CA认证原理以及实现（下）

最新推荐文章于 2024-09-02 10:02:49 发布
最新推荐文章于 2024-09-02 10:02:49 发布
阅读量4.4k 收藏 5
点赞数
分类专栏： 他山之石
  • 在上述的文章后了解到原理之后，我们这篇文章来进行CA的搭建。

OPEN SSL 环境搭建
在基础原理中我们提到了两种认证服务，单项认证服务和双向认证服务，我们就以双向认证服务举例说明。
OpenSSL是一个开放源代码软件包，实现了SSL以及相关加密技术，是最常用的证书管理工具，OpenSSL功能远胜于KeyTool，可用于根证书(KeyTool不含有，因此KeyTool没有办法作为CA)、服务器证书、客户证书的管理。
在OpenSSL官网下载:http:www.openssl.org/source/下载最新的源码，官网还提供了windows版的二进制发行版地址：http://www.slproweb.com/products/Win32OpenSSL.html
 1、 准备工作
 选择适合自己操作系统的版本进行下载后，安装操作与普通软件一样，没有什么区别
 设置环境变量：

 

打开配置文件openssl.cfg(%OpenSSL_Home%\bin\openssl.cfg)，找到配置[CA_default]：

上述变量dir，它指向的是CA工作目录，可以对其进行修改

2、 创建bat文件
整个bat文件的创建过程我们可以把它想象成这样一种场景：
高考结束，教育局来颁发毕业证书给各个学校，各个学校在把证书发给学生，具体步骤如下：
1) 教育局先有空白证书了
2) 教育局又有自己的公章
3) 让各个学校可以拥有毕业证发放申请
4) 对空白的毕业证盖上了教育局的公章，并可以交给已经申请的学校
5) 申请的学校拿到了盖有教育局的毕业证后，准备对其盖上自己的公章
6) 学校在教育局已经盖上教育局公章的毕业证上又盖上了自己学校的公章
7) 准备把毕业证发给学校申请毕业的学生们
8) 申请毕业的学生拿取自己的学生证和身份证准备领取毕业证
9) 来到学校教务处，填写单据申请学校发放毕业证
10) 教育局已经转交学校来发放毕业证，此时学校把毕业证发放给申请学生
11) 学生认为盖有教育局的公章和学校的公章的毕业证是有效的

 

