2020课程设计（基于gmssl的CA系统构建及应用）
一、任务详述
1.了解gmssl中的命令，描述支持的选项、场景和参数，制作成文档；
2.使用OpenSSL搭建CA，颁发证书、签名验签、模拟用户和颁发机构，查看证书等等；
3.制作网站，通过https访问。
二、任务理解
（一）在Ubuntu虚拟机下安装gmssl，在提示下并理解使用gmssl分工完成文档；
（二）搭建CA
搭建CA具体步骤：
1. 建立根CARoot CA(自己给自己颁发证书)
1）生成私钥文件
#(umask 077;openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)
2）生成自签名证书 (CA要有证书)
#openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out/etc/pki/CA/cacert.pem -days 3650
//req:申请；-x509:自签名
//查看证书内容 openssl x509 -in cacert.pem -noout -text
//图形方式 sz cacert.pem 改后缀crt
2.用户服务器申请证书，CA服务器颁发证书
1）生成私钥
#(umask 077;openssl genrsa -out app.key 1024)
2）生成证书申请文件
#openssl req -new -key app.key -out app.csr
3）将申请文件发给CA
#scp app.csr 172.21.109.25:/etc/pki/CA
3.CA颁发证书--用自己的私钥签名
#touch index.txt //这个文件会自动更新
#echo 0F > serial //下一个要颁发的证书的编号
#openssl ca -in app.csr -out certs/app.crt-days 100
4.证书发送客户端
#scp certs/app.crt 172.21.111.1:/data
5.在应用软件中使用证书
1）做一个加密的网站，自签名证书，首先安装一个模块mod_ssl
yum install mod_ssl
安装了这个模块，会生成/etc/httpd/conf.d/ssl.conf这个配置文件
2）配置这个配置文件
在/etc/httpd/conf.d/ssl.conf配置文件指定新的证书路径，私钥文件和上级CA证书的证书路径
vim /etc/httpd/conf.d/ssl.conf
3）配置完之后然后重新启动http服务
service httpd restart
3）ss -ntl 查看有没有443端口
4）用https来访问网站，安装证书
（三）制作网站，通过https访问
自建CA证书
首先建立myCA目录用于存放自建CA的相关信息：
cd && mkdir -p myCA/signedcerts && mkdir myCA/private && cd myCA
myCA用于存放 CA 根证书，证书数据库，以及后续服务器生成的证书，密钥以及请求。
signedcerts保存签名证书的 copy，private包含私钥。
之后配置myCA相关参数，在myCA目录下进行：
echo '01'>serial && touch index.txt
然后创建 caconfig.cnf 文件（自建CA的配置文件）：
vim ~/myCA/caconfig.cnf
caconfig.cnf文件内容如下：
# My sample caconfig.cnf file.
#
# Default configuration to use when one is not provided on the command line.
#
[ ca ]
default_ca = local_ca
#
#
# Default location of directories and files needed to generate certificates.
#
[ local_ca ]
dir = /home/<username>/myCA
certificate = $dir/cacert.pem
database = $dir/index.txt
new_certs_dir = $dir/signedcerts
private_key = $dir/private/cakey.pem
serial = $dir/serial
#
#
# Default expiration and encryption policies for certificates.
#
default_crl_days = 365
default_days = 1825
default_md = SHA256
#
policy = local_ca_policy
x509_extensions = local_ca_extensions
#
#
# Default policy to use when generating server certificates. The following
# fields must be defined in the server certificate.
#
[ local_ca_policy ]
commonName = supplied
stateOrProvinceName = supplied
countryName = supplied
emailAddress = supplied
organizationName = supplied
organizationalUnitName = supplied
#
#
# x509 extensions to use when generating server certificates.
#
[ local_ca_extensions ]
subjectAltName = DNS:localhost
basicConstraints = CA:false
nsCertType = server
#
#
# The default root certificate generation policy.
#
[ req ]
