代码改变世界

HTTPS静态服务搭建过程详解

2017-09-13 20:54 by Young Dreamer, ... 阅读, ... 评论, 收藏, 编辑

HTTPS服务对于一个前端开发者来说是一个天天打招呼的老伙计了,但是之前我跟HTTPS打交道的场景一直是抓包,自己没有亲自搭建过HTTPS服务,对HTTPS的底层知识也是一知半解。最近正好遇到一个用户场景,页面需要调起手机的摄像头,这就要求页面服务必须是HTTPS的,所以就尝试搭建了HTTPS的静态服务,过程挺曲折的,所以总结一下分享给大家,希望能给看过本文的朋友一点帮助,提高工作效率。

本文主要讲三个点:HTTPS基本原理证书的获取httpd的https配置

HTTPS基本原理

HTTPS = HTTP + TSL(transport layer security)在应用层和传输层之间添加了一个会话层,会话层采用SSL协议,完成数据的加密、身份认证、数据完整性校验。如下图所示:

要完成以上功能,TLS的连接在TCP连接的基础之上,需要增加握手次数,如下图所示:

新增的往返过程可以简单根据下图示意理解。

总结一下,HTTPS使用的过程中,主要是需要一个认证中心签名的证书,用该证书证明服务端返回的公钥是可信的,然后用该公钥加密浏览器端生成的对称密钥,服务端用自己私钥解密得到浏览器发送的对称密钥,然后浏览器和服务端通过对称密码进行加密通信。因此,搭建HTTPS服务首先要从认证中心申请到签名证书。

证书的获取

证书的获取过程是:向证书认证中心—CA提出申请,在CA判明申请者的身份后,为其分配一个公钥,然后CA将该公钥与申请者的身份信息绑在一起,然后用CA的私钥为其加密签名,签名后颁发给申请者。证书中的内容是用户公钥、用户信息、颁发机构、有效期等。分配的公钥可以通过证书请求中的用户私钥来获取。用户想要鉴别证书的真伪,只能用CA的公钥对证书上的签字进行验证。下图是证书获取过程的示意图:

由于正规的证书申请,CA机构是要收费的,所以测试过程中我们需要自建CA来颁发证书。

1.自建CA

利用openssl包可以创建CA,前提是需要openssl.conf的要求,创建自建CA所需的文件和目录,具体可以参见相关文章。这里主要指出几个必要的文件和目录:

new_certs_dir = $dir/newcerts # 新证书存放位置
private_key = $dir/private/cakey.pem #CA私钥
database = $dir/index.txt #证书索引数据库文件
serial = $dir/serial 颁发证书的序列号

(1)创建CA私钥

cd CA_PATH  #CA_PATH为demoCA的上级目录,因为配置文件中CA默认的私钥路径是./demoCA/private/cakey.pem,所以一定要在该目录执行命令,否则会报错
openssl genrsa -out ./demoCA/private/cakey.pem 2048

(2)创建CA证书申请

openssl req -new -in .demoCA/private/cakey.pem -days 365 -out .demoCA/cacsr.pem

申请的过程中需要输入用户信息,如Country Name,Organization Name,Email Address等,注意自己填写的信息。

(3)创建自签证书

openssl ca -selfsign -in careq.pem -out ./demoCA/cacert.crt

 

2. 用户申请证书

在任意机器或路径下创建用户私钥

(1)创建用户私钥

openssl genrsa -out userkey.pem 2048

(2)创建用户证书申请

openssl req -new -in userkey.pem -days 365 -out usercsr.pem

(3)CA签名

需要CA签名的话,就需要将用户申请文件usercsr.pem拷贝到CA所在的机器上,现在把用户的文件放置在与demoCA同级的demoUser目录中。CA默认的私钥路径是./demoCA/private/cakey.pem,因此仍需要切换到./demoCA的上级目录。

cd CA_PATH  #CA_PATH为demoCA的上级目录,因为配置文件中CA默认的私钥路径是./demoCA/private/cakey.pem,所以一定要在该目录执行命令,否则会报错
openssl ca -in ./demoUser/userkey.pem -out ./demoUser/user.crt

httpd的https配置

经过以上两步的操作,我们拿到了用户证书user.crt和用户密钥userkey.pem,接下来就要在httpd的配置文件中配置https。

(1)确认ssl模块(mod_ssl.so)开启
(2)设置https相应的虚拟端口配置,默认为443端口
配置代码如下:
<VirtualHost *:443>
        ServerName www.example.com
        DocumentRoot /www/example.com/htdocs
        SSLengine on
        SSLProtocol all -SSLv3
        SSLcertificatefile USER_CRT_PATH/user.crt
        SSLcertificatekeyfile USER_KEY_PATH/user.key
</VirtualHost>
(3)重启httpd即可