PKI - 借助Nginx 实现Https 服务端单向认证、服务端客户端双向认证

文章目录

  • Openssl
  • 操系统默认的CA证书的公钥位置
  • Nginx Https 自签证书
    • 1. 生成自签名证书和私钥
    • 2. 配置 Nginx 使用 HTTPS
    • 3. 重启 Nginx 服务
    • 4. 直接访问
    • 5. 不验证证书直接访问
    • 6. 使用server.crt作为ca证书验证服务端
      • 解决方法1：使用 --resolve 参数进行请求域名解析
      • 解决方法2：修改客户端的 hosts 文件
    • 7. curl 验证服务端时 不指定证书路径
  • Nginx Https 使用CA签发证书
  • 客户端使用自签证书供服务端验证
  • 客户端使用 根证书 签发客户端证书 供服务端验证

在这里插入图片描述

Openssl

https://www.openssl.net.cn/

openssl是一个功能丰富且自包含的开源安全工具箱。

它提供的主要功能有：

  • SSL协议实现(包括SSLv2、SSLv3和TLSv1)
  • 大量软算法(对称/非对称/摘要)
  • 大数运算
  • 非对称算法密钥生成
  • ASN.1编解码库
  • 证书请求(PKCS10)编解码
  • 数字证书编解码
  • CRL编解码
  • OCSP协议
  • 数字证书验证
  • PKCS7标准实现
  • PKCS12个人数字证书格式实现等功能

openssl采用C语言作为开发语言，这使得它具有优秀的跨平台性能。openssl支持Linux、UNIX、windows、Mac等平台。openssl目前最新的版本是0.9.8e.

操系统默认的CA证书的公钥位置

centos 下 被信任的证书在此文件中

/etc/pki/t1s/certs/ca-bunde.crt

在这里插入图片描述

Nginx Https 自签证书

创建和配置 Nginx 使用 HTTPS 自签名证书的步骤如下：

1. 生成自签名证书和私钥

在这里插入图片描述

openssl genrsa -out server.key 2048

  • 该命令生成一个 RSA 密钥对，并将私钥保存到 server.key 文件中。参数 2048 指定了密钥长度为 2048 位。

openssl req -x509 -new -nodes -key server.key -subj "/CN=artisan.com" -days 10000 -out server.crt

  • 这个命令生成一个自签名的 X.509 证书。解释如下：
    • -x509：表示生成自签名证书。
    • -new：创建一个新的证书请求。
    • -nodes：不加密生成的私钥。
    • -key server.key：指定使用之前生成的私钥文件 server.key。
    • -subj "/CN=yandun.com"：指定证书的主题（Subject）。在这里，/CN=yandun.com 表示通用名称（Common Name）为 yandun.com。
    • -days 10000：指定证书的有效期为 10000 天。
    • -out server.crt：将生成的证书保存到 server.crt 文件中。

openssl x509 -in server.crt -noout -text

  • 该命令用于查看生成的证书的详细信息，包括主题、颁发者、有效期等。解释如下：
    • -in server.crt：指定要查看的证书文件。
    • -noout：不打印证书内容到标准输出。
    • -text：以文本形式显示证书内容。

这些命令可以用来生成自签名的证书并查看证书的详细信息。

在这里插入图片描述

Issuer 和 Subject 是同一个机构， 说明是自签证书。

CA： TRUE 说明它是一个CA签发结构。

2. 配置 Nginx 使用 HTTPS

编辑 Nginx 的配置文件（通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/default），并确保以下配置项已经添加或更新：

 server {..........ss1 on;ss1_certificate /cert/server.crt;ss1_certificate_key /cert/server.key;# 暂不开启#ss1_client_certificate /cert/client.crt;#ssI_verify_client on;ss1_session_cache shared:ssL:1m;ss1_session_timeout 10m;ss1_ciphers HIGH:!aNULL:!MD5;ss1_prefer_server_ciphers on; ..........}

