CA双向认证

最新推荐文章于 2024-07-14 13:52:52 发布

阿hong

最新推荐文章于 2024-07-14 13:52:52 发布

阅读量2.9k

点赞数 1

分类专栏：网络安全文章标签： CA

本文链接：https://blog.csdn.net/weixin_40292830/article/details/95943787

版权

网络安全专栏收录该内容

4 篇文章 0 订阅

订阅专栏

一、双向认证

CA认证有单向认证和双向认证，在我们日常网页浏览中，我们接触到的大多数是单向认证，而在一些银行系统等对安全性要求比较高的系统，会采用双向认证。

单向认证只是客户端（浏览器）认证服务端（例如tomcat等）, 双向认证指的是服务端和客户端之间相互都要认证(在浏览器体现为需要安装进证书)。

https的双向认证大概过程（摘自http://blog.chinaunix.net/uid-26335251-id-3508651.html）：

1 浏览器发送一个连接请求给安全服务器。
2 服务器将自己的证书，以及同证书相关的信息发送给客户浏览器。
3 浏览器检查服务器送过来的证书是否是由自己信赖的 CA 中心所签发的。如果是，就继续执行协议；如果不是，客户浏览器就给客户一个警告消息：警告客户这个证书不是可以信赖的，询问客户是否需要继续。
4 接着客户浏览器比较证书里的消息，与服务器刚刚发送的相关消息是否一致，如果是一致的，客户浏览器认可这个服务器的合法身份。
5 服务器要求客户发送客户自己的证书。收到后，服务器验证客户的证书，如果没有通过验证，拒绝连接；如果通过验证，服务器获得用户的公钥。
6 客户浏览器告诉服务器自己所能够支持的通讯对称密码方案。
7 服务器从客户发送过来的密码方案中，选择一种加密程度最高的密码方案，用客户的公钥加过密后通知浏览器。
8 浏览器针对这个密码方案，选择一个通话密钥，接着用服务器的公钥加过密后发送给服务器。
9 服务器接收到浏览器送过来的消息，用自己的私钥解密，获得通话密钥。
10 服务器、浏览器接下来的通讯都是用对称密码方案，对称密钥是加过密的。

二、搭建CA证书颁发中心

1 创建rsaCA目录

mkdir rsaCA

mkdir -p ./rsaCA/{private,newcerts} && \

touch ./rsaCA/index.txt && \

touch ./rsaCA/serial && \

echo 01 > ./rsaCA/serial

touch rsaCA/index.txt.attr

把openssl.cnf放到rsaCA目录下

2 生成ca私钥

openssl genrsa -out ./rsaCA/private/cakey.pem 2048

3 生成证书请求

openssl req -new -days 3650 -key ./rsaCA/private/cakey.pem -out careq.pem -config ./rsaCA/openssl.cnf

4 根据CA私钥生成CA的自签名证书

openssl ca -selfsign -in careq.pem -out ./rsaCA/cacert.pem -extensions v3_ca -config ./rsaCA/openssl.cnf

三、生成客户端证书

1 客户端私钥生成证书签名请求（ cacsr.cer为请求证书，client_crt.cer为签名证书）

生成RSA私钥

openssl genrsa -out client.pem 2048

生成证书请求

openssl req -new -days 3650 -key client.pem -out client_csr.pem -config ./rsaCA/openssl.cnf

2.使用CA的私钥和证书对用户证书签名（openssl.cnf为gmssl/ssl目录下的配置文件）

openssl ca -in client_csr.pem -out client_cert.cer -extensions v3_ca -config ./rsaCA/openssl.cnf

四、生成服务端证书（这里使用的是tomcat）

1 生成服务器证书

使用keytool为Tomcat生成证书，假定目标机器的域名是localhost或者“192.168.1.1”，keystore文件为tomcat.keystore，口令为“logiscn”，使用如下命令生成：

keytool -genkey -v -alias tomcat -keyalg RSA -keystore tomcat.keystore -dname "CN=192.168.1.1,OU=logiscn,O=logis,L=beijing,ST=beijing,C=CN" -validity 3650 -storepass logiscn -keypass logiscn

2 将CA机构自签名证书导入tomcat中

keytool -import -alias ca -v -file ./rsaCA/cacert.pem -keystore /root/rsa/tomcat.keystore -storepass logiscn

3 将客户端证书导入tomcat中

keytool -import -alias tianli -v -file /root/CA/test/client_crt.cer -keystoretomcat.keystore -storepass logiscn

4 配置Tomcat服务器
打开Tomcat根目录下的/conf/server.xml，找到如下配置段，修改如下：
打开注释
<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="true" sslProtocol="TLS"
keystoreFile="/root/rsa/tomcat.keystore" keystorePass="logiscn"
truststoreFile="/root/rsa/tomcat.keystore" truststorePass="logiscn" />

其中，clientAuth指定是否需要验证客户端证书，如果该设置为“false”，则为单向SSL验证，SSL配置可到此结束。如果clientAuth设置为“true”，表示强制双向SSL验证，必须验证客户端证书。如果clientAuth设置为“want”，则表示可以验证客户端证书，但如果客户端没有有效证书，也不强制验证。

5 重启tomcat