每天你都會重復這件事很多次，訪問網(wǎng)站，網(wǎng)站需要你用你的用戶名或者電子郵件地址和你的密碼來進行登錄。銀行網(wǎng)站、社交網(wǎng)站、電子郵件服務、電子商務網(wǎng)站和新聞網(wǎng)站。這里只在使用了這種機制的網(wǎng)站中列舉了其中一小部分。

創(chuàng)新互聯(lián)建站擁有網(wǎng)站維護技術和項目管理團隊，建立的售前、實施和售后服務體系，為客戶提供定制化的做網(wǎng)站、網(wǎng)站建設、網(wǎng)站維護、德陽電信服務器托管解決方案。為客戶網(wǎng)站安全和日常運維提供整體管家式外包優(yōu)質(zhì)服務。我們的網(wǎng)站維護服務覆蓋集團企業(yè)、上市公司、外企網(wǎng)站、商城網(wǎng)站定制開發(fā)、政府網(wǎng)站等各類型客戶群體，為全球超過千家企業(yè)提供全方位網(wǎng)站維護、服務器維護解決方案。

每次你登錄進一個這種類型的網(wǎng)站時，你實際上是在說：“是的，我信任這個網(wǎng)站，所以我愿意把我的個人信息共享給它。”這些數(shù)據(jù)可能包含你的姓名、性別、實際地址、電子郵箱地址，有時候甚至會包括你的信用卡信息。

但是你怎么知道你可以信任這個網(wǎng)站？換個方式問，為了讓你可以信任它，網(wǎng)站應該如何保護你的交易？

本文旨在闡述使網(wǎng)站變得安全的機制。我會首先論述 web 協(xié)議 http 和 https，以及傳輸層安全Transport Layer Security（TLS）的概念，后者是互聯(lián)網(wǎng)協(xié)議Internet Protocol（IP）層中的加密協(xié)議之一。然后，我會解釋證書頒發(fā)機構certificate authority和自簽名證書，以及它們?nèi)绾螏椭Ｗo一個網(wǎng)站。最后，我會介紹一些開源的工具，你可以使用它們來創(chuàng)建和管理你的證書。

通過 https 保護路由

了解一個受保護的網(wǎng)站的最簡單的方式就是在交互中觀察它，幸運的是，在今天的互聯(lián)網(wǎng)上，發(fā)現(xiàn)一個安全的網(wǎng)站遠遠比找到一個不安全的網(wǎng)站要簡單。但是，因為你已經(jīng)在 Opensource.com 這個網(wǎng)站上了，我會使用它來作為案例，無論你使用的是哪個瀏覽器，你應該在你的地址欄旁邊看到一個像鎖一樣的圖標。點擊這個鎖圖標，你應該會看見一些和下面這個類似的東西。

默認情況下，如果一個網(wǎng)站使用的是 http 協(xié)議，那么它是不安全的。為通過網(wǎng)站主機的路由添加一個配置過的證書，可以把這個網(wǎng)站從一個不安全的 http 網(wǎng)站變?yōu)橐粋€安全的 https 網(wǎng)站。那個鎖圖標通常表示這個網(wǎng)站是受 https 保護的。

點擊證書來查看網(wǎng)站的 CA，根據(jù)你的瀏覽器，你可能需要下載證書來查看它。

默認情況下，如果一個網(wǎng)站使用的是 http 協(xié)議，那么它是不安全的。為通過網(wǎng)站主機的路由添加一個配置過的證書，可以把這個網(wǎng)站從一個不安全的 http 網(wǎng)站變?yōu)橐粋€安全的 https 網(wǎng)站。那個鎖圖標通常表示這個網(wǎng)站是受 https 保護的。

點擊證書來查看網(wǎng)站的 CA，根據(jù)你的瀏覽器，你可能需要下載證書來查看它。 警告：如果你沒有在網(wǎng)站上看到證書標志，或者如果你看見的標志顯示這個網(wǎng)站不安全——請不要登錄或者做任何需要你個人數(shù)據(jù)的操作。這種情況非常危險！ 如果你看到的是警告標志，對于大多數(shù)面向公眾開放的網(wǎng)站來說，這很少見，它通常意味著該證書已經(jīng)過期或者是該證書是自簽名的，而非通過一個受信任的第三方來頒發(fā)。在我們進入這些主題之前，我想解釋一下 TLS 和 SSL。