default_bits = 2048
default_keyfile = /home/<username>/myCA/private/cakey.pem
default_md = SHA256
#
prompt = no
distinguished_name = root_ca_distinguished_name
x509_extensions = root_ca_extensions
#
#
# Root Certificate Authority distinguished name. Change these fields to match
# your local environment!
#
[ root_ca_distinguished_name ]
commonName = MyOwn Root Certificate Authority # CA机构名
stateOrProvinceName = JS # CA所在省份
countryName = CN # CA所在国家（仅限2个字符）
emailAddress = XXXX@XXX.com # 邮箱
organizationName = XXX #
organizationalUnitName = XXX #
#
[ root_ca_extensions ]
basicConstraints = CA:true
其中dir和default_keyfile的路径需要改成自己的username
生成 CA 根证书和密钥：
export OPENSSL_CONF=~/myCA/caconfig.cnf #该命令用于给环境变量 OPENSSL_CONF 赋值为caconfig.cnf。
openssl req -x509 -newkey rsa:2048 -out cacert.pem -outform PEM -days 1825 # 生成 CA 根证书和密钥
该步骤需要用户设置一个密码，请牢记。
以上步骤生成了 CA 自签名根证书，和 RSA 公/私密钥对，证书的格式是 PEM，有效期是1825天。
/myCA/cacert.pem: CA 根证书
/myCA/private/cakey.pem： CA 私钥
生成服务器配置文件exampleserver.cnf：
vim ~/myCA/exampleserver.cnf
exampleserver.cnf文件内容如下：
#
# exampleserver.cnf
#
[ req ]
prompt = no
distinguished_name = server_distinguished_name
[ server_distinguished_name ]
commonName = localhost # 服务器域名
stateOrProvinceName = JS # 服务器所在省份
countryName = CN # 服务器所在国家（仅限2个字符）
emailAddress = XXXX@XXX.com # 邮箱
organizationName = XXX #
organizationalUnitName = XXX #
生成服务器证书和密钥：
export OPENSSL_CONF=~/myCA/exampleserver.cnf # 该命令设置环境变量 OPENSSL_CONF，使得 openssl 更换配置文件。
openssl req -newkey rsa:1024 -keyout tempkey.pem -keyform PEM -out tempreq.pem -outform PEM
同样的，需要设置密码。
之后，有2种对临时密钥的操作，选择其一即可：
1.将临时私钥转换为 unencrypted key，即密钥不加密状态：
penssl rsa -in tempkey.pem -out server_key.pem
需要输入密码短语。
2.如果希望将 key 保持为加密状态，直接改名：
mv tempkey.pem server_key.pem
两者的区别是，第二种需要在服务器启动时输入私钥的密码，否则会导致服务器启动失败，但第二种安全性高于第一种，可以更好的保护密钥。
使用 CA key 对服务器证书签名：
export OPENSSL_CONF=~/myCA/caconfig.cnf
openssl ca -in tempreq.pem -out server_crt.pem
删除临时证书和密钥：
rm -f tempkey.pem && rm -f tempreq.pem
现在，自签名的服务器证书和密钥对便产生了：
server_crt.pem : 服务器证书文件
server_key.pem : 服务器密钥文件
以下通过LAMP搭建一个网站进行验证
配置httpd(Apache)
第一步：安装Apache服务程序(apache服务的软件包名称叫做httpd)
yum install httpd -y
第二步： 将Apache服务添加到开机自启中
systemctl start httpd
systemctl enable httpd
第三步：打开浏览器 测试 127.0.0.1，可以看到默认主页
httpd主要目录：
服务目录：/etc/httpd
主配置目录：/etc/httpd/conf/httpd.conf
网站数据目录：/var/www/html
访问日志：/var/log/httpd/access_log
错误日志：/var/log/httpd/error_log
配置php
1、安装源
安装php需要配置额外的yum源，否则会报错不能找到相关软件包。
php高版本的yum源地址，有两部分，其中一部分是epel-release，另外一部分来自webtatic，如果跳过epel-release安装webtatic的时候会有错误。
安装需要的命令是：
rpm -Uvh https://dl.Fedoraproject.org/pub/epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
