生成证书文件
1.为服务器端和客户端准备公钥、私钥
生成服务器端私钥
sh openssl genrsa -des3 -out server.key 2048
-des3代表加上了加密,后面的2048是代表生成的密钥的位数,1024已经不是很安全生成服务器端公钥
sh openssl rsa -in server.key -pubout -out server.pem
生成客户端私钥
sh openssl genrsa -des3 -out client.key 2048
生成客户端公钥
sh openssl rsa -in client.key -pubout -out client.pem
1.生成 CA 机构证书
生成 CA 私钥
sh openssl genrsa -des3 -out ca.key 2048
生成证书请求
sh # X.509 Certificate Signing Request (CSR) Management. openssl req -new -key ca.key -out ca.csr
使用私钥为证书请求签名,生成给服务器签署的证书,格式是x509的PEM格式
sh # X.509 Certificate Data Management. openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt -outform pem -days 3650 #-outform pem指定证书生成的格式,默认是pem,所以这个命令也可以写作成 #-days 3650 指10年有效 #也可以 openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt
生成服务器端证书
服务端向CA生成证书请求
sh # 服务器端需要向 CA 机构申请签名证书,在申请签名证书之前依然是创建自己的 CSR 文件 openssl req -new -key server.key -out server.csr # 向自己的 CA 机构申请证书,签名过程需要 CA 的证书和私钥参与,最终颁发一个带有 CA 签名的证书 openssl x509 -req -CA ca.crt -CAkey ca.key -CAcreateserial -in server.csr -out server.crt
生成cer文件
sh #使用openssl 进行转换 openssl x509 -in server.crt -out server.cer -outform der
简述 HTTPS 的运作
主要过程:
- 1.客户端生成一个随机数 random-client ,传到服务器端(Say Hello)
- 2.服务器端生成一个随机数 random-server ,和着公钥,一起回馈给客户端(I got it)
- 3.客户端收到的东西原封不动,加上 premaster secret (通过 random-client、 random-server 经过一定算法生成的东西),再一次送给服务器端,这次传过去的东西会使用公钥加密
- 4.服务器端先使用私钥解密,拿到 premaster secret ,此时客户端和服务器端都拥有了三个要素: random-client 、 random-server 和 premaster secret
- 5.安全通道已经建立,以后的交流都会校检上面的三个要素通过算法算出的session key