HTTP
Hyper Text Transfer Protocol
使用TCP端口默认为:80
超文本传输协议,是互联网上使用最广泛的一种协议,所有WWW文件必须遵循的标准。HTTP协议传输的数据都是未加密的,也就是明文的,因此使用HTTP协议传输隐私信息非常不安全。
HTTPS
Hyper Text Transfer Protocol over Secure Socket Layer
使用TCP端口默认为:443
安全的超文本传输协议,Netscape(网景公司)设计了 SSL(Secure Sockets Layer) 协议用于对Http协议传输的数据进行加密,保证会话过程中的安全性。SSL中文为 安全套接层 。
SSL简介
SSL协议位于TCP/IP协议与各种应用层协议(如HTTP)之间。SSL协议可分为两层:
SSL Record Protocol (SSL记录协议)建立在可靠的传输协议(如TCP)上,为高层协议提供数据封装、压缩、加密等基本功能的支持;
SSL Handshake Protocol (SSL握手协议)建立在记录协议上,用于在实际数据传输开始前,通讯双方进行身份验证、协商加密算法、交换加密秘钥等。
SSL协议即用到了 对称加密 也用到了 非对称加密(公钥加密),在建立传输链路时,SSL首先对 对称加密 的密钥使用公钥进行 非对称加密 ,链路建立好之后,SSL对传输内容使用 对称加密 。
对称加密 速度高,可加密内容大,用来加密会话过程中的消息。
公钥加密 加密速度慢,但能提供更好的身份认证技术,用来加密 对称加密 的秘钥。
https单向认证
Https在建立Socket连接之前,需要进行握手,具体过程如下:
客户端
单向认证
服务端
>>>
1. 发送客户端SSL版本等信息
>>>
<<<
2. 服务端给客户端返回SSL版本、随机数等信息,以及服务器公钥
<<<
CHECK
3. 客户端校验服务端证书是否合法,合法继续,否则警告
WAIT
>>>
4. 客户端发送自己可支持的对称加密方案给服务端供选择
>>>
WAIT
5. 服务端选择加密程度高的加密方式
CHECK
<<<
6. 将选择好的加密方案以明文方式发送给客户端
<<<
>>>
7. 客户端收到加密方式产生随机码,作为对称加密秘钥,使用服务器公钥加密后发给服务器
>>>
WAIT
8. 服务端使用私钥对加密信息进行解密,获得对称加密秘钥
CHECK
---
9. 使用对称加密进行通信确保安全
---
https双向认证
双向认证和单向认证原理基本差不多,只是除了客户端需要认证服务端以外,增加了服务端对客户端的认证,具体过程如下:
客户端
单向认证
服务端
>>>
1. 发送客户端SSL版本等信息
>>>
<<<
2. 服务端给客户端返回SSL版本、随机数等信息,以及服务器公钥
<<<
CHECK
3. 客户端校验服务端证书是否合法,合法继续,否则警告
WAIT
>>>
4. 客户端校验通过后,将自己的证书和公钥发送至客户端
>>>
WAIT
5. 对客户端校验,校验结束后获得客户端公钥
CHECK
>>>
6. 客户端发送自己可支持的对称加密方案给服务端供选择
>>>
WAIT
7. 服务端选择加密程度高的加密方式
CHECK
<<<
8. 将选择好的加密方案以客户端公钥进行加密后方式发送给客户端
<<<
>>>
9. 客户端收到加密方式,使用私钥进行解密,产生随机码,作为对称加密秘钥,使用服务器公钥加密后发给服务器
>>>
WAIT
10. 服务端使用私钥对加密信息进行解密,获得对称加密秘钥
CHECK
---
11. 使用对称加密进行通信确保安全
---
使用openssl进行证书生成
由于TLS(SSL)是基于非对称的加密体系,所以在开发前需要准备用于加密解密及验证的私钥及数字证书。这里分别为CA、服务器、客户端分别准备1套密钥及证书。
生成CA证书及秘钥
生成一个秘钥为ca-key.pem
openssl genrsa -out ca-key.pem -des 1024
根据秘钥ca-key.pem生成一个证书签名请求文件ca-csr.pem,根据这个文件可以签出秘钥对应的证书。在这里会要求填入相关信息,可以用“.”表示为空,但Common Name必须要填入对应域名,否则浏览器检查证书与签名域名不相符会不允许通过。
openssl req -new -key ca-key.pem -out ca-csr.pem
另可以不执行第一步,直接执行以下语句,也会自动生成一个private.pem以及ca-csr.pem。
openssl req -new -out ca-csr.pem
利用证书签名请求文件ca-csr.pem,并利用ca-key.pem签名生成证书ca-cert.pem。其中x509为证书格式X.509,-days为有效期天数。
openssl x509 -req -days 3650 -in ca-csr.pem -signkey ca-key.pem -out ca-cert.pem
当然,也可以拿着ca-csr.pem去权威的第三方申请一个证书,这样的话申请得到的证书是被接收的。现在我们自签自申证书,则如上所示使用证书签名请求文件签一个证书。
生成服务端证书及秘钥
生成一个服务器私钥为server-key.pem
openssl genrsa -out server-key.pem 1024
生成证书签名请求文件server-csr.pem
openssl req -new -key server-key.pem -out server-csr.pem
另,假如我们需要多DNS和多IP的主机使用同一个证书完成验证,则不能通过上面的命令来实现。我们需要一个openssl.cnf配置文件,并执行以下语句
