建站
咨詢
售后
建站咨詢
新聞中心
每天你都會(huì)重復(fù)這件事很多次，訪問網(wǎng)站，網(wǎng)站需要你用你的用戶名或者電子郵件地址和你的密碼來進(jìn)行登錄。銀行網(wǎng)站、社交網(wǎng)站、電子郵件服務(wù)、電子商務(wù)網(wǎng)站和新聞網(wǎng)站。這里只在使用了這種機(jī)制的網(wǎng)站中列舉了其中一小部分。
創(chuàng)新互聯(lián)建站擁有網(wǎng)站維護(hù)技術(shù)和項(xiàng)目管理團(tuán)隊(duì)，建立的售前、實(shí)施和售后服務(wù)體系，為客戶提供定制化的做網(wǎng)站、網(wǎng)站建設(shè)、網(wǎng)站維護(hù)、德陽電信服務(wù)器托管解決方案。為客戶網(wǎng)站安全和日常運(yùn)維提供整體管家式外包優(yōu)質(zhì)服務(wù)。我們的網(wǎng)站維護(hù)服務(wù)覆蓋集團(tuán)企業(yè)、上市公司、外企網(wǎng)站、商城網(wǎng)站定制開發(fā)、政府網(wǎng)站等各類型客戶群體，為全球超過千家企業(yè)提供全方位網(wǎng)站維護(hù)、服務(wù)器維護(hù)解決方案。
每次你登錄進(jìn)一個(gè)這種類型的網(wǎng)站時(shí)，你實(shí)際上是在說：“是的，我信任這個(gè)網(wǎng)站，所以我愿意把我的個(gè)人信息共享給它?！边@些數(shù)據(jù)可能包含你的姓名、性別、實(shí)際地址、電子郵箱地址，有時(shí)候甚至?xí)愕男庞每ㄐ畔ⅰ?/p>
但是你怎么知道你可以信任這個(gè)網(wǎng)站？換個(gè)方式問，為了讓你可以信任它，網(wǎng)站應(yīng)該如何保護(hù)你的交易？
本文旨在闡述使網(wǎng)站變得安全的機(jī)制。我會(huì)首先論述 web 協(xié)議 http 和 https，以及傳輸層安全Transport Layer Security（TLS）的概念，后者是互聯(lián)網(wǎng)協(xié)議Internet Protocol（IP）層中的加密協(xié)議之一。然后，我會(huì)解釋證書頒發(fā)機(jī)構(gòu)certificate authority和自簽名證書，以及它們?nèi)绾螏椭Ｗo(hù)一個(gè)網(wǎng)站。最后，我會(huì)介紹一些開源的工具，你可以使用它們來創(chuàng)建和管理你的證書。
通過 https 保護(hù)路由
了解一個(gè)受保護(hù)的網(wǎng)站的最簡(jiǎn)單的方式就是在交互中觀察它，幸運(yùn)的是，在今天的互聯(lián)網(wǎng)上，發(fā)現(xiàn)一個(gè)安全的網(wǎng)站遠(yuǎn)遠(yuǎn)比找到一個(gè)不安全的網(wǎng)站要簡(jiǎn)單。但是，因?yàn)槟阋呀?jīng)在 Opensource.com 這個(gè)網(wǎng)站上了，我會(huì)使用它來作為案例，無論你使用的是哪個(gè)瀏覽器，你應(yīng)該在你的地址欄旁邊看到一個(gè)像鎖一樣的圖標(biāo)。點(diǎn)擊這個(gè)鎖圖標(biāo)，你應(yīng)該會(huì)看見一些和下面這個(gè)類似的東西。
默認(rèn)情況下，如果一個(gè)網(wǎng)站使用的是 http 協(xié)議，那么它是不安全的。為通過網(wǎng)站主機(jī)的路由添加一個(gè)配置過的證書，可以把這個(gè)網(wǎng)站從一個(gè)不安全的 http 網(wǎng)站變?yōu)橐粋€(gè)安全的 https 網(wǎng)站。那個(gè)鎖圖標(biāo)通常表示這個(gè)網(wǎng)站是受 https 保護(hù)的。
點(diǎn)擊證書來查看網(wǎng)站的 CA，根據(jù)你的瀏覽器，你可能需要下載證書來查看它。
默認(rèn)情況下，如果一個(gè)網(wǎng)站使用的是 http 協(xié)議，那么它是不安全的。為通過網(wǎng)站主機(jī)的路由添加一個(gè)配置過的證書，可以把這個(gè)網(wǎng)站從一個(gè)不安全的 http 網(wǎng)站變?yōu)橐粋€(gè)安全的 https 網(wǎng)站。那個(gè)鎖圖標(biāo)通常表示這個(gè)網(wǎng)站是受 https 保護(hù)的。
點(diǎn)擊證書來查看網(wǎng)站的 CA，根據(jù)你的瀏覽器，你可能需要下載證書來查看它。 警告：如果你沒有在網(wǎng)站上看到證書標(biāo)志，或者如果你看見的標(biāo)志顯示這個(gè)網(wǎng)站不安全——請(qǐng)不要登錄或者做任何需要你個(gè)人數(shù)據(jù)的操作。這種情況非常危險(xiǎn)！ 如果你看到的是警告標(biāo)志，對(duì)于大多數(shù)面向公眾開放的網(wǎng)站來說，這很少見，它通常意味著該證書已經(jīng)過期或者是該證書是自簽名的，而非通過一個(gè)受信任的第三方來頒發(fā)。在我們進(jìn)入這些主題之前，我想解釋一下 TLS 和 SSL。
帶有 TLS 和 SSL 的互聯(lián)網(wǎng)協(xié)議
TLS 是舊版安全套接字層協(xié)議Secure Socket Layer（SSL）的最新版本。理解這一點(diǎn)的最好方法就是仔細(xì)理解互聯(lián)網(wǎng)協(xié)議的不同協(xié)議層。