每个指令的含义如下：

  1. ss1 on;：

    • 启用 SSL/TLS 加密。这表示流模块将使用 SSL/TLS 加密来保护与客户端的通信。

  2. ss1_certificate /cert/server.crt;：

    • 指定用于 SSL/TLS 加密的服务器证书文件路径。在这里，/cert/server.crt 是服务器证书的路径。

  3. ss1_certificate_key /cert/server.key;：

    • 指定用于 SSL/TLS 加密的服务器私钥文件路径。在这里，/cert/server.key 是服务器私钥的路径。

  4. #ss1_client_certificate /cert/client.crt;：

    • 用于指定客户端证书的文件路径。这是可选的，如果您希望服务器验证客户端的证书，则取消注释并指定客户端证书的路径。

  5. #ss1_verify_client on;：

    • 用于指定是否验证客户端证书。取消注释并设置为 on 可以启用客户端证书验证。

  6. ss1_session_cache shared:ssL:1m;：

    • 指定用于缓存 SSL/TLS 会话的共享内存区域名称和大小。在这里，会话缓存名称为 ssL，大小为 1MB。

  7. ss1_session_timeout 10m;：

    • 指定 SSL/TLS 会话的超时时间。在这里，会话超时时间为 10 分钟。

  8. ss1_ciphers HIGH:!aNULL:!MD5;：

    • 指定 SSL/TLS 加密算法的优先级和允许使用的加密套件。在这里，使用了 HIGH 表示使用高强度加密算法，同时禁用了一些不安全的加密套件，如 NULL 和 MD5。

  9. ss1_prefer_server_ciphers on;：

    • 指定是否优先使用服务器端提供的加密套件。设置为 on 表示优先使用服务器端提供的加密套件。

这些指令配置了 Nginx 流模块的 SSL/TLS 加密功能，包括了服务器证书、私钥、会话缓存等参数。

3. 重启 Nginx 服务

完成配置后，通过以下命令重启 Nginx 服务，以使更改生效：

sudo systemctl restart nginx

现在，Nginx 应该已经配置为使用自签名证书进行 HTTPS 加密通信。请确保防火墙已正确配置以允许流量通过 HTTPS 端口（默认为 443）。

4. 直接访问

在这里插入图片描述

我们可以看到 开启了Https以后，直接使用http的方式访问是行不通的

curl: (60) Peer's certificate issuer has been marked as not trusted by the user
More details here: http;//curl.haxx.se/docs/sslcerts.html

通过web访问 会弹出警告信息

在这里插入图片描述

5. 不验证证书直接访问

If you'd like to turn off curl's verification of the certificate, use
the -k (or --insecure)  option.

curl  https://192.168.3.103 -k

可以通过在 curl 命令中添加 -k 或 --insecure 选项来关闭 curl 对证书的验证，从而允许直接访问未经验证的 HTTPS 网站。这样做会绕过证书验证过程，可能会存在安全风险，因此建议仅在测试或特殊情况下使用。

可以使用的命令：

curl https://192.168.3.103 -k

这个命令将直接访问 https://192.168.3.103，而不会验证服务器证书的有效性。

请注意，使用 -k 选项会将连接置于不安全的状态，因为它不验证服务器证书的真实性，可能容易受到中间人攻击。因此，在生产环境中应避免使用此选项，以确保通信的安全性。

6. 使用server.crt作为ca证书验证服务端

cur https://192.168.3.103  --cacert /cert/server.crt

在这里插入图片描述

curl: (51) Unable to communicate securely with peer: requested domain name does not match  the server's certificate.