上述步骤，都可以在下面的bat文件中找到相应的地方：

Xml代码 复制代码 收藏代码
  1. //构建ca子目录(证书创建时，用到下述目录,最终在certs目录中获得证书文件)   
  2. echo 构建已发型证书存放目录 certs   
  3. mkdir certs   
  4. echo 构建新证书存放目录 newcerts   
  5. mkdir newcerts   
  6. echo 构建私钥存放目录 private   
  7. mkdir private   
  8. echo 构建证书吊销列表存放目录 crl   
  9. mkdir cr1    
  10. //构建相关文件，完成后可以进行证书的构建和签发工作   
  11. echo 构建索引文件 index.txt   
  12. echo 0>index.txt   
  13. echo 构建序列号文件 serial   
  14. echo 01>serial   
  15.       //构建根证书    
  16. echo 构建随机数 private/.rand   
  17. openssl rand -out private/.rand 1000   
  18. //构建根证书私钥   
  19. echo 构建根证书私钥 private/ca.key.pem   
  20. openssl genrsa -aes256 -out private/ca.key.pem 2048   
  21. //完成密钥构建操作后，需要生成根证书签发申请文件ca.csr   
  22. //生成根证书签发申请   
  23. echo 生成根证书签发申请 private/ca.csr   
  24. openssl req -new -key private/ca.key.pem -out private/ca.csr -subj "/C=CN/ST=HUBEI/L=WUHAN/O=YALE/OU=YALE/CN=*.qiujinyong.org"   
  25. //执行完后此处又要输入根证书密码   
  26. //得到根证书签发申请文件后，可以将其发送给CA机构签发，也可以自行签发根证书   
  27. echo 签发根证书 private/ca.cer     
  28. openssl x509 -req -days 1000 -sha1 -extensions v3_ca -signkey private/ca.key.pem -in private/ca.csr -out certs/ca.cer   
  29. //执行完后此处又要输入根证书密码   
  30. echo 根证书转换 private/ca.p12   
  31. openssl pkcs12 -export -cacerts -inkey private/ca.key.pem -in certs/ca.cer -out certs/ca.p12   
  32. //执行完后此处又要输入根证书密码   
  33. //构建服务器证书   
  34. echo 构建服务器私钥 private/server.key.pem   
  35. openssl genrsa -aes256 -out private/server.key.pem 2048   
  36. //服务器证书签发申请   
  37. echo 生成服务器证书签发申请 private/server.csr   
  38. openssl req -new -key private/server.key.pem -out private/server.csr -subj "/C=CN/ST=HUBEI/L=WUHAN/O=YALE/OU=YALE/CN=www.qiujinyong.com"   
  39. //执行完后此处又要输入根证书密码   
  40. //根证书签发服务器证书    
  41. echo 签发服务器证书 private/server.cer   
  42. openssl x509 -req -days 3650 -sha1 -extensions v3_req -CA certs/ca.cer -CAkey private/ca.key.pem -CAserial ca.srl -CAcreateserial -in private/server.csr -out certs/server.cer   
  43. //执行完后此处又要输入根证书密码   
  44. //将OpenSSL产生的数字证书转换为PKCS#12编码格式   
  45. echo 服务器证书转换 private/server.p12   
  46. openssl pkcs12 -export -clcerts -inkey private/server.key.pem -in certs/server.cer -out certs/server.p12   
  47. //执行完后此处又要输入根证书密码   
  48. //构建客户证书   
  49. echo 产生客户私钥 private/client.key.pem   
  50. openssl genrsa -aes256 -out private/client.key.pem 2048   
  51. //执行完后此处又要输入根证书密码   
  52. //产生客户证书签发申请   
  53. echo 生成客户证书签发申请 client.csr   
  54. openssl req -new -key private/client.key.pem -out private/client.csr -subj "/C=CN/ST=HUBEI/L=WUHAN/O=YALE/OU=YALE/CN=qiujinyong"   
  55. //执行完后此处又要输入根证书密码   
  56. //根证书签发客户证书   
  57. echo 签发客户证书 certs/client.cer   
  58. openssl  x509 -req -days 3650 -sha1 -extensions v3_req -CA  certs/ca.cer  -CAkey  private/ca.key.pem  -CAserial ca.srl -CAcreateserial -in private/client.csr -out  certs/client.cer   
  59. //执行完后此处又要输入根证书密码   
  60. //将获得客户证书转换JAVA语言可以识别的PKCS#12编码格式   
  61. echo 客户证书转换 certs/client.p12   
  62. openssl pkcs12 -export -inkey private/client.key.pem -in certs/client.cer -out certs/client.p12   
  63. //完成了双向认证的所需的全部证书  

 

3、 文件生成
通过上述语句我们生成了以下几个“一级”文件以及文件夹：

 

Certs文件夹下又生成了：

 

Private文件夹下又生成了：

 

4、 证书导入
我们使用ca.p12、server.p12、client.p12个人信息交换文件构建双向认证，在验证操作之前，我们先导入ca.p12、client.p12文件

ca.p12文件是ca根证书的个人信息交换文件:
双击”ca.p12”或者点击在浏览器"工具"->"internet选项"->"内容"中的"证书"->"导入"



点击“下一步”后，“浏览”按钮时，指定个人信息交换文件格式(*.p12;*.pfx), 选择“ca.p12的所在位置”：

 

 

输入私钥的密码：

 

选择“将所有的证书放入下列存储”:

 

点击“浏览”，选择“受信任的根证书颁发机构”:

 

 

 

点击“下一步”，然后点击“完成”

导入”client.p12”文件：
导入clinet.p12文件的方式和ca.p12文件方式基本相似，只是在证书存储时，选择“个人”:

 

 

5、 服务器配置
将”ca.p12”、”server.p12”文件复制到tomcat的conf目录下：

同时，需要在windows系统下通过ie导入ca.p12和client.p12文件：

 

 

我们在tomcat的server.xml文件中配置双向认证：

Xml代码 复制代码 收藏代码
  1. <Connector port="443" maxHttpHeaderSize="8192"  
  2.           maxThreads="150" minSpareThreads="25" maxSpareThreads="75"  
  3.    sslProtocol="TLS" keystoreFile="conf/server.p12"     
  4.    keystorePass="123456" keystoreType="PKCS12"                                
  5.           truststoreFile="conf/ca.p12" acceptCount="100" scheme="https" secure="true"  
  6.           sslEnabled="true" clientAuth="true" truststorePass="123456" truststoreType="PKCS12"/>  

