科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道用SSL和TinyCA保护你的web服务器(1)

用SSL和TinyCA保护你的web服务器(1)

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

SSL非常适合HTTP,因为它能提供一些保护,即使只有通讯一方是结果认证的,在因特网上处理HTTP事物时,通常只有服务器是结果认证的,本文解释如何使用OpenSSL和TinyCA在OpenSuse 10.2服务器上安装一个虚拟主机。

来源:论坛整理 2008年9月17日

关键字: 安全技术 服务器安全 系统安全

  • 评论
  • 分享微博
  • 分享邮件
SSL非常适合HTTP,因为它能提供一些保护,即使只有通讯一方是结果认证的,在因特网上处理HTTP事物时,通常只有服务器是结果认证的,本文解释如何使用OpenSSL和TinyCA在OpenSuse 10.2服务器上安装一个虚拟主机。

步骤1:创建index页面

在“Apache虚拟主机快速搭建攻略”一文中,我们已经做了这件事情,现在只需要创建下面的目录:

mkdir /srv/www/htdocs/ssl

然后可以将你的web页面放入这个目录,我们只创建一个index.html文件,该文件的内容显示服务器的类型,文件内容样例:

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
<meta content="text/html; charset=ISO-8859-1"
http-equiv="content-type">
<title></title>
</head>
<body>
<div style="text-align: center;"><span
style="font-weight: bold;">This is my secure webserver working on
Port 443.<br>
<a href="http://www.linux-tip.net">Linux-Tip.net</a></span></div>
</body>
</html>

步骤2:在端口443上配置基于ip的虚拟主机

OpenSuse在/etc/apache2/vhosts.d目录下存放虚拟主机的配置文件,在启动过程中,Apache会自动应用该目录下所有的.conf文件,使用ssl模板,可以很轻松地创建一个新的配置文件:

cd /etc/apache2/vhosts.d/

cp vhost-ssl.template ssl.conf

下面这些行是你应该做适当修改的:

VirtualHost      192.168.33.234:443       用你的ip地址替换这里的ip地址,保留443端口

DocumentRoot         使用你在步骤1中创建的目录

SSLCertificateFile  使用步骤3中创建的服务器证书

SSLCertificateKeyFile       使用步骤3中创建的服务器密钥文件

SSLCACertificateFile         使用步骤3中创建的CA证书

这个配置文件最后看起来象:

<IfDefine SSL>
<IfDefine !NOSSL>

##
## SSL Virtual Host Context
##
<VirtualHost 192.168.33.234:443>
DocumentRoot "/srv/www/htdocs/ssl/"
ServerAdmin webmaster@linux-tip.netThis e-mail address is being protected from spam bots, you need JavaScript enabled to view it
ErrorLog /var/log/apache2/error_log
TransferLog /var/log/apache2/access_log
SSLEngine on
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
SSLCertificateFile /srv/www/etc/server.crt
SSLCertificateKeyFile /srv/www/etc/server.key
SSLCACertificateFile /srv/www/etc/ca-cert.crt
#SSLVerifyClient require
#SSLVerifyDepth  1
<Files ~ "\.(cgi|shtml|phtml|php3?)$">
SSLOptions +StdEnvVars
</Files>
<Directory "/srv/www/htdocs/ssl/">
Options All
Order Allow,Deny
Allow from all
</Directory>
SetEnvIf User-Agent ".*MSIE.*" \
nokeepalive ssl-unclean-shutdown \
downgrade-1.0 force-response-1.0
CustomLog /var/log/apache2/ssl_request_log   ssl_combined
</VirtualHost>
</IfDefine>
</IfDefine>

重要提示:要在Apache服务器上启用SSL支持,必须配置/etc/sysconfig/apache2文件,请将下面这行(大约在132行)修改为:

APACHE_SERVER_FLAGS="SSL"

 

步骤3:创建证书和密钥

TinyCA是一个用Perl/Gtk编写的管理小型CA(认证机构)的简单图像用户接口,它作为openssl的前端工作。如果你经常更新你的Suse,你应该在你的升级服务器上发现这个工具,请使用YaST安装它。

 

或从http://tinyca.sm-zone.net/下载,请注意正常运行TinyCA需要perl-Gtk2,可以在Linux终端下运行

tinyca &

如果你是以root登陆工作的,TinyCA将在/root/.TinyCA目录下存储所有创建的证书,首先我们创建一个认证机构,如下图所示:

接下来,我们创建一个服务器证书,点击“请求”(Request),然后点鼠标右键à“新建请求”(New Request),请填入下图所示的信息:

 

现在开始签署请求,在你需要签名的请求上点鼠标右键“签署请求”( Sign Request)à“签署请求(服务器)”(Sign Request(Server)),输入前面创建CA时的密码。

现在你应该发现分别有一个证书和密钥的条目,请仔细检查,它看起来应该象:

 

我们后面也会用到客户端证书和密钥,让我们快速地创建它们,点击“请求”(Request)à然后点击鼠标右键à“新建请求”(New Request),请填入下图所示的信息:

 

根据这个对请求进行签名,标记请求:在“签署请求”(Sign Request)上点击鼠标右键à“签署请求(客户端)”(Sign Request (Client)),输入CA密码。

 

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章