证书绑定的域名和当前请求域名不匹配

解决方法1：使用 --resolve 参数进行请求域名解析

cur1 https://artisan.com --cacert /cert/server.crt artisan.com:443:192.168.3.103

可以使用 curl 命令的 --resolve 参数来指定域名解析，将请求的域名解析为服务器的 IP 地址。这样，即使请求的域名与服务器证书绑定的域名不匹配，也能够建立连接。

这种方法只适用于测试或特殊情况，因为它绕过了域名验证的重要步骤，存在一定的安全风险。

解决方法2：修改客户端的 hosts 文件

让客户端解析 artisan.com 为 ip 192.168.3.103

echo  "192.168.3.103 artisan.com' >> /etc/hosts

将服务器的域名解析为服务器的 IP 地址，以确保请求的域名与服务器证书绑定的域名匹配。通过编辑客户端的 hosts 文件来实现，将域名解析为正确的 IP 地址。

这种方法更安全，因为它保留了域名验证的重要性，并且不会绕过任何安全检查。

7. curl 验证服务端时 不指定证书路径

cat /cert/server.crt >> /etc/pki/tls/certs/ca-bundle.crt

curl   https://artisan.com

会报错，curl: (7) Failed connect to artisan.com:443; Connection refused

可以采用如下命令

curl   https://artisan.com  --resolve artisan.com:443:192.168.3.103

在这个命令序列中， 将服务器证书 server.crt 的内容附加到根证书存储库 /etc/pki/tls/certs/ca-bundle.crt 中，然后使用 curl 命令来访问 https://artisan.com 网站。

首先尝试将服务器证书 server.crt 的内容追加到系统的根证书存储库中，然后使用 curl 命令来访问 https://artisan.com。然而，遇到了连接被拒绝的错误。

使用 --resolve 参数来模拟 DNS 解析，将 artisan.com 解析为 IP 地址 192.168.3.103。这样做可以绕过 DNS 解析，并直接将域名与 IP 地址对应，从而解决了连接被拒绝的问题。

curl https://artisan.com --resolve artisan.com:443:192.168.3.103

这个命令中的 --resolve artisan.com:443:192.168.3.103 参数指示 curl 使用指定的 IP 地址来访问 artisan.com，而不是通过 DNS 解析。

这种方法适用于在本地测试环境中模拟特定域名与 IP 地址的关联，但在生产环境中应避免使用，因为它绕过了域名解析的安全检查。

Nginx Https 使用CA签发证书

PKI - 借助Nginx 实现Https_使用CA签发证书

客户端使用自签证书供服务端验证

PKI - 借助Nginx实现_客户端使用自签证书供服务端验证

客户端使用 根证书 签发客户端证书 供服务端验证

PKI - 借助Nginx实现_客户端使用CA根证书签发客户端证书

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/258047.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

备战蓝桥杯---搜索（完结篇）

备战蓝桥杯---搜索（完结篇）

再看一道不完全是搜索的题&#xff1a; 解法1&#xff1a;贪心并查集&#xff1a; 把冲突事件从大到小排&#xff0c;判断是否两个在同一集合&#xff0c;在的话就返回&#xff0c;不在的话就合并。 下面是AC代码&#xff1a; #include<bits/stdc.h> using namespace …
阅读更多...
LabVIEW荧光显微镜下微管运动仿真系统开发

LabVIEW荧光显微镜下微管运动仿真系统开发

LabVIEW荧光显微镜下微管运动仿真系统开发 在生物医学研究中&#xff0c;对微管运动的观察和分析至关重要。介绍了一个基于LabVIEW的仿真系统&#xff0c;模拟荧光显微镜下微管的运动过程。该系统提供了一个高效、可靠的工具&#xff0c;用于研究微管与运动蛋白&#xff08;如…
阅读更多...
网络安全的今年：量子、生成人工智能以及 LLM 和密码

网络安全的今年：量子、生成人工智能以及 LLM 和密码

尽管世界总是难以预测&#xff0c;但网络安全的几个强劲趋势表明未来几个月的发展充满希望和令人担忧。有一点是肯定的&#xff1a;2024 年将是非常重要且有趣的一年。 近年来&#xff0c;人工智能&#xff08;AI&#xff09;以令人难以置信的速度发展&#xff0c;其在网络安全…
阅读更多...
Spring Boot 笔记 019 创建接口_文件上传