 这里的密钥库文件参数keystoreFile指向server.p12文件,密钥库密码参数keystorePass值为”123456”，密钥库类型参数keystoreType值为”PKCS12”，因为双向认证服务区分信任库文件和密钥库文件，此时，server.p12文件将作为密钥库文件，而ca.p12文件则作为信任库文件，因此，信任库文件参数truststoreFile指向ca.p12文件，信任库密码参数truststorePass值为”123456”，信任库类型参数truststoreType值为“pkcs12”，clientAuth的值为”true”，这是打开双向认证的关键一步，port默认为8443，现在修改为443，这样就省去我们在地址栏中输入端口号。


 

效果展现

 输入我们证书绑定的网站，https打头：

 

 

 查看给该网站颁发的证书的属性：

 

点击授予权限：

 

如果我们是自己创建的根证书没有通过CA验证的话，那么会在地址栏中看到相关信息，如下图：

 


点击继续浏览, 虽然我们连接的是本地服务器，但仍然会感到有些延时，这是因为浏览器访问CA机构验证该证书，并初始化加密/解密等信息：

 

 上述我们看到“证书错误”，就是因为我们的根证书并没有得到CA的认证

 

我们如果加上验证的代码后：

Java代码 复制代码 收藏代码
  1. for(Enumeration en = request.getAttributeNames();   
  2.      en.hasMoreElements();){   
  3.      String name = (String)en.nextElement();   
  4.      out.println(name);   
  5.      out.println(" = " + request.getAttribute(name));   
  6.      out.println();   
  7. }  
    for(Enumeration en = request.getAttributeNames();
         en.hasMoreElements();){
         String name = (String)en.nextElement();
         out.println(name);
         out.println(" = " + request.getAttribute(name));
         out.println();
    }

 

可以看到如下结果：


上述有些相关属性解释：
javax.servlet.request.ssl_session：当前SSL/TLS协议的会话ID
java.servlet.request.key_size:当前加密算法所使用的密钥长度
javax.servlet.request.cipher_suite:当前SSL /TLS协议所使用的加密套件(比如上述：使用的TLS协议，RSA的非对称加密算法，AES的对称加密算法，同时是128的，SHA的消息摘要算法，CBC的工作模式，，，一般使用非对称加密算法对数据进行加密/解密操作的效率相当低，而使用对称加密算法进行加密/解密的效率相当高，合理的解决办法是使用非对称加密算法传递对称加密算法的密钥，使用对称加密算法对数据加密)
javax.servlet.request.X509Certificate:指向客户证书列表

