计划域ssl证书构建策略.

I. https协议简介

我们通常默认使用http协议，但是http协议未加密. 所有内容均以明文形式在网络上传输，并且可以保证安全性. https协议很好地解决了这个问题.

根据Wikipedia（）的介绍，HTTPS的主要思想是在不安全的网络上创建一个安全通道，并可以使用适当的加密包和服务器证书进行验证和信任，和手动处理-中间攻击提供了合理的保护.

HTTPS的信任继承基于预先安装在浏览器中的证书颁发机构（例如VeriSign，Microsoft等）（意思是“我信任证书颁发机构以告诉我应该信任”）. 因此，只有在以下情况下，才能信任与网站的HTTPS连接:

用户认为他们的浏览器正确实现了HTTPS并安装了正确的证书颁发机构；

用户认为证书颁发机构仅信任合法网站；

所访问的网站提供了有效的证书域名ssl证书，这意味着该证书是由受信任的证书颁发机构颁发的（大多数浏览器会针对无效证书发出警告）；

该证书正确地验证了所访问的网站（例如，访问时收到的是“ Example Inc.”的证书域名ssl证书，而不是其他组织的邮件）；

或者Internet上的相关节点是可信的，或者用户认为此协议的加密层（TLS或SSL）不能被者破坏.

部署https协议访问权限的关键是证书. 让我们看一下https证书的分类.

第二，https（ssl）证书分类

2.1来自证书颁发机构

根据证书颁发机构，它可以分为两种: 自颁发证书和CA证书颁发机构. 如果仅由公司内部使用，则可以使用自签名方法来生成SSL证书. 优点是完全免费，并且部署方便快捷. 但是缺点是浏览器默认不信任自签名证书，并且会弹出警告页面提示用户进行确认. 例如，下面的页面类似于此提示:

以这种方式向客户提供服务非常糟糕. 因此，仍然有必要购买由CA代理颁发的证书.

2.2根据认证级别

根据证书认证的级别，ssl证书可以分为DV，OV和EV:

DV是“域名验证”的缩写，表示验证网站域名的所有权. CA认证机构将向域名持有者的邮箱发送相应的电子邮件，以确和域名之间的所有权关系. 它的特点是简单快捷，价格便宜. 缺点是不能保证网站运营商的身份，因此一般仅用于提供数据加密功能.

OV是组织验证的缩写. 颁发此类证书后，它将验证网站所有单元的身份. 因此，一般的电子商务网站通常会进行OV认证. 价格当然会更贵，证书的颁发期限也会更长.

EV是扩展验证（Extended Validation）的缩写，也是最严格的身份验证. 当用户访问通过EV认证的网站时，浏览器会显示绿色，当然价格也很昂贵. : ）

2.3根据适用于证书的域名数量

ssl证书具有其相应的域名，根据适用的域名数，它可以分为单个域名，多个域名和泛域名证书. 顾名思义，一个域名证书只能应用于一个域名，而多个域名证书可以应用于多个域名. 泛域证书（也称为通配符证书）可以与* .domain.name形式匹配.

我们通过无忧提供给客户的访问路径为subdomin.5upm.com. 例如，如果您申请二级域名abc，则访问无忧项目管理服务的URL是. 我们需要解决的是为每个客户的二级域名提供安全的https访问服务，然后我们选择泛域名ssl证书.

以下是购买ssl证书. SSL证书针对不同的制造商具有不同的价格. 在网上搜索后，我们发现了一个cheapsslsls.com网站，该网站专门研究各个制造商的SSL证书. 价格更实惠. 下面是我们从cheapssls.com购买的证书和激活证书的整个过程.

三，购买证书

3.1注册用户

第一步是在cheapssls.com上注册用户. 访问cheapssls.com，选择页面右上角的“登录”链接，然后按照提示注册帐户. 这里将不再重复该过程.

3.2选择制造商

注册帐户后，您可以选择要购买的证书和制造商. 我们要购买的是一个泛域证书，因此请选择通配ssl证书，如下所示:

我们选择了RapidSSl提供的证书:

3.3下订单

确类型和制造商后，您可以下订单:

一般购买年限越长，折扣越低. 我买的价格是98.99美元，相当实惠.

3.4付款

由于国外网站使用美元结算，因此国内用户可以使用或贝宝付款. 需要带有桅杆或签证标志，这种支持外币结算.

作者选择使用Paypal付款:

然后按照页面上的说明在Paypal网站上付款. 付款成功后，下一步就是激活证书.

四张激活证书

4.1生成csr文件

在激活证书之前，需要在安装证书的服务器上生成一个csr文件. 在Linux以下，openssl可用于创建这些文件. 基本步骤和命令如下:

4.1.1生成server.key文件.

首先调用openssl命令以生成server.key文件.

请注意，加密强度应为2048，并且该命令还将允许您输入密码来保护密钥文件.

4.1.2基于server.key文件生成server.csr文件

拥有server.key文件之后，可以生成server.csr文件.

此命令需要注意什么:

国家名称，填写CN，代表中国.

州或省名称，只需填写汉语拼音省.

地区名称，只需填写城市的汉语拼音即可.

组织名称，只需填写公司的中文拼音即可.

组织单位名称，填写您所在部门的拼音.

通用名称，这是最关键的，您需要填写与ssl证书相对应的域名，通用域名必须以* .doomain.com的形式编写.

电子邮件地址，只需填写联系人电子邮件.

通过上述命令，我们可以生成server.csr文件. 以下步骤使用此文件来申请激活证书.

4.2申请激活

返回cheapssl网站，登录系统，然后访问我的ssl，选择购买的证书，然后激活:

出现申请表:

此页面将让您选择服务器的类型，我们选择apache openssl. 然后复制以下文本框中刚刚生成的server.key的内容，然后单击“下一步”以验证域名的所有者:

可以有多种类型，一种是通过您申请的域名的邮箱，例如作者使用的5upm.com，然后您需要一个@ 5upm.net邮箱，另一种方法是通过域名所有者的电子邮件进行验证.

选择验证方式后，系统将提示激活成功. 以下是登录到刚刚填写的邮箱以确认此应用程序的需要.

这是收到的电子邮件的内容，单击链接以确认:

选择“我批准”:

之后，您将收到一封包含官方ssl证书和INTERMEDIATE CA文件的电子邮件.

这是SSL证书.

这是一个中间CA文件.

以下是配置apache以使用证书.

五，配置证书

在配置apache证书之前，您需要打开ssl模块并配置apache来端口443，此处不再赘述. 互联网上有许多材料可供参考. 将刚刚通过邮件获取的ssl文件和ca文件另存为server.crt和server.pem. 添加我们之前生成的key和csr文件，我们总共有四个文件，server.key，server.csr，server.crt，server.pem. 将这四个文件存储在目录下，例如/ etc / apaches / ssl /下，然后配置apache虚拟机:

配置完成后，重新启动apache. 如果成功，则可以通过https访问它. 以下是我们的无忧访问，地址栏已变为加密栏（不同的浏览器显示不同）.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-185602-1.html