rpm -Uvh https://mirror.webtatic.com/yum/el7/webtatic-release.rpm
也可以选择下面的这个命令，是一样的效果：
yum install epel-release -y
rpm -Uvh https://mirror.webtatic.com/yum/el7/webtatic-release.rpm
2、清除历史版本
为了防止系统上面发生php冲突，所以，这个命令还是先执行一下更好些：
yum -y remove php*
3、安装扩展包
事实上，这里面的对应扩展库很多，一定要注意的有cli和fpm这两个包，其它的相关包看需要：
yum -y install php72w php72w-cli php72w-fpm php72w-common php72w-devel php72w-mysql
由于后面要用MySQL，所以mysql包也是需要的。
配置MySQL
为了需要，还是要在系统中安装MySQL，而且安装完成之后可以直接覆盖掉MariaDB。
网络环境允许的话直接安装：
wget -i -c http://dev.mysql.com/get/mysql57-community-release-el7-10.noarch.rpm
yum -y install mysql57-community-release-el7-10.noarch.rpm
yum -y install mysql-community-server
mysql-community-server较大如果下载很慢，可以到国内镜像源下载：
http://mirrors.ustc.edu.cn/mysql-ftp/Downloads/
下载后解压到图中文件目录下：
注意文件权限，再安装：
yum -y install mysql57-community-release-el7-10.noarch.rpm
yum -y install mysql-community-server
mysql有初始默认密码，使用以下命令查找：
grep "password" /var/log/mysqld.log
输入初始密码，此时不能做任何事情，因为MySQL默认必须修改密码之后才能操作数据库。
修改密码：
mysql -uroot -p
ALTER USER 'root'@'localhost' IDENTIFIED BY '新密码';
新密码设置的时候如果设置的过于简单会报错， 原因是因为MySQL有密码设置的规范，具体是与validate_password_policy的值有关，可以先尝试大小写加下划线的长密码。
MySQL完整的初始密码规则查看
SHOW VARIABLES LIKE 'validate_password%';
可以通过如下命令修改：
mysql> set global validate_password.policy=0;
mysql> set global validate_password.length=1;
之后可以重新设置简单密码。
配置SSL
ssl需要以下模块：
修改ssl.conf：
cd /etc/httpd/conf.d
sudo vim ssl.conf
修改DocumentRoot到自己的网页目录，并更改证书密钥来源为自建CA：
网页配置
将需要的网站文件夹复制到/var/www/html/目录下
修改/etc/httpd/conf/httpd.conf文件中的网站文件名：
创建自己网站需要的数据库：
create database myzoo;
use myzoo;
create table Person(PersonID int primary key auto_increment, Password varchar(100),Salt varchar(100),Username varchar(100),Token varchar(100),Zoobars int default 10, Profile varchar(5000));
重启httpd查看当前网页：
setenforce 0
sudo systemctl restart httpd
先关闭selinux，不然会报错，服务启动前会验证之前设置的证书密码（网站的那个，不是CA的）。
目前是普通的http连接，因为并没有将自建CA导入浏览器。
浏览器导入证书
由于网站的证书是自建CA签名的，浏览器并不信任，所以需要手动导入CA证书。
以chrome为例：设置->高级->隐私设置和安全性->管理证书
可以查看证书详细信息和导入自建CA证书
因为之前配置网站证书时设置的域名是localhost，所以需要通过localhost域名进行https连接，不能使用127.0.0.1。
地址栏访问状态出现一把绿色的锁，成功搭建https。
三、任务分配
1.我们组共有22条gmssl需要去注解，standard commands 有9条，每人3条，Message Digest commands 有3条，每人1条，Cipher commands有10条，3 3 4分工；
2.CA搭建，分别查找资料，合作对比，得到最佳方案；
3.网站制作，一人制作合适的网页，两人合作完成CA以及其他环境的配置浏览器导入证书。
四、任务的进度安排
1.第一周进行小组讨论，完成任务的理解和初步分工
进行前期资料的搜集，在虚拟机上按照gmssl，基本掌握gmssl的使用方法，和对gmssl命令初步进行注解；
2.第二周完成gmssl命令的研究，提交研究成果
对CA搭建进行尝试，完成颁发证书、签名验签等基本功能；
3.第三周完成OpenSSL搭建的CA，能够模拟用户，查看证书，实现预期功能
准备好网站制作的电脑环境，使用java或者python完成网站的前期制作，利用web知识美化网页；
4.第四周进行CA颁发证书，完成ssl、网页和浏览器的配置，达到安全可靠的访问