卢健
关注
专栏目录
CA认证原理及CFSSL证书生成工具的使用
nsydgs的博客
08-10 1231
CA认证原理及CFSSL证书生成工具的使用
CA双向认证完整实现步骤（附java客户端代码）
热门推荐
程序员涂小哥的技术博客
03-18 2万+
一、基础概念 注：以下概念除专业名词外，均为个人理解，不具备权威性。 1、什么是系统安全管理 置于公网的系统，通常都需要一定的安全管理，据我个人理解，这里的安全管理主要分三个方面： 一是应用内的权限控制，比如具体应用的用户名、密码等； 二是应用数据传输过程中的安全机制，例如各种报文的加解密方案； 三是数据传输前的通讯安全机制，保证通讯双方都是可靠可信任的，PKI就是其中一个解决方案。 2、什么是P......
CA证书工作原理
weixin_67623483的博客
08-11 3589
CA证书怎么工作的
CA证书说明与使用
最新发布
qq_54089476的博客
09-02 2339
对于私钥/公钥的文件后缀有时候用 key/crt，有时候用 pem，其实这不重要，重要的是文件中的内容格式。主要功能为：证书发放、证书更新、证书撤销和证书验证。生成CA证书之后可以直接部署在服务器上，也可以通过下面的步骤，用CA证书签署服务器公钥生成服务器证书，然后部署到服务器上。2、CA机构对请求文件进行身份确认，邮箱、第三方数据库、当面认证和身份确认等，根据身份认证等级来划分不同的认证方式。通过openssl生成证书，需要生成CA密钥对和CA证书，而第三方CA机构颁发只需要提供一个请求文件即可。
CA认证原理以及实现（上）
y.a.l.e
09-10 3957
原理基础数字证书为发布公钥提供了一种简便的途径，其数字证书则成为加密算法以及公钥的载体，依靠数字证书，我们可以构建一个简单的加密网络应用平台，数字证书就好比我们生活中的身份证，现实中，身份证由公安机关签发，而网络用户的身份凭证由数字证书颁发认证机构—CA签发，只有经过CA签发的证书在网络中才具备可认证性，CA并不是一个单纯的防御手段，它集合了多种密码学算法：消息摘要算法：MD5、和SHA（对数字证...
数字证书原理[转载]
weixin_30343157的博客
09-26 3430
文中首先解释了加密解密的一些基础知识和概念，然后通过一个加密通信过程的例子说明了加密算法的作用，以及数字证书的出现所起的作用。接着对数字证书做一个详细的解释，并讨论一下windows中数字证书的管理，最后演示使用makecert生成数字证书。如果发现文中有错误的地方，或者有什么地方说得不够清楚，欢迎指出！ 1、基础知识 这部分内容主要解释一些概念和术语，最好是先理解这部分内容。 ...
CA认证原理
honglei225的专栏
09-22 7690
  CA认证原理.                                                                            作者：未知  
CA认证在Visual C++下的密钥生成实现
资源摘要信息:"在IT行业中，CA认证和key-gen密钥生成都是十分重要的安全机制，尤其是在Visual C++开发环境中。CA认证是数字证书认证中心的简称，它为网络通信提供身份认证服务，确保通信双方的身份真实性。在Visual ...
F.rar_CA认证
09-23
这个压缩包很可能是为了介绍或实现RSA大数据算法在CA认证过程中的应用。 RSA是一种非对称加密算法，由Ron Rivest、Adi Shamir和Leonard Adleman在1977年提出，是目前最广泛使用的公钥加密技术之一。它的核心原理是...
linux下搭建CA认证服务器并认证服务.doc
12-08
在Linux环境下搭建一个自定义的CA认证服务器不仅可以帮助我们更好地理解PKI（Public Key Infrastructure，公钥基础设施）的工作原理，还能为内部网络环境提供一种高效且经济的认证机制。本文将详细介绍如何在Linux...
CA数字证书原理及应用介绍.pptx
02-16
本文主要介绍CA数字证书的基本原理和关键技术，以及数字证书的相关机构以及应用，结合实际案例分析CA数字证书的组成，涉及的非对称密码等关键技术。适合对数字证书、数字签名加密感兴趣的同学。
CA数字证书原理、算法、应用领域
10-18
快速了解数字证书技术，快速掌握签名加密原理。图文并茂。
CA电子认证服务系统源代码.zip
04-04
CA电子认证服务系统是用于确保网络通信安全的...这些源代码对于理解和学习CA系统的工作原理，以及自定义和扩展认证服务非常有价值。开发者可以通过深入研究源代码，了解如何实现一个符合国际标准的电子认证服务系统。
CA认证的原理和流程以及https完整通信过程
Moments
04-13 9987
故事引入——什么是CA证书 看过一些博客，写的比较形象具体。 ◇ 普通的介绍信 想必大伙儿都听说过介绍信的例子吧？假设 A 公司的张三先生要到 B 公司去拜访，但是 B 公司的所有人都不认识他，他咋办捏？常用的办法是带公司开的一张介绍信，在信中说：兹有张三先生前往贵公司办理业务，请给予接洽…云云。然后在信上敲上A公司的公章。 张三先生到了 B 公司后，把介绍信递给 B 公司的前台李四小姐。李小姐一看介绍信上有 A 公司的公章，而且 A 公司是经常和 B 公司有业务往来的，这位李小姐就相信张先生不是歹人了。
CA认证与HTTPs原理介绍
永远是少年
12-12 2658
今天继续给大家介绍Linux运维相关知识，本文主要内容是CA认证与HTTPs原理知识。 一、https与ssl 二、证书与CA 三、申请证书过程 、用户访问网页过程
CA认证原理与演化过程
b15735105314的博客
03-12 623
1、基础知识 这部分内容主要解释一些概念和术语，最好是先理解这部分内容。 1.1、公钥密码体制(public-key cryptography) 公钥密码体制分为三个部分，公钥、私钥、加密解密算法，它的加密解密过程如下： 加密：通过加密算法和公钥对内容(或者说明文)进行加密，得到密文。加密过程需要用到公钥。 解密：通过解密算法和私钥对密文进行解密，得到明文。解密过程需要用到解...
CA认证的原理和流程及https原理
cheems404的博客
11-25 162
CA认证的原理和流程及https原理 - BruceLong - 博客园 (cnblogs.com)
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值