node配置ssl证书_SSL证书制作并使用NodeJs进行HTTPS认证配置

HTTP

Hyper Text Transfer Protocol

使用TCP端口默认为：80

超文本传输协议，是互联网上使用最广泛的一种协议，所有WWW文件必须遵循的标准。HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全。

HTTPS

Hyper Text Transfer Protocol over Secure Socket Layer

使用TCP端口默认为：443

安全的超文本传输协议，Netscape(网景公司)设计了 SSL(Secure Sockets Layer) 协议用于对Http协议传输的数据进行加密，保证会话过程中的安全性。SSL中文为 安全套接层 。

SSL简介

SSL协议位于TCP/IP协议与各种应用层协议(如HTTP)之间。SSL协议可分为两层：

SSL Record Protocol (SSL记录协议)建立在可靠的传输协议(如TCP)上，为高层协议提供数据封装、压缩、加密等基本功能的支持；

SSL Handshake Protocol (SSL握手协议)建立在记录协议上，用于在实际数据传输开始前，通讯双方进行身份验证、协商加密算法、交换加密秘钥等。

SSL协议即用到了 对称加密 也用到了 非对称加密(公钥加密)，在建立传输链路时，SSL首先对 对称加密 的密钥使用公钥进行 非对称加密 ，链路建立好之后，SSL对传输内容使用 对称加密 。

对称加密 速度高，可加密内容大，用来加密会话过程中的消息。

公钥加密 加密速度慢，但能提供更好的身份认证技术，用来加密 对称加密 的秘钥。

https单向认证

Https在建立Socket连接之前，需要进行握手，具体过程如下：

客户端

单向认证

服务端

>>>

1. 发送客户端SSL版本等信息

>>>

<<<

2. 服务端给客户端返回SSL版本、随机数等信息，以及服务器公钥

<<<

CHECK

3. 客户端校验服务端证书是否合法，合法继续，否则警告

WAIT

>>>

4. 客户端发送自己可支持的对称加密方案给服务端供选择

>>>

WAIT

5. 服务端选择加密程度高的加密方式

CHECK

<<<

6. 将选择好的加密方案以明文方式发送给客户端

<<<

>>>

7. 客户端收到加密方式产生随机码，作为对称加密秘钥，使用服务器公钥加密后发给服务器

>>>

WAIT

8. 服务端使用私钥对加密信息进行解密，获得对称加密秘钥

CHECK

---

9. 使用对称加密进行通信确保安全

---

https双向认证

双向认证和单向认证原理基本差不多，只是除了客户端需要认证服务端以外，增加了服务端对客户端的认证，具体过程如下：

客户端

单向认证

服务端

>>>

1. 发送客户端SSL版本等信息

>>>

<<<

2. 服务端给客户端返回SSL版本、随机数等信息，以及服务器公钥

<<<

CHECK

3. 客户端校验服务端证书是否合法，合法继续，否则警告

WAIT

>>>

4. 客户端校验通过后，将自己的证书和公钥发送至客户端

>>>

WAIT

5. 对客户端校验，校验结束后获得客户端公钥

CHECK

>>>

6. 客户端发送自己可支持的对称加密方案给服务端供选择

>>>

WAIT

7. 服务端选择加密程度高的加密方式

CHECK

<<<

8. 将选择好的加密方案以客户端公钥进行加密后方式发送给客户端

<<<

>>>

9. 客户端收到加密方式，使用私钥进行解密,产生随机码，作为对称加密秘钥，使用服务器公钥加密后发给服务器

>>>

WAIT

10. 服务端使用私钥对加密信息进行解密，获得对称加密秘钥

CHECK

---

11. 使用对称加密进行通信确保安全

---

使用openssl进行证书生成

由于TLS(SSL)是基于非对称的加密体系，所以在开发前需要准备用于加密解密及验证的私钥及数字证书。这里分别为CA、服务器、客户端分别准备1套密钥及证书。

生成CA证书及秘钥

生成一个秘钥为ca-key.pem

openssl genrsa -out ca-key.pem -des 1024

根据秘钥ca-key.pem生成一个证书签名请求文件ca-csr.pem，根据这个文件可以签出秘钥对应的证书。在这里会要求填入相关信息，可以用“.”表示为空，但Common Name必须要填入对应域名，否则浏览器检查证书与签名域名不相符会不允许通过。

openssl req -new -key ca-key.pem -out ca-csr.pem

另可以不执行第一步，直接执行以下语句，也会自动生成一个private.pem以及ca-csr.pem。

openssl req -new -out ca-csr.pem

利用证书签名请求文件ca-csr.pem，并利用ca-key.pem签名生成证书ca-cert.pem。其中x509为证书格式X.509，-days为有效期天数。

openssl x509 -req -days 3650 -in ca-csr.pem -signkey ca-key.pem -out ca-cert.pem

当然，也可以拿着ca-csr.pem去权威的第三方申请一个证书，这样的话申请得到的证书是被接收的。现在我们自签自申证书，则如上所示使用证书签名请求文件签一个证书。

