HTTPS 学习

HTTPS 学习

运行 https server ：

openssl 生成私钥和证书

生成 rsa 私钥 server.key ：

1	root@ubuntu:~/test# openssl genrsa -out server.key 2048

根据私钥生成证书申请文件 server.csr ：

1	root@ubuntu:~/test# openssl req -new -key server.key -out server.csr

指定给 wsl.com 这个域名颁发的证书

然后生成一个 CA 根证书（自签名x509 ）：

用私钥对证书申请进行签名，从而生成证书 server.crt：

root@ubuntu:~/test# openssl x509 -req -in server.csr -out server.crt -signkey server.key -days 3650
Signature ok
subject=C = CN, ST = Beijing, L = city, O = company, OU = section, CN = test, emailAddress = test@test.com
Getting Private key

有效期为 10年

**根证书可以直接用作服务器证书 **

python https server：

from http.server import HTTPServer, BaseHTTPRequestHandler
import ssl

class SimpleHTTPRequestHandler(BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200)
        self.end_headers()
        self.wfile.write(b'Hello, world!')

httpd = HTTPServer(('0.0.0.0', 4443), SimpleHTTPRequestHandler)

httpd.socket = ssl.wrap_socket (httpd.socket, 
        keyfile="server.key", 
        certfile='server.crt', server_side=True)

httpd.serve_forever()

然后访问：

1 2	inhann@ubuntu:~$ curl https://wsl.com:4443 --cacert /home/inhann/test/server.crt Hello, world!

golang 的 https server：

package main

import (
	"fmt"
	"net/http"

	"golang.org/x/net/http2"
)

type MyHandler struct {
}

func (h *MyHandler) ServeHTTP(w http.ResponseWriter, r *http.Request) {
	fmt.Fprintf(w, "hello world!")
}

func main() {
	handler := MyHandler{}
	server := http.Server{
		Addr:    "0.0.0.0:4443",
		Handler: &handler,
	}
	http2.ConfigureServer(&server, &http2.Server{})
	server.ListenAndServeTLS("server.crt", "server.key")
}

访问：

1 2	inhann@ubuntu:~$ curl https://wsl.com:4443 --cacert /home/inhann/test/server.crt hello world!

也可以直接忽略：

1 2	inhann@ubuntu:~$ curl https://wsl.com:4443 -k Hello, world!

使用 openssl 生成证书：

生成根证书：

首先生成 private key ：

1	inhann@ubuntu:~/test$ openssl genrsa -out root.key 2048

然后生成一个 CA 证书请求：

1	inhann@ubuntu:~/test$ openssl req -new -key root.key -out root.csr

可以全部都回车

然后自签名生成证书：

1	inhann@ubuntu:~/test$ openssl x509 -req -days 365 -in root.csr -signkey root.key -out root.crt

服务器证书生成：

生成 private key server.key：

1	inhann@ubuntu:~/test$ openssl genrsa -out server.key 2048

生成 csr server.csr ：

1	inhann@ubuntu:~/test$ openssl req -new -key server.key -out server.csr

作为服务器端，最重要的是 Common Name ，这个字段代表了与服务器关联的域名，或者是 IP

然后用根证书签发服务端证书 server.crt：

方法一

1	inhann@ubuntu:~/test$ openssl ca -in server.csr -out server.crt -cert root.crt -keyfile root.key

应对报错：

mkdir ./demoCA/newcerts -p
touch ./demoCA/index.txt
echo 01 > ./demoCA/serial

方法二

也可以自签的形式，通过 -CA 等参数指定根证书：

1	inhann@ubuntu:~/test$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt -CA root.crt -CAkey root.key -CAcreateserial

实验：

跑一个 https server ，用 server.key 作为 rsa private key ，用 server.crt 作为服务器证书

/home/inhann/test/https.py:12
12: httpd.socket = ssl.wrap_socket (httpd.socket, 
13:         keyfile="server.key", 
14:         certfile='server.crt', server_side=True)

可以指定用的根证书为 root.crt 然后访问：

1 2	inhann@ubuntu:~$ curl https://wsl.com:4443 --cacert /home/inhann/test/root.crt Hello, world!

把根证书 root.crt 安装到浏览器：

在证书颁发机构这边，导入：

可以看到根证书被导入了：

然后就可以直接访问 https ，而不会被拦截了：

https 的加解密机制 ( Public Key Infrastructure , PKI )：

https 保证了浏览器和 web server 之间通信的保密性

both types of encryption are used. Asymmetric (public key) encryption is used first to establish the connection, which is then replaced with symmetric encryption (called the session) for the duration.

两种加密方式（对称、非对称）都会使用，非对称主要用于建立连接，对称用于数据的加密传输

以下是浏览器通过 https 和 web server 交互的具体过程：

Your browser reaches out to the website server and requests a connection.

首先，浏览器向 web server 发起建立连接的请求
The server sends you its public key. It keeps its private key a secret.

web server 上面保存着一对 public key 和 private key ，web server 把 public key 传给浏览器
Your browser generates a third key called a session key.

浏览器生成一个 session key ，这个key 是用于对称加密的
The session key is encrypted by your computer using the public key you got from the server

然后浏览器把通过 public key 这个 session key 进行加密
The encrypted session key is then shared with the server.

加密后的 session key 被传输给 web server
The server decrypts the session key that it received from you using the secret private key. Now both ends have the session key that your computer generated.

web server 用 private key 进行解密，拿到 session key
The public key encryption is terminated and replaced with symmetric encryption.

public key encryption 此时就结束了，接下来都是对称加密
Now you are in a session with the server using only symmetric encryption, and that’s how it remains until you leave the website.

现在 server 和浏览器的交互都通过对称加密进行