所谓的网站安全证书 是通过在客户端浏览器和Web服务器之间建立一条SSL安全通道保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否真实可靠. 大体步骤: 1)签名发送方(甲)对需要发送的明文使用杂凑算法,计算摘要: 2)甲使用其签名私钥对摘要进行加密,得到密文: 3)甲将密文.明文和签名证书发送给签名验证方(乙): 4)乙方验证签名证书的有效性,并一方面将甲发送的密文通过甲的签名证书解密得到摘要,另一方面将明文相同的杂凑算法计算出摘要: 5)乙对比两…

自签名的证书无法被吊销,CA签名的证书可以被吊销 能不能吊销证书的区别在于,如果你的私钥被黑客获取,如果证书不能被吊销,则黑客可以伪装成你与用户进行通信   如果你的规划需要创建多个证书,那么使用私有CA的方法比较合适,因为只要给所有的客户端都安装了CA的证书,那么以该证书签名过的证书,客户端都是信任的,也就是安装一次就够了 如果你直接用自签名证书,你需要给所有的客户端安装该证书才会被信任,如果你需要第二个证书,则还的挨个给所有的客户端安装证书2才会被信任.       证书类型: x509的证…

1)下载cfssl #!/bin/bash wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64 wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64 chmod +x cfssl_linux-amd64 cfssljson_linux-amd64 cfssl-certinfo_l…

目录 手动制作CA证书 1.安装 CFSSL 2.初始化cfssl 3.创建用来生成 CA 文件的 JSON 配置文件 4.创建用来生成 CA 证书签名请求(CSR)的 JSON 配置文件 5.生成CA证书(ca.pem)和密钥(ca-key.pem) 6.分发证书 手动制作CA证书 Kubernetes 系统各组件需要使用 TLS 证书对通信进行加密. CA证书管理工具: • easyrsa ---openvpn比较常用 • openssl • cfssl ---使用最多,使用json文件格式…

一.CA简介 CA是什么?CA是Certificate Authority的简写,从字面意思翻译过来是凭证管理中心,认证授权.它有点类似我们生活中的身份证颁发机构,这里的CA就相当于生活中颁发身份证的机构.不同于生活中的颁发机构,这里的CA是给服务器颁发证书.颁发证书的目的同生活中的办理身份证的目的类似,都是为了证明一件事,生活中的身份证可以证明我们是一个合法的公民,而服务器颁发证书的目的也是证明我们服务是一个合法的服务器,换句话说就是有了证书我们就可以清楚知道我们访问的服务器到底是不是我们真正…

创建TLS证书和秘钥 kubernetes 系统的各组件需要使用 TLS 证书对通信进行加密,本文档使用 CloudFlare 的 PKI 工具集 cfssl 来生成 Certificate Authority (CA) 和其它证书. 1. 下载并安装 CFSSL: [root@k8s-master ~]# cd /usr/local/src [root@k8s-master src]# wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 [roo…

openssl verify -CAfile ca.cer server.crt 现在很多网站和服务都使用了HTTPS进行链路加密.防止信息在传输中间节点被窃听和篡改.HTTPS的启用都需要一个CA证书,以保证加密过程是可信的. 我们可以申请和获得一个CA机构颁发的证书,在软件调试过程中或者机构内部网可以创建自签名的CA证书,在[配置Harbor私有Docker镜像服务使用HTTPS]有关于自签名CA证书制作和使用的描述. 所谓"自签名"就是把自己当成一个CA证书颁发机构,只不过未得到…

近几年随着安全意识的提高,https流行起来,很多小伙伴不太了解https是什么,其实http和https并没有区别,简单的来说,https就是将http通信进行了加密和解密的一个过程.加上谷歌浏览器对非https网站的不友好,所以好多人开始给自己的网站安装CA证书,对于CA证书有很多收费,我这里用的是阿里云提供的免费CA证书,具体的申请方法阿里云有提供.我们这里重点说一下CA证书的安装,CA证书申请成功之后会生成一个cert的目录,不同的web服务器安装方式可能有所不同,我这里用的是apach…

首先,搭建https服务肯定需要一个https证书.这个证书可以看做是一个应用层面的证书.之所以这么说是因为https证书是基于CA证书生成的.对于正式的网站,CA证书需要到有资质的第三方证书颁发机构去申请获取.对于我们自建的一些小项目,可以使用自己的服务器自签CA证书.这类证书构建出来的HTTPS服务在访问的时候浏览器会发出不可信任的警告,对于自身项目无视即可. 参考文:[https://blog.csdn.net/xizaihui/article/details/53178897] ■ 自签…

最后更新于2017年01月24日 一.为什么 为什么写这篇文章?ca是什么?数字证书是什么?ejbca又是什么? 让我们从http与https说起.http是超文本传输协议(HyperText Transfer Protocol)的缩写,也是互联网的基石,互联网绝大部分数据传输都是基于http协议,但是,http本身有个致命的缺点,一个早期并不引人注目,如今不得不重视的缺点,就是明文传输. 当你访问一个http站点,例如http://www.login.com/ 输入用户名与密码,例如admin…

OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 在前文<使用 OpenSSL 创建私有 CA:2 中间证书>中我们介绍了如何创建中间证书,并生成证书链.本文我们将介绍如何为应用生成用户证书(web 站点的 ssl 证书),并把证书部署到应用服务器上和客户端上.说明:本系列文章的演示环境为 Ubuntu 18.04,OpenSSL 的版本为 1.1.0g.…

OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 OpenSSL 是一个免费开源的库,它提供了一些处理数字证书的命令行工具.其中一些工具可以用作证书颁发机构(Certificate Authority 即 CA).证书颁发机构(CA)是签署数字证书的实体.许多网站需要让他们的客户知道连接是安全的,所以需要从一个被广泛信任的CA(例如VeriSign, Dig…

OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 本文将在前文<使用 OpenSSL 创建私有 CA:1 根证书>的基础上介绍如何为私有 CA 创建中间证书.说明:本系列文章的演示环境为 Ubuntu 18.04,OpenSSL 的版本为 1.1.0g. 为什么要创建中间证书? 使用 CA 的根证书是可以直接签发用户证书的,那么为什么还还要创建中间证书呢?…

原创帖子地址:   https://blog.csdn.net/mr_rsq/article/details/71001810 Linux 创建一个简单的私有CA.发证.吊销证书 2017年04月30日 11:33:26 阅读数:2708 操作环境:Centos 6.RHEL 6 操作虚拟机:VMware 本实验基于OpenSSL实现,SSL是Secure Sockets Layer(安全套接层协议)的缩写,可以在Internet上提供秘密性传输. 实验流程: 1.以Centos 6系统作为CA…

一.创建私有CA 1.创建所需要的文件 2.创建私有密钥 3.CA自签证书 -new: 生成新证书签署请求:               -x509: 专用于CA生成自签证书:不自签的时候不要加该选项               -key: 生成请求时用到的私钥文件;              -days n:证书的有效期限:              -out /PATH/TO/SOMECERTFILE: 证书的保存路径:     填写信息时,Common Name选项一定要与写成服务器名字,…

证书类型 证书授权机构的证书 服务器 用户证书 获取证书两种方法 使用证书授权机构: 生成签名请求(csr ) 将csr发送给CA 从CA处接收签名 自签名的证书: 自已签发自己的公钥 openSSL工具可以满足我们创建CA和证书 1)PKI: Public Key Infrastructure 签证机构:CA (Certificate Authority),真正的颁发证件机构,相当于公安局 注册机构:RA,相当于派出所 证书吊销列表:CRL,相当于证件丢失时挂失的内容 证书存取库:当别人请求认…

Linux操作系统安全-局域网私有CA(Certificate Authority)证书服务器实战篇 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 一.试验架构说明 node101.yinzhengjie.org.cn: CA服务器 node108.yinzhengjie.org.cn: CA客户端 [root@node101.yinzhengjie.org.cn ~]# uname -r -.el7.x86_64 [root@node101.yinzhengjie.org.…

一.搭建私有CA服务器 1.安装包 # yum -y install openssl 2.生成密钥对儿 # cd /etc/pki/CA # (umask 077;openssl genrsa -out private/cakey.pem 2048) 说明:()表示为子shell中执行,直接生成权限600的文件,666-077 3.生成CA自签证书(CA的根证书): # openssl req -new -x509 -key private/cakey.pem -out cacert.pem -…

一.安装 CFSSL 证书下载官方地址:https://pkg.cfssl.org #下面三个安装包,无需下载,之前百度云中的压缩包中都有[root@linux-node1 ~]# cd /usr/local/src [root@linux-node1 src]# wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64 [root@linux-node1 src]# wget https://pkg.cfssl.org/R1.2/cfssljson_l…

在中小型公司建立企业根证书颁发机构 (CA) http://www.microsoft.com/china/smb/issues/sgc/articles/build_ent_root_ca.mspx 更改 Windows Server 2003 证书颁发机构所签发证书的终止日期 http://support.microsoft.com/kb/254632/zh-cn How to secure remote desktop connections using TLS/SSL based aut…

1.什么是CA证书. ◇ 普通的介绍信 想必大伙儿都听说过介绍信的例子吧?假设 A 公司的张三先生要到 B 公司去拜访,但是 B 公司的所有人都不认识他,他咋办捏?常用的办法是带公司开的一张介绍信,在信中说:兹有张三先生前往贵公司办理业务,请给予接洽......云云.然后在信上敲上A公司的公章. 张三先生到了 B 公司后,把介绍信递给 B 公司的前台李四小姐.李小姐一看介绍信上有 A 公司的公章,而且 A 公司是经常和 B 公司有业务往来的,这位李小姐就相信张先生不是歹人了. 这里,A公司就是C…