我們知道當(dāng)今的互聯(lián)網(wǎng)是由 6 個(gè)層面組成的：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、安全層、應(yīng)用層。物理層是基礎(chǔ)，這一層是最接近實(shí)際的硬件設(shè)備的。應(yīng)用層是最抽象的一層，是最接近終端用戶的一層。安全層可以被認(rèn)為是應(yīng)用層的一部分，TLS 和 SSL，是被設(shè)計(jì)用來在一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)中提供通信安全的加密協(xié)議，它們位于安全層中。
這個(gè)過程可以確保終端用戶使用網(wǎng)絡(luò)服務(wù)時(shí)，通信的安全性和保密性。
證書頒發(fā)機(jī)構(gòu)和自簽名證書
Certificate authority（CA）是受信任的組織，它可以頒發(fā)數(shù)字證書。
TLS 和 SSL 可以使連接更安全，但是這個(gè)加密機(jī)制需要一種方式來驗(yàn)證它；這就是 SSL/TLS 證書。TLS 使用了一種叫做非對(duì)稱加密的加密機(jī)制，這個(gè)機(jī)制有一對(duì)稱為私鑰和公鑰的安全密鑰。（這是一個(gè)非常復(fù)雜的主題，超出了本文的討論范圍，但是如果你想去了解這方面的東西，你可以閱讀“密碼學(xué)和公鑰密碼基礎(chǔ)體系簡(jiǎn)介”）你要知道的基礎(chǔ)內(nèi)容是，證書頒發(fā)機(jī)構(gòu)們，比如 GlobalSign、DigiCert 和 GoDaddy，它們是受人們信任的可以頒發(fā)證書的供應(yīng)商，它們頒發(fā)的證書可以用于驗(yàn)證網(wǎng)站使用的 TLS/SSL 證書。網(wǎng)站使用的證書是導(dǎo)入到主機(jī)服務(wù)器里的，用于保護(hù)網(wǎng)站。
然而，如果你只是要測(cè)試一下正在開發(fā)中的網(wǎng)站或服務(wù)，CA 證書可能對(duì)你而言太昂貴或者是太復(fù)雜了。你必須有一個(gè)用于生產(chǎn)目的的受信任的證書，但是開發(fā)者和網(wǎng)站管理員需要有一種更簡(jiǎn)單的方式來測(cè)試網(wǎng)站，然后他們才能將其部署到生產(chǎn)環(huán)境中；這就是自簽名證書的來源。
自簽名證書是一種 TLS/SSL 證書，是由創(chuàng)建它的人而非受信任的 CA 機(jī)構(gòu)頒發(fā)的。用電腦生成一個(gè)自簽名證書很簡(jiǎn)單，它可以讓你在無需購買昂貴的 CA 頒發(fā)的證書的情況下測(cè)試一個(gè)安全網(wǎng)站。雖然自簽名證書肯定不能拿到生產(chǎn)環(huán)境中去使用，但對(duì)于開發(fā)和測(cè)試階段來說，這是一種簡(jiǎn)單靈活的方法。
生成證書的開源工具
有幾種開源工具可以用來管理 TLS/SSL 證書。其中最著名的就是 openssl，這個(gè)工具包含在很多 Linux 發(fā)行版中和 MacOS 中。當(dāng)然，你也可以使用其他開源工具。
工具名 描述 許可證 OpenSSL 實(shí)現(xiàn) TLS 和加密庫的最著名的開源工具 Apache License 2.0 EasyRSA 用于構(gòu)建 PKI CA 的命令行實(shí)用工具 GPL v2 CFSSL 來自 cloudflare 的 PKI/TLS 瑞士軍刀 BSD 2-Clause Simplified License Lemur 來自網(wǎng)飛Netflix的 TLS 創(chuàng)建工具 Apache License 2.0 如果你的目的是擴(kuò)展和對(duì)用戶友好，網(wǎng)飛的 Lemur 是一個(gè)很有趣的選擇。你在網(wǎng)飛的技術(shù)博客上可以查看更多有關(guān)它的信息。
如何創(chuàng)建一個(gè) Openssl 證書
你可以靠自己來創(chuàng)建證書，下面這個(gè)案例就是使用 Openssl 生成一個(gè)自簽名證書。
1、使用 openssl 命令行生成一個(gè)私鑰：
openssl genrsa -out example.key 2048
2、使用在第一步中生成的私鑰來創(chuàng)建一個(gè)證書簽名請(qǐng)求certificate signing request（CSR）：
openssl req -new -key example.key -out example.csr -subj "/C=US/ST=TX/L=Dallas/O=Red Hat/OU=IT/CN=test.example.com"
3、使用你的 CSR 和私鑰創(chuàng)建一個(gè)證書：
openssl x509 -req -days 366 -in example.csr -signkey example.key -out example.crt
網(wǎng)站名稱：互聯(lián)網(wǎng)的保護(hù)機(jī)制：TLS、SSL和CA
標(biāo)題URL：http://m.fisionsoft.com.cn/article/dhjgioh.html
