參考文檔：
1. OpenSSL自簽發(fā)配置有多域名或ip地址的證書(shū)
2. 如何創(chuàng)建一個(gè)自簽名的SSL證書(shū)(X509)
3. 如何創(chuàng)建自簽名證書(shū)轨蛤？
背景
- 開(kāi)啟https必須要有ssl證書(shū)，而安全的證書(shū)來(lái)源于受信任的CA機(jī)構(gòu)簽發(fā)虫埂，通常需要付費(fèi)祥山，并且他們只能為域名和外網(wǎng)IP簽發(fā)證書(shū)。
- 證書(shū)有兩個(gè)基本目的：分發(fā)公有密鑰和驗(yàn)證服務(wù)器的身份掉伏。只有當(dāng)證書(shū)是由受信任的第三方所簽署的情形下缝呕，服務(wù)器的身份才能得到恰當(dāng)驗(yàn)證澳窑，因?yàn)槿魏喂粽叨伎梢詣?chuàng)建自簽名證書(shū)并發(fā)起中間人攻擊。
- 但自簽名證書(shū)可應(yīng)用于以下背景：
- 企業(yè)內(nèi)部網(wǎng)岳颇。當(dāng)客戶只需要通過(guò)本地企業(yè)內(nèi)部網(wǎng)絡(luò)時(shí)照捡，中間人攻擊幾乎是完全沒(méi)有機(jī)會(huì)的颅湘。
- 開(kāi)發(fā)服務(wù)器话侧。當(dāng)你只是在開(kāi)發(fā)或測(cè)試應(yīng)用程序時(shí)，花費(fèi)額外的金錢去購(gòu)買受信任的證書(shū)是完全沒(méi)有必要的闯参。
- 訪問(wèn)量很小的個(gè)人站點(diǎn)瞻鹏。如果你有一個(gè)小型個(gè)人站點(diǎn)，而該站點(diǎn)傳輸?shù)氖遣恢匾男畔⒙拐敲垂粽吆苌贂?huì)有動(dòng)機(jī)去攻擊這些連接新博。
依賴
利用 OpenSSL 簽發(fā)證書(shū)需要 OpenSSL 軟件及庫(kù)，一般情況下 CentOS脚草、Ubuntu 等系統(tǒng)均已內(nèi)置赫悄， 可執(zhí)行 openssl 確認(rèn)，如果提示 oepnssl: command not found,則需手動(dòng)安裝馏慨，以Centos為例：
yum install openssl openssl-devel -y
簽發(fā)證書(shū)
step1: 生成證書(shū)請(qǐng)求文件
新建openssl.cnf埂淮，內(nèi)容如下：
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = CH
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = GD
localityName = Locality Name (eg, city)
localityName_default = ShenZhen
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = organizationalUnitName
commonName = Internet Widgits Ltd
commonName_max = 64
[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names
[alt_names]
# 改成自己的域名
#DNS.1 = kb.example.com
#DNS.2 = helpdesk.example.org
#DNS.3 = systems.example.net
# 改成自己的ip
IP.1 = 172.16.24.143
IP.2 = 172.16.24.85
step2: 生成私鑰
san_domain_com 為最終生成的文件名，一般以服務(wù)器命名写隶，可改倔撞。
openssl genrsa -out san_domain_com.key 2048
step3: 創(chuàng)建CSR文件
創(chuàng)建CSR文件命令：
openssl req -new -out san_domain_com.csr -key san_domain_com.key -config openssl.cnf
執(zhí)行后，系統(tǒng)會(huì)提示輸入組織等信息慕趴，按提示輸入如即可痪蝇。
測(cè)試CSR文件是否生成成功，可以使用下面的命令：
openssl req -text -noout -in san_domain_com.csr
//執(zhí)行后冕房，會(huì)看到類似如下的信息：
Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=US, ST=MN, L=Minneapolis, OU=Domain Control Validated, CN=zz
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
//...
