- 创建存放颁发证书的数据库文件
touch index.txt
- 当前颁发证书的序列号文件，颁发下一个证书时会自动加1
echo "00" > serial
3. 配置Nginx服务器Https单向认证
安装Nginx服务器：
（这里就不进行介绍了）
配置Nginx服务器支持ssl：
- 创建存放ssl先关的目录，并进入目录
mkdir ssl && cd ssl
- 生成本地密钥
openssl genrsa 2048 > httpd.key
- 修改权限，增加安全性
chmod 600 httpd.key
- 生成证书申请文件，以便传入CA服务器申请证书
openssl req -new -key httpd.key -out httpd.crq
- 以下几项与CA服务器信息保持一致
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:SiChuan
Locality Name (eg, city) [Default City]:ChengDu
Organization Name (eg, company) [Default Company Ltd]:SkyGuard
Organizational Unit Name (eg, section) []:BigData# Nginx中虚拟主机名，只对该虚拟主机的请求加密
Common Name (eg, your name or your server's hostname) []:nginx.lazyfennec.cn
# 管理员邮箱，注意替换成自己的
Email Address []:lazyfennec@foxmail.com
Please enter the following 'extra' attributes
to be sent with your certificate request
# 设置单独密码，忽略即可
A challenge password []:
An optional company name []
- 登录到CA服务器对证书进行签署，切换到CA目录
openssl ca -in /tmp/httpd.crq -out /tmp/httpd.crt -days 3650
Certificate is to be certified until Mar 23 05:25:03 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
- 配置Nginx
vim conf/nginx.conf# 增加如下虚拟主机
server {
listen 443 ssl;
server_name nginx.skyguard.com.cn;
ssl on;
ssl_certificate ../ssl/httpd.crt;
ssl_certificate_key ../ssl/httpd.key;
ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
ssl_prefer_server_ciphers on;
location / {
root html;
index index.html index.htm;
}
}
这里补充一个非常重要的说明
当然以上内容为自己签发的情况，如果是网上申请的证书，那么在拿到相关证书后，可以将相关文件放到指定位置后，然后修改nginx的配置文件即可。
如果觉得有收获，欢迎点赞和评论，更多知识，请点击关注查看我的主页信息哦~
网友评论