openssl
在配置nginx中的https证书中，偶然对ssl证书进行了一些了解，这里简单记录下
1.对称加密和非对称加密
对称加密：
速度快，最简单的加密方式，加密和解密都是运用同一个密钥，缺点在通讯时代中，在不安全的网络传输用密钥容易被窃取，监听。非对称加密：
加密使用的是一对密钥，一个公钥，一个私钥；私钥在一方安全保管，不可对外泄漏，而公钥可以发送给任何人，用公钥进行加密，私钥进行解密。缺点这种不对称加密耗时
2.加密通讯原理与过程
1.作用
- 若不使用SSL/TLS的HTTP通讯，就是不加密通讯，即明文传输，存在三大风险
（1） 窃听风险（eavesdropping）：第三方可以获知通信内容。
（2） 篡改风险（tampering）：第三方可以修改通信内容。
（3） 冒充风险（pretending）：第三方可以冒充他人身份参与通信。
- SSL/TLS协议是为了解决这三大风险而设计的，希望达到：
（1） 所有信息都是加密传播，第三方无法窃听。
（2） 具有校验机制，一旦被篡改，通信双方会立刻发现。
（3） 配备身份证书，防止身份被冒充。
2.基本运行过程
SSL/TLS协议的基本思路是采用公钥加密法，也就是说，客户端先向服务器端索要公钥，然后用公钥加密信息，服务器收到密文后，用自己的私钥解密。
但是，这里有两个问题。
（1）如何保证公钥不被篡改？
解决方法：将公钥放在数字证书中。只要证书是可信的，公钥就是可信的。
（2）公钥加密计算量太大，如何减少耗用的时间？
解决方法：每一次对话（session），客户端和服务器端都生成一个”对话密钥”（session key），用它来加密信息。由于”对话密钥”是对称加密，所以运算速度非常快，而服务器公钥只用于加密”对话密钥”本身，这样就减少了加密运算的消耗时间。
所以SSL/TLS建立连接的详细过程如下：
1.客户端请求：
首先，客户端（通常是浏览器）先向服务器发出加密通信的请求，这被叫做ClientHello请求。
在这一步，客户端主要向服务器提供以下信息：
（1） 支持的协议版本，比如TLS 1.0版。
（2） 一个客户端生成的随机数，稍后用于生成”对话密钥”。
（3） 支持的加密方法，比如RSA公钥加密。
（4） 支持的压缩方法。
2.服务器回应：
服务器收到客户端请求后，向客户端发出回应，这叫做SeverHello。
服务器的回应包含以下内容：
（1） 确认使用的加密通信协议版本。如果浏览器与服务器支持的版本不一致，服务器关闭加密通信。
（2） 一个服务器生成的随机数，稍后用于生成”对话密钥”。
（3） 确认使用的加密方法，比如RSA公钥加密。
（4） 服务器证书。
3.客户端回应：
若客户端收到回应后，发现服务器给的证书是不可信机构，或书中的域名与实际域名不一致、或者证书已经过期，就会向访问者显示一个警告，由其选择是否还要继续通信。
如果证书没有问题，客户端就会从证书中取出服务器的公钥。然后，向服务器发送下面三项信息。
（1） 一个随机数。该随机数用服务器公钥加密，防止被窃听。
（2） 编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（3） 客户端握手结束通知，表示客户端的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供服务器校验。
4.服务端回应：
服务器收到客户端的第三个随机数之后，计算生成本次会话所用的”会话密钥”。然后，向客户端最后发送下面信息。
（1）编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（2）服务器握手结束通知，表示服务器的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供客户端校验。
到此，整个https握手就结束，接下来就是客户端和服务端的加密通讯。
3.openssl的使用及证书的生成
KEY 通常指私钥。
CSR 是Certificate Signing Request的缩写，即证书签名请求，这不是证书，可以简单理解成公钥，生成证书时要把这个提交给权威的证书颁发机构。
CRT 即 certificate的缩写，即证书。
X.509 是一种证书格式.对X.509证书来说，认证者总是CA或由CA指定的人，一份X.509证书是一些标准字段的集合，这些字段包含有关用户或设备及其相应公钥的信息。
X.509的证书文件，一般以.crt结尾，根据该文件的内容编码格式，可以分为以下二种格式：
PEM - Privacy Enhanced Mail,打开看文本格式,以”—–BEGIN…”开头, “—–END…”结尾,内容是BASE64编码.
Apache和*NIX服务器偏向于使用这种编码格式.DER - Distinguished Encoding Rules,打开看是二进制格式,不可读.Java和Windows服务器偏向于使用这种编码格式
给自己颁发证书
1.生成私钥KEY
这一步执行完以后，cert目录下会生成server.key文件
2.生成证书请求文件CSR
要注意的是Common Name这里，要填写成使用SSL证书(即：https协议)的域名或主机名
- 生成CA的证书(可以用来帮助人家用自己的key签名)1openssl req -new -x509 -key server.key -out ca.crt -days 3650
前面提过X.509证书的认证者总是CA或由CA指定的人，所以得先生成一个CA的证书
- 最后用第3步的CA证书给自己颁发一个证书玩玩123openssl x509 -req -days 3650 -in server.csr \-CA ca.crt -CAkey server.key \-CAcreateserial -out server.crt
server.crt就是我们需要的证书。当然，如果要在google等浏览器显示出安全的绿锁标志，自己颁发的证书肯定不好使，得花钱向第三方权威证书颁发机构申请(即：第4步是交给权威机构来做，我们只需要提交server.key、server.csr，当然现在也有免费的，只是有效期可能比较短)
查看证书信息
|
|