php实现https(tls/ssl)双向认证

IT超级码农

keep clam and carry on

php实现https(tls/ssl)双向认证

php实现https(tls/ssl)双向认证

通常情况下，在部署https的时候，是基于ssl单向认证的，也就是说只要客户端认证服务器，而服务器不需要认证客户端。

但在一些安全性较高的场景，如银行，金融等领域，通常会要求进行客户端认证。从而实现ssl的双向认证。

由于nginx的ssl_client_certificate参数只能指定一个客户端公钥，如果增加一个客户端进行通信就要重新配一个server。
n:1的模式是通过CA的级联证书模式实现的，首先自己生成一套CA根级证书，再借助其生成二级证书作为client证书。
此时client私钥签名不仅可以通过对应的client公钥验证，还可通过根证书的公钥进行验证。

看到这里应该豁然开朗了吧，下面简单介绍下具体怎么操作：

1 准备工作

1.1 openssl目录准备

一般情况下openssl的配置文件都在这个目录/etc/pki/tls，so：

mkdir /etc/pki/ca_linvo
cd /etc/pki/ca_linvo
mkdir root server client newcerts
echo 01 > serial
echo 01 > crlnumber
touch index.txt

1.2 openssl配置准备

修改openssl配置

vi /etc/pki/tls/openssl.cnf

找到这句注释掉，替换为下面那句

#default_ca      = CA_default
default_ca      = CA_linvo

把[ CA_default ]整个部分拷贝一份，改成上面的名字[ CA_linvo ]
修改里面的如下参数：

dir = /etc/pki/ca_linvo
certificate = $dir/root/ca.crt
private_key = $dir/root/ca.key

保存退出

2 创建CA根级证书

生成key：openssl genrsa -out /etc/pki/ca_linvo/