帶有 TLS 和 SSL 的互聯(lián)網(wǎng)協(xié)議

TLS 是舊版安全套接字層協(xié)議Secure Socket Layer（SSL）的最新版本。理解這一點的最好方法就是仔細理解互聯(lián)網(wǎng)協(xié)議的不同協(xié)議層。

我們知道當今的互聯(lián)網(wǎng)是由 6 個層面組成的：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層、安全層、應用層。物理層是基礎，這一層是最接近實際的硬件設備的。應用層是最抽象的一層，是最接近終端用戶的一層。安全層可以被認為是應用層的一部分，TLS 和 SSL，是被設計用來在一個計算機網(wǎng)絡中提供通信安全的加密協(xié)議，它們位于安全層中。

這個過程可以確保終端用戶使用網(wǎng)絡服務時，通信的安全性和保密性。

證書頒發(fā)機構和自簽名證書

Certificate authority（CA）是受信任的組織，它可以頒發(fā)數(shù)字證書。

TLS 和 SSL 可以使連接更安全，但是這個加密機制需要一種方式來驗證它；這就是 SSL/TLS 證書。TLS 使用了一種叫做非對稱加密的加密機制，這個機制有一對稱為私鑰和公鑰的安全密鑰。（這是一個非常復雜的主題，超出了本文的討論范圍，但是如果你想去了解這方面的東西，你可以閱讀“密碼學和公鑰密碼基礎體系簡介”）你要知道的基礎內(nèi)容是，證書頒發(fā)機構們，比如 GlobalSign、DigiCert 和 GoDaddy，它們是受人們信任的可以頒發(fā)證書的供應商，它們頒發(fā)的證書可以用于驗證網(wǎng)站使用的 TLS/SSL 證書。網(wǎng)站使用的證書是導入到主機服務器里的，用于保護網(wǎng)站。

然而，如果你只是要測試一下正在開發(fā)中的網(wǎng)站或服務，CA 證書可能對你而言太昂貴或者是太復雜了。你必須有一個用于生產(chǎn)目的的受信任的證書，但是開發(fā)者和網(wǎng)站管理員需要有一種更簡單的方式來測試網(wǎng)站，然后他們才能將其部署到生產(chǎn)環(huán)境中；這就是自簽名證書的來源。

自簽名證書是一種 TLS/SSL 證書，是由創(chuàng)建它的人而非受信任的 CA 機構頒發(fā)的。用電腦生成一個自簽名證書很簡單，它可以讓你在無需購買昂貴的 CA 頒發(fā)的證書的情況下測試一個安全網(wǎng)站。雖然自簽名證書肯定不能拿到生產(chǎn)環(huán)境中去使用，但對于開發(fā)和測試階段來說，這是一種簡單靈活的方法。

生成證書的開源工具

有幾種開源工具可以用來管理 TLS/SSL 證書。其中最著名的就是 openssl，這個工具包含在很多 Linux 發(fā)行版中和 MacOS 中。當然，你也可以使用其他開源工具。

工具名 描述 許可證 OpenSSL 實現(xiàn) TLS 和加密庫的最著名的開源工具 Apache License 2.0 EasyRSA 用于構建 PKI CA 的命令行實用工具 GPL v2 CFSSL 來自 cloudflare 的 PKI/TLS 瑞士軍刀 BSD 2-Clause Simplified License Lemur 來自網(wǎng)飛Netflix的 TLS 創(chuàng)建工具 Apache License 2.0 如果你的目的是擴展和對用戶友好，網(wǎng)飛的 Lemur 是一個很有趣的選擇。你在網(wǎng)飛的技術博客上可以查看更多有關它的信息。

如何創(chuàng)建一個 Openssl 證書

你可以靠自己來創(chuàng)建證書，下面這個案例就是使用 Openssl 生成一個自簽名證書。

1、使用 openssl 命令行生成一個私鑰：

openssl genrsa -out example.key 2048

2、使用在第一步中生成的私鑰來創(chuàng)建一個證書簽名請求certificate signing request（CSR）：

openssl req -new -key example.key -out example.csr -subj "/C=US/ST=TX/L=Dallas/O=Red Hat/OU=IT/CN=test.example.com"

3、使用你的 CSR 和私鑰創(chuàng)建一個證書：

openssl x509 -req -days 366 -in example.csr -signkey example.key -out example.crt

新聞名稱：互聯(lián)網(wǎng)的保護機制：TLS、SSL和CA
分享URL：http://uogjgqi.cn/article/dhjgioh.html