Spring Boot 笔记 019 创建接口_文件上传

1.1 创建阿里OSS bucket OSS Java SDK 兼容性和示例代码_对象存储(OSS)-阿里云帮助中心 (aliyun.com) 1.2 编写工具类 package com.geji.utils;import com.aliyun.oss.ClientException; import com.aliyun.oss.OSS; import com.aliyun.oss.OSSClientBuilder; import com.aliyun…
阅读更多...
深度学习基础之《深度学习介绍》

深度学习基础之《深度学习介绍》

一、深度学习与机器学习的区别 1、特征提取方面 机器学习&#xff1a;人工特征提取 分类算法 深度学习&#xff1a;没有人工特征提取&#xff0c;直接将特征值传进去 &#xff08;1&#xff09;机器学习的特征工程步骤是要靠手工完成的&#xff0c;而且需要大量领域专业知识…
阅读更多...
Android之Android.bp文件格式语法(一百八十六)

Android之Android.bp文件格式语法(一百八十六)

简介&#xff1a; CSDN博客专家&#xff0c;专注Android/Linux系统&#xff0c;分享多mic语音方案、音视频、编解码等技术&#xff0c;与大家一起成长&#xff01; 优质专栏&#xff1a;Audio工程师进阶系列【原创干货持续更新中……】&#x1f680; 优质专栏&#xff1a;多媒…
阅读更多...
LabVIEW高效电磁阀性能测试

LabVIEW高效电磁阀性能测试

LabVIEW高效电磁阀性能测试 在核电站的安全运营中&#xff0c;电磁阀作为关键组件&#xff0c;其性能的可靠性至关重要。设计一套基于LabVIEW的电磁阀测试平台&#xff0c;既能精准测试电磁阀的多项性能指标&#xff0c;又能提高检修效率与准确性&#xff0c;进而保障核电站的…
阅读更多...
关于内存相关的梳理

关于内存相关的梳理

1 关键字 总结 &#xff08;lowmemory&#xff0c;anr in&#xff09; 2 知识储备 虚拟机原理 垃圾回收算法 又包含标记 和清除两种算法 标记&#xff1a;程序计数器-已过时&#xff0c;可达性分析 具体可见 http://help.eclipse.org/luna/index.jsp?topic%2Forg.ec…
阅读更多...
消息中间件：Puslar、Kafka、RabbigMQ、ActiveMQ

消息中间件：Puslar、Kafka、RabbigMQ、ActiveMQ

消息队列 消息队列&#xff1a;它主要用来暂存生产者生产的消息&#xff0c;供后续其他消费者来消费。 它的功能主要有两个&#xff1a; 暂存&#xff08;存储&#xff09;队列&#xff08;有序&#xff1a;先进先出 从目前互联网应用中使用消息队列的场景来看&#xff0c;…
阅读更多...
SpringCloud第一天

SpringCloud第一天

1.认识微服务 随着互联网行业的发展&#xff0c;对服务的要求也越来越高&#xff0c;服务架构也从单体架构逐渐演变为现在流行的微服务架构。这些架构之间有怎样的差别呢&#xff1f; 1.1.单体架构 单体架构&#xff1a;将业务的所有功能集中在一个项目中开发&#xff0c;打…
阅读更多...
四、案例 - Oracle数据迁移至MySQL

四、案例 - Oracle数据迁移至MySQL

Oracle数据迁移至MySQL 一、生成测试数据表和数据1.在Oracle创建数据表和数据2.在MySQL创建数据表 二、生成模板文件1.模板文件内容2.模板文件参数详解2.1 全局设置2.2 数据读取&#xff08;Reader&#xff09;2.3 数据写入&#xff08;Writer&#xff09;2.4 性能设置 三、案例…
阅读更多...
qt “美颜”

qt “美颜”

