Nginx-HTTPSmd

#Nginx HTTPS
1.HTTPS基本概述
PKI：
数据完整性
数据的完整性就是防止非法篡改信息，如修改、复制、插入、删除等。在交易过程中，要确保交易双方接收到的数据与原数据完全一致，否则交易将存在安全问题。如果依靠观察的方式来判断数据是否发生过改变，在大多数情况下是不现实的。在网络安全中，一般使用散列函数的方法(Hash函数，也称密码杂凑函数)来保证通信时数据的完整性。通过Hash算法我们将任意长度的数据通过变换为长度固定的数字摘要(消息认证码，MAC)，并且原始数据中任何一位的改变都将会在相同的计算条件下产生截然不同的数字摘要。
这一特性使得人们很容易判断原始数据是否发生非法篡改，从而很好地保证了数据的完整性和准确性。PKI系统主要采用的散列算法有SHA一1和MD一5
数据保密性
数据的保密性就是对需要保护的数据进行加密，从而保证信息在传输和存储过程中不被未授权人获取。在PKl系统中，所有的保密性都是通过密码技术实现的。密钥对分为两种，一种称作加密密钥对，用作加解密；另一种称作签名密钥对，用作签名。一般情况下，用来加解密的密钥对并不对实际的大量数据进行加解密，只是用于协商会话密钥，而真正用于大量数据加解密的是会话密钥。
在实际的数据通信中，首先发送方产生一个用于实际数据加密的对称算法密钥，此密钥被称为会话密钥，用此密钥对所需处理的数据进行加密。然后，发送方使用接收方加密密钥对应的公钥对会话密钥进行加密，连同经过加密处理的数据一起传送给接收方。接收方收到这些信息后，首先用自己加密密钥对中的私钥解密会话密钥，然后用会话密钥对实际数据进行解密。 [2]
数据公正性
PKI中支持的公正性是指数据认证。也就是说，公证人要证明的是数据的正确性，这种公汪取决于数据验证的方式，与公正服务和一般社会公证人提供的服务是有所不同的。在PKI中，被验证的数据是基于对原数据Hash后数字摘要的数字签名、公钥在数学上的正确性和私钥的合法性。
不可抵赖性
不可抵赖性保证参与双方不能否认自己曾经做过的事情。在PKI系统中，不可抵赖性来源于数字签名。由于用户进行数字签名的时候．签名私钥只能被签名者自己掌握，系统中的其他实体不能做出这样的签名，因此，在私钥安全的假设下签名者就不能否认自己做出的签名。保护签名私钥的安全性是不可抵赖问题的基础。
SSL(安全套接层)
认证用户和服务器，确保数据发送到正确的客户机和服务器
加密数据以防止数据中途被窃取
维护数据的完整性，确保数据在传输过程中不被改变
HTTPS
使用SSL来实现安全的通信
证书
证书用于保证密钥的合法性
证书的主体可以是用户，计算机，服务等
证书格式遵循X.509标准
数字证书包含信息：
使用者的公钥值
使用者标识信息(如名称和电子邮件地址)
有效期(证书的有效时间)
颁发者标识信息
颁发者的数字签名
数字证书有权威公正的第三方机构即CA签发
配置HTTPS前预备只是
HTTPS证书的选择
专业版OV型证书 不显示企业名称
高级版EV证书 显示企业名称
HTTPS证书购买选择
保护一个域名 www
保护5个域名 www images cdn test m
通配符域名 *.test.com
HTTPS注意事项
HTTPS不支持三级域名解析
HTTPS不支持续费，证书到期需重新申请进行替换
HTTPS显示绿色，说明整个网站的URL都是https的
HTTPS显示黄色，因为网站代码中包含http的不安全连接
HTTP显示红色，证书是假的或过期了
HTTPS配置场景
1.HTTPS配置语法
Syntax: ssl on | off;
Default:
ssl off;
Context: http, server

		Syntax:	ssl_certificate file;
		Default:	—
		Context:	http, server

		Syntax:	ssl_certificate_key file;
		Default:	—
		Context:	http, server
示例
	server {
		listen 443;
		server_name www.huohuoshanpin.com;
		ssl on;
		ssl_certificate key/3809632_www.test.com.pem;
		ssl_certificate_key key/3809632_www.test.com.key;
		location / {
			root /usr/local/www;
			index index.html index.php index.htm;
		}
	}
http的跳转，在配置文件加上：
server {
	listen 80;
	server_name www.test.com;
	#rewrite .* https://$server_name$request_uri redirect;
	#rewrite .* https://$host$request_uri redirect;
	rewrite (.*) https://$server_name$1 redirect;
}