HTTPS静态服务搭建过程详解
2017-09-15 17:18
441 查看
HTTPS服务对于一个前端开发者来说是一个天天打招呼的老伙计了,但是之前我跟HTTPS打交道的场景一直是抓包,自己没有亲自搭建过HTTPS服务,对HTTPS的底层知识也是一知半解。最近正好遇到一个用户场景,页面需要调起手机的摄像头,这就要求页面服务必须是HTTPS的,所以就尝试搭建了HTTPS的静态服务,过程挺曲折的,所以总结一下分享给大家,希望能给看过本文的朋友一点帮助,提高工作效率。
本文主要讲三个点:HTTPS基本原理、证书的获取和httpd的https配置。
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165352969-330440259.png)
要完成以上功能,TLS的连接在TCP连接的基础之上,需要增加握手次数,如下图所示:
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165549719-856253261.png)
新增的往返过程可以简单根据下图示意理解。
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165703828-1806314949.png)
总结一下,HTTPS使用的过程中,主要是需要一个认证中心签名的证书,用该证书证明服务端返回的公钥是可信的,然后用该公钥加密浏览器端生成的对称密钥,服务端用自己私钥解密得到浏览器发送的对称密钥,然后浏览器和服务端通过对称密码进行加密通信。因此,搭建HTTPS服务首先要从认证中心申请到签名证书。
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913171925250-1435514376.png)
由于正规的证书申请,CA机构是要收费的,所以测试过程中我们需要自建CA来颁发证书。
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913173658297-710188163.png)
new_certs_dir = $dir/newcerts # 新证书存放位置
private_key = $dir/private/cakey.pem #CA私钥
database = $dir/index.txt #证书索引数据库文件
serial = $dir/serial 颁发证书的序列号
(1)创建CA私钥
(2)创建CA证书申请
申请的过程中需要输入用户信息,如Country Name,Organization Name,Email Address等,注意自己填写的信息。
(3)创建自签证书
(1)创建用户私钥
4000
(2)创建用户证书申请
(3)CA签名
需要CA签名的话,就需要将用户申请文件usercsr.pem拷贝到CA所在的机器上,现在把用户的文件放置在与demoCA同级的demoUser目录中。CA默认的私钥路径是./demoCA/private/cakey.pem,因此仍需要切换到./demoCA的上级目录。
(1)确认ssl模块(mod_ssl.so)开启
(2)设置https相应的虚拟端口配置,默认为443端口
配置代码如下:
(3)重启httpd即可
本文主要讲三个点:HTTPS基本原理、证书的获取和httpd的https配置。
HTTPS基本原理
HTTPS = HTTP + TSL(transport layer security)在应用层和传输层之间添加了一个会话层,会话层采用SSL协议,完成数据的加密、身份认证、数据完整性校验。如下图所示:![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165352969-330440259.png)
要完成以上功能,TLS的连接在TCP连接的基础之上,需要增加握手次数,如下图所示:
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165549719-856253261.png)
新增的往返过程可以简单根据下图示意理解。
![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913165703828-1806314949.png)
总结一下,HTTPS使用的过程中,主要是需要一个认证中心签名的证书,用该证书证明服务端返回的公钥是可信的,然后用该公钥加密浏览器端生成的对称密钥,服务端用自己私钥解密得到浏览器发送的对称密钥,然后浏览器和服务端通过对称密码进行加密通信。因此,搭建HTTPS服务首先要从认证中心申请到签名证书。
证书的获取
证书的获取过程是:向证书认证中心—CA提出申请,在CA判明申请者的身份后,为其分配一个公钥,然后CA将该公钥与申请者的身份信息绑在一起,然后用CA的私钥为其加密签名,签名后颁发给申请者。证书中的内容是用户公钥、用户信息、颁发机构、有效期等。分配的公钥可以通过证书请求中的用户私钥来获取。用户想要鉴别证书的真伪,只能用CA的公钥对证书上的签字进行验证。下图是证书获取过程的示意图:![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913171925250-1435514376.png)