生成服务端证书及秘钥

生成一个服务器私钥为server-key.pem

openssl genrsa -out server-key.pem 1024

生成证书签名请求文件server-csr.pem

openssl req -new -key server-key.pem -out server-csr.pem

另，假如我们需要多DNS和多IP的主机使用同一个证书完成验证，则不能通过上面的命令来实现。我们需要一个openssl.cnf配置文件，并执行以下语句

openssl req -new -key server-key.pem -config openssl.cnf -out server-csr.pem

openssl.cnf配置文件内容格式如下所示：

[req]

distinguished_name = req_distinguished_name

req_extensions = v3_req

[req_distinguished_name]

countryName = Country Name (2 letter code)

countryName_default = CN

stateOrProvinceName = State or Province Name (full name)

stateOrProvinceName_default = BeiJing

localityName = Locality Name (eg, city)

localityName_default = YaYunCun

organizationalUnitName = Organizational Unit Name (eg, section)

organizationalUnitName_default = Domain Control Validated

commonName = Internet Widgits Ltd

commonName_max = 64

[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE

keyUsage = nonRepudiation, digitalSignature, keyEncipherment

subjectAltName = @alt_names

[alt_names]

DNS.1 = ns1.dns.com

DNS.2 = ns2.dns.com

DNS.3 = ns3.dns.com

IP.1 = 192.168.1.84

IP.2 = 127.0.0.1

IP.3 = 127.0.0.2

生成服务器证书为server-sert.pem,具体选项含义查询openssl

openssl x509 -req -days 730 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -in server-csr.pem -out server-cert.pem -extensions v3_req -extfile openssl.cnf

生成客户端证书及秘钥

生成客户端秘钥client-key.pem

openssl genrsa -out client-key.pem

生成证书签名请求文件client-csr.pem

openssl req -new -key client-key.pem -out client-csr.pem

生成服务器证书为server-sert.pem,具体选项含义查询openssl

openssl x509 -req -days 365 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -in client-csr.pem -out client-cert.pem

打包和转换

另外的，我们可以将服务器的私钥、证书、CAz证书打包成一个单独的.pfx或.p12文件以便于使用，比如.p12导入浏览器可以让浏览器信任该证书

openssl pkcs12 -export -in server-cert.pem -inkey server-key.pem -certfile ca-cert.pem -out server.pfx

openssl pkcs12 -export -in client-cert.pem -inkey client-key.pem -certfile ca-cert.pem -out client.p12

证书的转换，由10打包好的文件，可以经过转换变为其他格式以下提供常见的格式转换方法

openssl pkcs12 -export -inkey test.key -in test.cer -out test.pfx

openssl pkcs12 -in test.pfx -nodes -out test.pem

openssl rsa -in test.pem -out test.key

openssl x509 -in test.pem -out test.crt

单向验证和双向验证的配置

node.js 实现HTTPS的配置

导入https, fs

var https = require ('https'); // https服务器

const fs = require("fs"); // 文件输入输出，用来导入证书

导入证书,利用fs导出三个证书并存入变量

var privateKey = fs.readFileSync('./cert/ca.key').toString();

var certificate = fs.readFileSync('./cert/ca.crt').toString();

var client_certificate = fs.readFileSync('./cert/client.crt').toString();

https设置,利用键值对来进行设置，rrequestCert表示是否需要客户端证书，rejectUnauthorized表示如果客户端证书不符合则是否拒绝访问，这两个为true则意味着双向认证，否则为单向认证

var credentials = { key: privateKey,

cert: certificate,

ca: client_certificate,

requestCert: true,

rejectUnauthorized: true};

创建服务器对象，比http多了一个参数，即3中所提的credentials

var server = http.createServer(app); // 若http只需要一个参数就行

var server = https.createServer(credentials, app); // https需要参数

开启端口监听

server.listen(port); // port即为端口号