openssl req -new -key server-key.pem -config openssl.cnf -out server-csr.pem
openssl.cnf配置文件内容格式如下所示:
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = CN
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = BeiJing
localityName = Locality Name (eg, city)
localityName_default = YaYunCun
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = Domain Control Validated
commonName = Internet Widgits Ltd
commonName_max = 64
[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names
[alt_names]
DNS.1 = ns1.dns.com
DNS.2 = ns2.dns.com
DNS.3 = ns3.dns.com
IP.1 = 192.168.1.84
IP.2 = 127.0.0.1
IP.3 = 127.0.0.2
生成服务器证书为server-sert.pem,具体选项含义查询openssl
openssl x509 -req -days 730 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -in server-csr.pem -out server-cert.pem -extensions v3_req -extfile openssl.cnf
生成客户端证书及秘钥
生成客户端秘钥client-key.pem
openssl genrsa -out client-key.pem
生成证书签名请求文件client-csr.pem
openssl req -new -key client-key.pem -out client-csr.pem
生成服务器证书为server-sert.pem,具体选项含义查询openssl
openssl x509 -req -days 365 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -in client-csr.pem -out client-cert.pem
打包和转换
另外的,我们可以将服务器的私钥、证书、CAz证书打包成一个单独的.pfx或.p12文件以便于使用,比如.p12导入浏览器可以让浏览器信任该证书
openssl pkcs12 -export -in server-cert.pem -inkey server-key.pem -certfile ca-cert.pem -out server.pfx
openssl pkcs12 -export -in client-cert.pem -inkey client-key.pem -certfile ca-cert.pem -out client.p12
证书的转换,由10打包好的文件,可以经过转换变为其他格式以下提供常见的格式转换方法
openssl pkcs12 -export -inkey test.key -in test.cer -out test.pfx
openssl pkcs12 -in test.pfx -nodes -out test.pem
openssl rsa -in test.pem -out test.key
openssl x509 -in test.pem -out test.crt
单向验证和双向验证的配置
node.js 实现HTTPS的配置
导入https, fs
var https = require ('https'); // https服务器
const fs = require("fs"); // 文件输入输出,用来导入证书
导入证书,利用fs导出三个证书并存入变量
var privateKey = fs.readFileSync('./cert/ca.key').toString();
var certificate = fs.readFileSync('./cert/ca.crt').toString();
var client_certificate = fs.readFileSync('./cert/client.crt').toString();
https设置,利用键值对来进行设置,rrequestCert表示是否需要客户端证书,rejectUnauthorized表示如果客户端证书不符合则是否拒绝访问,这两个为true则意味着双向认证,否则为单向认证
var credentials = { key: privateKey,
cert: certificate,
ca: client_certificate,
requestCert: true,
rejectUnauthorized: true};
创建服务器对象,比http多了一个参数,即3中所提的credentials
var server = http.createServer(app); // 若http只需要一个参数就行
var server = https.createServer(credentials, app); // https需要参数
开启端口监听
server.listen(port); // port即为端口号