apache 配置Public Key Pinning 意味

Public Key Pinning 意味着证书链必须包含处于白名单之中的公钥。它确保只在白名单中的CA可以对*.example.com进行签名，而不是浏览器中保存的任何一个CA。

我已经写了关于它的一篇文章，包含背景理论和配置实例，针对 Apache， Lighttpd 以及 NGINX：https://raymii.org/s/articles/HTTPPublicKeyPinningExtension_HPKP.html

配置示例

复制代码 代码如下:

server {

listen [::]:443 default_server;

ssl on;

ssl_certificate_key /etc/ssl/cert/raymii_org.pem;

ssl_certificate /etc/ssl/cert/ca-bundle.pem;

ssl_ciphers 'AES128+EECDH:AES128+EDH:!aNULL';

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_session_cache shared:SSL:10m;

ssl_stapling on;

ssl_stapling_verify on;

resolver 8.8.4.4 8.8.8.8 valid=300s;

resolver_timeout 10s;

ssl_prefer_server_ciphers on;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

add_header Strict-Transport-Security max-age=63072000;

add_header X-Frame-Options DENY;

add_header X-Content-Type-Options nosniff;

root /var/www/;

index index.html index.htm;

server_name raymii.org;

}

结论

如果你应用了上面的配置文件，你需要重启nginx:

复制代码 代码如下:

# Check the config first:

/etc/init.d/nginx configtest

# Then restart:

/etc/init.d/nginx restart

现在使用SSL 实验室测试（SSL Labs tes）看看你是否得到一个漂亮的A。apache 配置同时，当然，拥有一个安全的，牢靠的，作为未来样例的SSL配置。apache 配置

您可能感兴趣的文章:

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-84740-1.html