由于正规的证书申请,CA机构是要收费的,所以测试过程中我们需要自建CA来颁发证书。
1.自建CA
利用openssl包可以创建CA,前提是需要openssl.conf的要求,创建自建CA所需的文件和目录,具体可以参见相关文章。这里主要指出几个必要的文件和目录:![](http://images2017.cnblogs.com/blog/605230/201709/605230-20170913173658297-710188163.png)
new_certs_dir = $dir/newcerts # 新证书存放位置
private_key = $dir/private/cakey.pem #CA私钥
database = $dir/index.txt #证书索引数据库文件
serial = $dir/serial 颁发证书的序列号
(1)创建CA私钥
cd CA_PATH #CA_PATH为demoCA的上级目录,因为配置文件中CA默认的私钥路径是./demoCA/private/cakey.pem,所以一定要在该目录执行命令,否则会报错 openssl genrsa -out ./demoCA/private/cakey.pem 2048
(2)创建CA证书申请
openssl req -new -in .demoCA/private/cakey.pem -days 365 -out .demoCA/cacsr.pem
申请的过程中需要输入用户信息,如Country Name,Organization Name,Email Address等,注意自己填写的信息。
(3)创建自签证书
openssl ca -selfsign -in careq.pem -out ./demoCA/cacert.crt
2. 用户申请证书
在任意机器或路径下创建用户私钥(1)创建用户私钥
openssl genrsa -out userkey.pem 2048
4000
(2)创建用户证书申请
openssl req -new -in userkey.pem -days 365 -out usercsr.pem
(3)CA签名
需要CA签名的话,就需要将用户申请文件usercsr.pem拷贝到CA所在的机器上,现在把用户的文件放置在与demoCA同级的demoUser目录中。CA默认的私钥路径是./demoCA/private/cakey.pem,因此仍需要切换到./demoCA的上级目录。
cd CA_PATH #CA_PATH为demoCA的上级目录,因为配置文件中CA默认的私钥路径是./demoCA/private/cakey.pem,所以一定要在该目录执行命令,否则会报错 openssl ca -in ./demoUser/userkey.pem -out ./demoUser/user.crt
httpd的https配置
经过以上两步的操作,我们拿到了用户证书user.crt和用户密钥userkey.pem,接下来就要在httpd的配置文件中配置https。(1)确认ssl模块(mod_ssl.so)开启
(2)设置https相应的虚拟端口配置,默认为443端口
配置代码如下:
<VirtualHost *:443> ServerName www.example.com DocumentRoot /www/example.com/htdocs SSLengine on SSLProtocol all -SSLv3 SSLcertificatefile USER_CRT_PATH/user.crt SSLcertificatekeyfile USER_KEY_PATH/user.key </VirtualHost>
(3)重启httpd即可
相关文章推荐
- HTTPS静态服务搭建过程详解
- HTTPS静态服务搭建过程详解
- LNMP系统服务搭建过程详解
- LNMP系统服务搭建过程详解
- 微信小程序语音识别服务搭建全过程解析(https api开放,支持新接口mp3录音、老接口silk录音)
- LAMP 系统服务搭建过程详解
- 微信小程序语音识别服务搭建全过程解析(内附免费的供小程序语音识别的https服务)
- LAMP 系统服务搭建过程详解
- LNMP系统服务搭建过程详解
- LAMP 系统服务搭建过程详解
- LAMP架构系统服务搭建过程详解
- linux监控服务平台搭建过程详解
- RHEL6.3 NFS服务搭建过程详解
- http服务详解(1)——一次完整的http服务请求处理过程
- MacOS下,搭建tomcat的https服务
- Openssl:构建CA的过程并实现web服务基于https访问的网络架构
- 搭建基于https和Parse的后端服务
- Memcached集群/分布式/高可用 及 Magent缓存代理搭建过程 详解
- HTTPS协议详解(四):TLS/SSL握手过程