自签名证书制作流程 打开终端,输入 openssl genrsa - ,生成名称为ca的秘钥 注:openssl生成的文件皆放在用户文档下(finder菜单栏'前往' - 电脑 -Macintosh Hd - 用户 - dongxinda) 根据密钥在桌面生成证书: 终端输入 openssl req -x509 - 依次填入CN(国家),gd(省),gz(市),dxda(公司名称) dxda(公司名称), common Name(需要填入服务器IP地址或域名) ,email 回车跳过 输入 op…

很多关于CA证书的讲解. 1.什么是CA证书. 看过一些博客,写的比较形象具体. ◇ 普通的介绍信 想必大伙儿都听说过介绍信的例子吧?假设 A 公司的张三先生要到 B 公司去拜访,但是 B 公司的所有人都不认识他,他咋办捏?常用的办法是带公司开的一张介绍信,在信中说:兹有张三先生前往贵公司办理业务,请给予接洽......云云.然后在信上敲上A公司的公章. 张三先生到了 B 公司后,把介绍信递给 B 公司的前台李四小姐.李小姐一看介绍信上有 A 公司的公章,而且 A 公司是经常和 B 公司有业务往…

1.什么是CA证书. 看过一些博客,写的比较形象具体. ◇ 普通的介绍信 想必大伙儿都听说过介绍信的例子吧?假设 A 公司的张三先生要到 B 公司去拜访,但是 B 公司的所有人都不认识他,他咋办捏?常用的办法是带公司开的一张介绍信,在信中说:兹有张三先生前往贵公司办理业务,请给予接洽......云云.然后在信上敲上A公司的公章. 张三先生到了 B 公司后,把介绍信递给 B 公司的前台李四小姐.李小姐一看介绍信上有 A 公司的公章,而且 A 公司是经常和 B 公司有业务往来的,这位李小姐就相信张先…

很多关于CA证书的讲解. 1.什么是CA证书. 看过一些博客,写的比较形象具体. ◇ 普通的介绍信 想必大伙儿都听说过介绍信的例子吧?假设 A 公司的张三先生要到 B 公司去拜访,但是 B 公司的所有人都不认识他,他咋办捏?常用的办法是带公司开的一张介绍信,在信中说:兹有张三先生前往贵公司办理业务,请给予接洽......云云.然后在信上敲上A公司的公章. 张三先生到了 B 公司后,把介绍信递给 B 公司的前台李四小姐.李小姐一看介绍信上有 A 公司的公章,而且 A 公司是经常和 B 公司有业务往…

1.编辑/etc/pki/tls/openssl.cnf [ CA_default ] dir             = /etc/pki/CA           # 工作目录certs           = $dir/certs            # 客户端证书保存位置crl_dir         = $dir/crl              # 证书吊销列表database        = $dir/index.txt #证书列表new_certs_dir   = $dir/…

生成自签名证书 生成服务端秘钥 $ openssl genrsa -out server.key 1024 生成证书请求文件 编写配置文件openssl.cnf $ vi openssl.cnf [req] req_extensions = v3_req distinguished_name = req_distinguished_name [req_distinguished_name] countryName = CN countryName_default = CN stateOrProv…

众所周知,Activex组件没有进行有效的签名,在IE上无法安装的,除非你让用户手工开启“接收任何未签名的ActiveX”,这个很明显不现实.而组件签名需要证书,证书从哪里来,你可以选择付1000到3000元不等在专门的机构去购买,这个费用还仅仅是一年的费用,每年都要缴纳一次的.你在google上搜索“微软代码签名证书”可以收到很多这样的公司在提供这项服务.如果您开发的是产品,我认为完全可以自己制作证书.让用户在使用你的产品的过程中首先下载你制作的证书安装在本系统,然后方可顺利安装您签名的Act…

由于CA收费,所以可以自建CA,通过将CA导入浏览器实现https的效果,曾经12306购票就需要自行导入网站证书. 关于https 2015年阿里巴巴将旗下淘宝.天猫(包括移动客户端)全站启用HTTPS加密,并顺利通过"双十一"考验,成为全球最大的电商平台全站HTTPS改造案例. 全站HTTPS需要解决3大问题. 首先是性能,主要分三点: HTTPS需要多次握手,因此网络耗时变长,用户从HTTP跳转到HTTPS需要一些时间: HTTPS要做RSA校验,这会影响到设备性能: 所有CDN…

0x00 前言 互联网上的Web应用由于用户数目广泛,都是采用单向身份认证的,只需要客户端验证服务端的身份.但如果是企业内部的应用对接,客户端数量有限,可能就会要求对客户端也做身份验证,这时就需要一个双向认证方案.本文通过搭建私有CA,利用OpenSSL工具,实现服务端与客户端的双向身份认证.安全协议采用HTTPS,这里用到的HTTPS除了能够进行身份认证以外,还能保证通信的保密性和完整性. 0x01 组建方案 组建方案如下图所示: 整个方案包括一个私有CA.一个服务端.一个客户端,用于验证HT…