Django个人博客搭建教程---理解HTTPS及配置Django+HTTPS开发环境

一、前言

HTTP

众所周知HTTP协议是以TCP协议为基石诞生的一个用于传输Web内容的一个网络协议,在“网络分层模型”中属于“应用层协议”的一种.那么在这里我们并不研究该协议标准本身,而是从安全角度去探究使用该协议传输数据本身存在的安全问题:(1)、通信使用明文(不加密),内容可能被窃听;(2)、不验证通信方的身份,因此可能遭遇伪装;(3)、无法证明报文的完整行,所以可能被篡改.

为了解决HTTP协议存在的安全性问题,上世纪90年代由网景(NetScape)公司设计了SSL(Secure Sockets Layer)协议——“安全套接层”协议.经过多年发展SSL在互联网上广泛应用,标准化后名称改为TLS(Transport Layer Security)——“传输层安全”协议.

HTTPS

所谓的HTTPS即是“HTTP+SSL/TLS”的结合使用而已.解决的是HTTP协议数据传输的安全性问题——在HTTP协议层和TCP传输层之间加入“安全层”,使得应用层数据报经过加密后再传输,保证数据在传输过程中的完整性.

那么,SSL/TLS在数据传输过程中是如何实现加密保证数据完整性的呢?在此,我们需要再进一步探讨该协议的加密逻辑.

加密算法有两种,分别是“对称加密”和“非对称加密”.

二、对称加密

关于“对称加密”,可以理解成一种“互逆”的数学运算(对比单向加密它是一种可逆的加密算法).也就是说有加密,就可以解密,但是不管是加密还是解密的过程中,必须有一个至关重要的称之为“密钥”的东西参与运算.

所谓对称加密，客户端和服务器共用同一个密钥，意味着客户端要想通过密钥加密，必须由服务器传输密钥到客户端，如果密钥被第三方截获，那么客户端和服务器的通信就会完全暴露。

三、非对称加密 

所谓的“非对称加密”就是加密和解密使用的密钥是不同的,双端通信各自产生公钥和私钥匙,并交换双端的公钥用于通信加密.如下图所示,当服务器把公钥交给客户端,客户端在通信时使用公钥对数据进行加密处理,即使公钥在传输过程中遭遇第三方拦截,由于解密的密钥始终存储在服务端并不会对外公开,所以拦截方仅用一个公钥是无法解密数据的.

首先客户端向服务器请求公钥，服务器将公钥发送给客户端，然后客户端使用公钥加密数据发送到服务器，最后服务器使用私钥解密。

一切看起来都很完美，但是问题在于，客户端如何判断这个服务器发来的公钥是“自己人”呢？

作为窃听者,在拦截服务器响应给客户端的公钥后,伪造服务端身份,给客户端响应窃听者的公钥.此后客户端使用窃听者的公钥加密数据,窃听者在拦截数据消息后,利用自己的私钥进行解密,得到明文数据后篡改数据,然后在使用服务器公钥加密数据和服务器通信.整个通信的过程中,客户端都无法察觉自己通信的对端到底是窃听者还是服务器。

 如此,客户端就必须对“公钥”做验证,确定该公钥确实是来自合法的服务器后,才能够保证双端通信的安全性。

四、CA认证机制

这里需要引入第三方机构: 证书颁发机构(CA, Certificate Authority)即颁发数字证书的机构.是负责发放和管理数字证书的权威机构,作为电子商务交易中受信任的第三方,承担公钥体系中公钥合法性检验的责任.

CA中心会为每个使用公钥的用户发放一个数字证书,数字证书的作用是证明证书中列出的用户公钥的合法性.CA机构的数字签名使得攻击者无法伪造和篡改证书.换句话说,证书无法篡改,只要证书是有效且合法的,那么证书中的公钥就是有效且合法的!

服务器将公钥提供给CA机构,CA机构使用自己的私钥将服务器公钥加密后将CA证书(该证书保存有服务器公钥)返回给服务器.一般操作系统或者浏览器中都会内置CA根证书.当客户端(比如浏览器)请求服务器时,服务器会将CA证书提供给客户端,客户端获取到CA证书后会使用CA根证书进行本地验证(验证通过即表明服务器CA证书的合法性,间接表明公钥来源的合法性).

五、Django本地开启HTTPS服务（Mac系统）

1、安装依赖

# pip3 install pyOpenSSL 
# pip3 install django-werkzeug-debugger-runserver
# pip3 install django-extensions
pip3 install django-sslserver

2、settings.py

INSTALLED_APPS = [
    ......
    #'werkzeug_debugger_runserver',
    #'django_extensions',
    'sslserver'
    ......
]

3、mac系统安装openssl

brew install openssl

4、生成key

//生成key
openssl genrsa -des3 -out rootCA.key 2048

Generating RSA private key, 2048 bit long modulus
..................................................+++
.......................................................................................................................+++
e is 65537 (0x10001)
Enter pass phrase for rootCA.key:
Verifying - Enter pass phrase for fd.key:

这一步系统将提示您输入密码，每次使用此特定密钥生成证书时都需要输入该密码。

5、创建证书 CSR 请求 

//创建证书 CSR 请求
openssl req -new -key rootCA.key -out rootCA.csr

Arithmetic@qingjiajiadeMBP certs % openssl req -new -key rootCA.key -out rootCA.csr
Enter pass phrase for rootCA.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:CN
State or Province Name (full name) []:JiangSu
Locality Name (eg, city) []:NanJing
Organization Name (eg, company) []:NJUPT.Ltd
Organizational Unit Name (eg, section) []:NJUPT.Ltd
Common Name (eg, fully qualified host name) []:NJUPT CA
Email Address []:1524126437@qq.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:

6、根据csr和公钥生成证书

//根据csr和公钥生成证书
openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt

Arithmetic@qingjiajiadeMBP certs % openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
Signature ok
subject=/C=CN/ST=JiangSu/L=NanJing/O=NJUPT.Ltd/OU=NJUPT.Ltd/CN=NJUPT CA/emailAddress=1524126437@qq.com
Getting Private key
Enter pass phrase for rootCA.key:

7、使用生成的密钥来创建新的根SSL证书。并将其保存为rootCA.pem。证书有效期为10年。在这一过程中，还将被提示输入其他可选信息。

//使用生成的密钥来创建新的根SSL证书。并将其保存为rootCA.pem。证书有效期为10年。在这一过程中，还将被提示输入其他可选信息。
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.pem

Arithmetic@qingjiajiadeMBP certs % openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.pem
Enter pass phrase for rootCA.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:CN
State or Province Name (full name) []:JiangSu
Locality Name (eg, city) []:NanJing
Organization Name (eg, company) []:NJUPT.Ltd
Organizational Unit Name (eg, section) []:NJUPT.Ltd
Common Name (eg, fully qualified host name) []:NJUPT CA
Email Address []:1524126437@qq.com

 

8、mac os钥匙串添加证书信任

钥匙串把rootCA.pem，rootCA.crt都添加证书，选择始终信任，输入密码即可

 

9、在项目中使用命令行启动sslserver

python3 manage.py runsslserver --certificate /usr/local/etc/openssl/certs/rootCA.crt --key /usr/local/etc/openssl/certs/rootCA.key

10、效果如下

由于是自签名，当然是无效的，不过可以通过https访问了