step4: 自簽名并創(chuàng)建證書(shū)
openssl x509 -req -days 3650 -in san_domain_com.csr -signkey san_domain_com.key -out san_domain_com.crt -extensions v3_req -extfile openssl.cnf
執(zhí)行后躏啰，可看到本目錄下多了以下三個(gè)文件
san_domain_com.crt
san_domain_com.csr
san_domain_com.key
至此，使用openssl生成證書(shū)已完成耙册，以下 nodejs項(xiàng)目驗(yàn)證 和 將證書(shū)導(dǎo)入本地 僅是驗(yàn)證證書(shū)是否正潮螅可用。
利用nodejs項(xiàng)目驗(yàn)證證書(shū)是否可行
step1. 環(huán)境
安裝node和npm.
step2. 項(xiàng)目結(jié)構(gòu)
ssl-test
├─ cert //打包所需靜態(tài)資源
│ ├─ san_domain_com.crt
│ └─ san_domain_com.key
├─ package.json
└─ https.js
step3. https.js
文件內(nèi)容如下：
'use strict'
var https = require("https");
var fs = require('fs');
var options = {
key: fs.readFileSync("./cert/san_domain_com.key", 'utf8'),
cert: fs.readFileSync("./cert/san_domain_com.crt", 'utf8')
};
var app = https.createServer(options, function (req, res) {
res.writeHead(200, {'Cntent-Type': 'text/plain'});
res.end('Https !')
}).listen(443, '0.0.0.0');
step4. 啟動(dòng)項(xiàng)目
執(zhí)行以下命令：
node https.js
執(zhí)行后觅玻，即可訪問(wèn) https://127.0.0.1想际，chrome瀏覽器上點(diǎn)擊“不安全”->"證書(shū)"，即可查看證書(shū)詳細(xì)溪厘。
將證書(shū)導(dǎo)入本地（windows）
上一步中胡本，使用chrome訪問(wèn) https://127.0.0.1 提示了“不安全”。
- 對(duì)于web端用戶畸悬，可以“手動(dòng)點(diǎn)擊信任”來(lái)繞過(guò)此提示侧甫。
- 但安卓端、C++等終端需要調(diào)用https站點(diǎn)的API時(shí)，他們應(yīng)該如何解決披粟？有以下兩種方式：
- 客戶端在代碼層面直接忽略掉不安全的提示咒锻。（不提倡，某些惡意網(wǎng)站可能也會(huì)被忽略）
- 將
san_domain_com.crt證書(shū)導(dǎo)入到客戶端中守屉。
此處惑艇，以瀏覽器作為客戶端演示如何將證書(shū)設(shè)置為受信任的證書(shū)。
step1. 環(huán)境
windows 7系統(tǒng)拇泛、chrome瀏覽器
step2. 背景
- 為什么使用自簽發(fā)的證書(shū)時(shí)會(huì)提示不安全滨巴？
因?yàn)椴僮飨到y(tǒng)上會(huì)默認(rèn)存有受信任機(jī)構(gòu)CA的證書(shū)“嘲龋—— 電腦的“運(yùn)行”工具彈窗->輸入"certmgr.msc"
而我們自簽發(fā)的證書(shū)不在這個(gè)信任列表中恭取，需要手動(dòng)導(dǎo)入到這個(gè)“白名單”中。
- https的認(rèn)證流程是什么樣子的熄守？
你可能會(huì)問(wèn)蜈垮，為什么是這樣的流程？詳見(jiàn)下一篇文章
https誕生背景及原理解析
step3. 導(dǎo)入證書(shū)
右鍵"受信任的證書(shū)頒發(fā)機(jī)構(gòu)"->"所有任務(wù)"->"導(dǎo)入"裕照，按照提示選擇san_domain_com.crt文件即可攒发。
清除緩存，重啟瀏覽器牍氛，瀏覽https://127.0.0.1晨继，不再提示不安全了。
至此搬俊，完成了證書(shū)的生成和客戶端的導(dǎo)入驗(yàn)證紊扬。
