HTTPS安全访问的原理及其应用 推荐

HTTPD简介：
HTTPD 具有很高的稳定性，是深受企业欢迎的主要原因。它占据了市场60%的份额。采用http协议，加密的协议为HTTPS，具有mpm（多进程处理机制）满足客户端对站点访问。其中mpm分为两种：1.prefork，他是默认采用的一种方式，每当有一个用户请求访问便会产生一个进程为其服务，因此，他的稳定性很好，但是他最多同时有8个进程提供httpd服务，缺点就是占用了大量的内存。2.worker,同时最多有2个进程服务，每当有一个请求发过来，会在进程中产生一个线程为其服务，因此，他的稳定性低，优点就是不占用内存。HTTPS实际上应用了Netscape的安全套接字层（SSL）作为HTTP应用层的子层。（HTTPS使用端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。）
http协议的主要特点可概括为：
1. 支持C/S模式。
2. 应用层的协议中，简单快速，只需传递路径和方法。相应速度快。
3. 灵活，允许传输任意类型的数据对象。
4. 无连接协议，在服务器端处理完客户的请求并受到客户的应答后，即断开连接。从而节省了传输时间。
5. 无状态协议。并不跟踪访问过它的用户。
HTTPS与HTTP的区别：
一、https协议需要到ca申请证书，一般免费证书很少，需要交费。
二、http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议。
三、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
四、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。
SSL协议主要作用：
认证用户和服务器，确保数据安全的发送到正确的客户机和服务器。
SSL协议的握手流程图：



SSL协议的握手过程：
1.用户向服务器端发送访问请求，服务器端向用户发放证书，该证书中包含了公钥和颁发机构的名称等很多重要的信息。
2.客户端利用服务器传来的证书来检验服务器的合法性，包括证书是否过期，发行服务器证书的CA是否可靠。
3.如果证书检查通过。客户端随机产生一个对称密码，值得注意的是客户端每次访问都会随机产生一个密码。然后用服务器的公钥对这个对称密码进行加密，加密后传给服务器。
4.服务器使用自己的私钥对其解密，从而得到客户端的密码。
5.然后服务器和客户端使用相同的密码对信息进行加密。而且在此过程中ssl会保证数据的完整性。
试验拓扑图



硬件需求：
一台服务器（担任CA、WEBserver）,一台pc（扮演客户端角色~）
软件需求：
httpd-2.2.3-31.el5.i386.rpm
mod_ssl-2.2.3-31.el5.i386.rpm
实验步骤：
安装httpd
[root@zhangc Server]# yum install -y httpd-2.2.3-31.el5.i386.rpm
1》做身份验证
编辑/var/www/html/.htaccess 对来访的用户进行控制
账号服务目录位置
验证类型为基本身份验证
有效用户才能访问



然后使用指令htpasswd来产生.htpasswd
[root@zhangc www]# htpasswd -c .htpasswd user1
-c 表示创建一个新文件 user1 只供user1使用
[root@zhangc www]# htpasswd -c .htpasswd user2
2》做来源控制：



查看访问记录：
在/var/log/httpd/目录中有2个日志文件access_log、error_log。其中access_log 访问成功的日志记录。error_log表示访问失败的日志记录。



3》加密访问https
我们需要搭建：CA（证书的发放机关） WEB服务器（web服务器供用户访问web）Client（测试）
分为以下几个步骤
1.CA的搭建：
CA的分发原理：
CA 证书的颁发机构，webserver向CA发出申请，然后CA将证书分发给WEBServer,然后web server与证书进行绑定，当用户发送访问请求时，web server将证书出示给用户。
进入 /etc/pki/
Vim tls/openssl.conf



Dir CA相关的文件的存放位置
已经发行过的证书的存放位置
Crl 证书吊销列表 黑名单存放位置
Database 数据库的索引文件
New-certs_dir 新证书存放的位置
Certificate 发证机关的证书存放位置 CA
Serial 序列号文件
将该文件修改为：



然后创建系统中不存在的文件夹[创建3个文件夹 2个文件Certs crl newcerts index.txt serial cakey.pem（私钥文件）]
[root@zhangc CA]# mkdir certs crl newcerts
[root@zhangc CA]# touch index.txt serial



创建私钥和证书
cakey.pem使用openssl
Openssl genrsa gen表示产生 rsa表示非对称加密算法
并将生成的文件输入到private/cakey.pem文件中



为了私钥的安全，修改private/文件夹下的文件权限






有了私钥才能产生证书
[root@zhangc ~]# cd /etc/pki/tls/
[root@zhangc tls]# vim openssl.cnf
编辑修改默认参数以及分发的匹配原则






[root@zhangc tls]# openssl req -new -key /etc/pki/CA/private/cakey.pem -x509 -out cacert.pem -days 3650【利用cakey.pem来产生证书，有效期为10年】



Web服务器（使用linux来做）
1.私钥 2.证书请求 3.申请证书
创建文件夹/etc/pki/CA/etc/httpd/certs，用于存放以上3个文件
创建私钥
[root@zhangc certs]# openssl genrsa 1024 >httpd.key
修改权限，以确保安全性
[root@zhangc certs]# chmod 600 httpd.key
产生一个请求证书
[root@zhangc certs]# openssl req -new -key httpd.key -out httpd.csr
利用csr请求 来 得到一份证书



然后将http与ssl 进行结合实现https来进行访问
安装mod_ssl
[root@zhangc Server]# yum install -y mod_ssl-2.2.3-31.el5.i386.rpm
[root@zhangc Server]# cd /etc/httpd/conf.d/
安装以后会产生ssl.conf文件



编辑ssl.conf,指明自己创建证书文件和私钥文件



重新启动服务
Service httpd restart
测试结果：



然后编辑/etc/httpd/conf.d/ssl.conf文件
打开证书链



再次重新启动httpd服务






为了安全，关闭明文端口，禁止使用http访问该站点



再次进行访问



试验完成。