概要说明

在证书申请签发过程中，客户端涉及到密钥、证书请求、证书这几个概念，客户端（相对于CA）在申请证书的时候，大体上有三个步骤：

  1. 生成客户端的密钥，即客户端的公私钥对，且要保证私钥只有客户端自己拥有。
  2. 以客户端的密钥和客户端自身的信息(国家、机构、域名、邮箱等)为输入，生成证书请求文件。其中客户端的公钥和客户端信息是明文保存在证书请求文件中的，而客户端私钥的作用是对客户端公钥及客户端信息做签名，自身是不包含在证书请求中的。然后把证书请求文件发送给CA机构。
  3. CA机构接收到客户端的证书请求文件后，首先校验其签名，然后审核客户端的信息，最后CA机构使用自己的私钥为证书请求文件签名，生成证书文件，下发给客户端。此证书就是客户端的身份证，来表明用户的身份。至此客户端申请证书流程结束，其中涉及到证书签发机构CA，CA是被绝对信任的机构。如果把客户端证书比作用户身份证，那么CA就是颁发身份证的机构，

证书流程

为了数据传输安全，越来越多的网站启用https。在https握手阶段，服务器首先把自己的证书发送给用户(浏览器)，浏览器查看证书中的发证机构，然后在机器内置的证书中（在PC或者手机上，内置了世界上著名的CA机构的证书）查找对应CA证书，然后使用内置的证书公钥校验服务器的证书真伪。如果校验失败，浏览器会提示服务器证书有问题，询问用户是否继续。

单向认证流程

  1. 客户端发起建立HTTPS连接请求，将SSL协议版本的信息发送给服务器端；
  2. 服务器端将本机的公钥证书（server.crt）发送给客户端；
  3. 客户端读取公钥证书(server.crt)，取出了服务端公钥；
  4. 客户端生成一个随机数（密钥R），用刚才得到的服务器公钥去加密这个随机数形成密文，发送给服务端；
  5. 服务端用自己的私钥(server.key)去解密这个密文，得到了密钥R
  6. 服务端和客户端在后续通讯过程中就使用这个密钥R进行通信了。

双向认证流程

  1. 客户端发起建立HTTPS连接请求，将SSL协议版本的信息发送给服务端；
  2. 服务器端将本机的公钥证书(server.crt)发送给客户端；
  3. 客户端读取公钥证书(server.crt)，取出了服务端公钥；
  4. 客户端将客户端公钥证书(client.crt)发送给服务器端；
  5. 服务器端解密客户端公钥证书，拿到客户端公钥；
  6. 客户端发送自己支持的加密方案给服务器端；
  7. 服务器端根据自己和客户端的能力，选择一个双方都能接受的加密方案，使用客户端的公钥加密后发送给客户端；
  8. 客户端使用自己的私钥解密加密方案，生成一个随机数R，使用服务器公钥加密后传给服务器端；
  9. 服务端用自己的私钥去解密这个密文，得到了密钥R
  10. 服务端和客户端在后续通讯过程中就使用这个密钥R进行通信了。

本地证书

在开发过程中，经常要在本地进行Https测试，我们可以使用openssl生成一个本地证书。

首先生成一个req.cnf文件，内容如下：

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = MyCountry
[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = DNS:localhost

然后使用下面命令生成我们的签名就可以了：

openssl req -newkey rsa:2048 -x509 -nodes -keyout localhost.key -new -out localhost.cert -config req.cnf -sha256 -days 365

req 证书请求

-newkey rsa:2048 生成一个2048位长度的RSA私钥文件，用于签发

-x509 509证书

-keyout 私钥文件名称

-new 生成证书请求

-out 公钥文件名称

-nodes 私钥不加密

-sha256 HASH算法

-config 配置文件

-days 有效期

0
本文为原创文章，转载请注明出处，欢迎访问作者网站（和而不同）

发表评论

error: Content is protected !!