SSL认证

所谓的 SSL/TLS 认证是加密的公钥认证，它由一个公用密钥和私用密钥组成。证书用来认证终端和加密数据的。例如，用在 web 服务器(https)或者邮件服务器(imaps)。 ### 步骤 - 我们需要一个证书颁发机构来签署我们的证书。这一步通常由供应商提供，如 Thawte、Verisign等。不过，我们也可以创建我们自己的。 - 创建一个证书签发申请(signing request)。这个申请需要一个已经包含所有必需的信息的未签署证书(公共部分)。该证书申请通常发送到认证供应商去签署。这一步同样也在本地机器上创建了私钥。 - 证书颁发机构签署证书。 - 如果有需要，加入证书和密钥到单个文件来给应用程序使用(web 服务器、邮件服务器等）。 ### 配置 OpenSSL 我们使用 /usr/local/certs 作为这个例子的目录或者根据你的设置相应的编辑 /etc/ssl/openssl.cnf 文件，因此你知道文件将创建在哪里。以下是 openssl.cnf 的相关部分： [ CA_default ] dir             = /usr/local/certs/CA       # 保存所有信息的文件夹 certs           = $dir/certs                # 已生成证书的默认保存目录 crl_dir         = $dir/crl                  # 生成的证书撤销列表(CRL)的默认保存目录 database        = $dir/index.txt            # 保存已签发证书的文本数据库文件 确保所有目录已经创建 # mkdir -p /usr/local/certs/CA # cd /usr/local/certs/CA # mkdir certs crl newcerts private # echo "01" > serial                        # 仅当 serial 不存在时 # touch index.txt ### 创建一个认证授权 如果你没有来自供应商的认证授权，你必须创建你自己的。如果打算去供应商签署申请，那么这个步骤不是必须的。创建认证授权 (CA)： # openssl req -new -x509 -days 730 -config /etc/ssl/openssl.cnf \ -keyout CA/private/cakey.pem -out CA/cacert.pem ### 创建证书签发申请 要创建一个新证书(比如给邮件服务器或 web 服务器)，首先用其私钥创建证书申请。如果你的应用程序不支持加密的私钥(比如 UW-IMAP 就不支持)，那么就用 `-nodes` 来禁用加密。 # openssl req -new -keyout newkey.pem -out newreq.pem \ -config /etc/ssl/openssl.cnf # openssl req -nodes -new -keyout newkey.pem -out newreq.pem \ -config /etc/ssl/openssl.cnf                # 不对这个密钥加密 ### 签署证书 该证书申请由 CA 签发确认，这个步骤通常由供应商完成。_注意：在下面命令中替换 "servername" 成你的服务器名称_。 # cat newreq.pem newkey.pem > new.pem # openssl ca -policy policy_anything -out servernamecert.pem \ -config /etc/ssl/openssl.cnf -infiles new.pem # mv newkey.pem servernamekey.pem 现在，servernamekey.pem 就是私钥，servernamecert.pem 就为服务器的证书。 ### 创建联合认证(united certificate) IMAP 服务器想要私钥和服务器证书在同一个文件中。通常，这还是比较容易处理的，但是该文件要保证安全! Apache 也可以处理好它。创建一个包含证书和密钥的文件 servername.pem 。 - 用文本编辑器打开私钥文件(servernamekey.pem)，并拷贝私钥到 "servername.pem" 文件中去。 - 服务器证书(servernamecert.pem)也做同样的动作。 最后 servername.pem 文件应该看起来像这样： -----BEGIN RSA PRIVATE KEY----- MIICXQIBAAKBgQDutWy+o/XZ/[...]qK5LqQgT3c9dU6fcR+WuSs6aejdEDDqBRQ -----END RSA PRIVATE KEY----- -----BEGIN CERTIFICATE----- MIIERzCCA7CgAwIBAgIBBDANB[...]iG9w0BAQQFADCBxTELMAkGA1UEBhMCREUx -----END CERTIFICATE----- 现在我们的 /usr/local/certs/ 目录中有了这些； - CA/private/cakey.pem _(CA 服务器私钥)_ - CA/cacert.pem _(CA 服务器公钥)_ - certs/servernamekey.pem _(服务器私钥)_ - certs/servernamecert.pem _(服务器已签署的证书)_ - certs/servername.pem _(私钥和服务器证书)_ 要保证私钥的安全! ### 查看证书信息 要查看证书信息，只要这么做： # openssl x509 -text -in servernamecert.pem      # 显示证书信息 # openssl req -noout -text -in server.csr        # 显示申请信息 # openssl s_client -connect cb.vu:443            # 检查 web 服务器认证信息