要想成为一名优秀的qt工程师 学会使用qss编程也是重要的 不可获缺的一部分 qss 简介和优势 QSS&#xff08;Qt Style Sheets&#xff09;是一种用于定义Qt应用程序界面外观和样式的样式表语言。它类似于CSS&#xff08;层叠样式表&#xff09;&#xff0c;但针对Qt框架进行了定…
阅读更多...
高仿原神官网UI 纯html源码

高仿原神官网UI 纯html源码

高仿原神官网UI源码介绍 如果您希望打造一个与原神官方网站相似的外观和用户体验&#xff0c;但又不想使用复杂的框架或模板&#xff0c;那么我们的高仿原神官网UI源码将是一个完美的选择。它采用纯HTML5构建&#xff0c;无需任何额外的CSS或JavaScript库支持&#xff0c;即可…
阅读更多...
（三十五）大数据实战——Superset可视化平台搭建

（三十五）大数据实战——Superset可视化平台搭建

前言 本节内容是关于Apache Superset可视化平台的搭建&#xff0c;Apache Superset是一个现代的数据探索和可视化平台 。它功能强大且十分易用&#xff0c;可对接各种数据源&#xff0c;包括很多现代的大数据分析引擎&#xff0c;拥有丰富的图表展示形式&#xff0c;并且支持自…
阅读更多...
Flutter Android开发 梳理Google Material Design颜色体系

Flutter Android开发 梳理Google Material Design颜色体系

前言 做安卓开发&#xff08;Kotlin语言&#xff09;&#xff0c;Flutter开发的人员应该都听说过谷歌一直推崇的Material Design&#xff0c;而Material Design Color是其推崇的颜色体系&#xff0c;具体来说&#xff0c;Material Design Color是一套旨在帮助设计师和开发者创…
阅读更多...
计算机网络——12DNS

计算机网络——12DNS

DNS DNS的必要性 IP地址标识主机、路由器但IP地址不好记忆&#xff0c;不便于人类用使用&#xff08;没有意义&#xff09;人类一般倾向于使用一些有意义的字符串来标识Internet上的设备存在着“字符串”——IP地址的转换的必要性人类用户提供要访问机器的“字符串”名称由DN…
阅读更多...
基于微信小程序的校园失物招领小程序

基于微信小程序的校园失物招领小程序

博主介绍&#xff1a;✌程序员徐师兄、7年大厂程序员经历。全网粉丝12w、csdn博客专家、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和毕业项目实战✌ &#x1f345;文末获取源码联系&#x1f345; &#x1f447;&#x1f3fb; 精彩专栏推荐订阅&#x1f447;…
阅读更多...
【光学】学习记录1-几何光学的近轴理论

【光学】学习记录1-几何光学的近轴理论

课程来源&#xff1a;b站资源-光学-中科大-崔宏滨老师&#xff08;感谢&#xff09;&#xff0c;本系列仅为自学笔记 【光学 中科大 崔宏滨老师 1080p高清修复&#xff08;全集&#xff09;】https://www.bilibili.com/video/BV1NG4y1C7T9?p2&vd_source7ba37b2cff2a1b783…
阅读更多...
Python一些可能用的到的函数系列124 GlobalFunc

Python一些可能用的到的函数系列124 GlobalFunc

说明 GlobalFunc是算网的下一代核心数据处理基础。 算网是一个分布式网络&#xff0c;为了能够实现真的分布式计算&#xff08;加快大规模任务执行效率&#xff09;&#xff0c;以及能够在很长的时间内维护不同版本的计算方法&#xff0c;需要这样一个对象/服务来支撑。Globa…
阅读更多...
【闲谈】开源软件的崛起与影响

【闲谈】开源软件的崛起与影响

随着信息技术的快速发展&#xff0c;开源软件已经成为软件开发的趋势&#xff0c;并产生了深远的影响。开源软件的低成本、可协作性和透明度等特点&#xff0c;使得越来越多的企业和个人选择使用开源软件&#xff0c;促进了软件行业的繁荣。然而&#xff0c;在使用开源软件的过…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023