Web安全實踐實驗

一、網站加密過程簡介

CA（Certificate Authority）       加密          網站

步驟：

1.CA給瀏覽器廠商發公鑰

2.阿里把公鑰給CA，CA用自己的私鑰加密阿里的公鑰，返回給阿里

3.使用者用瀏覽器訪問阿里的網站，阿里把用CA的私鑰加密過的自己的公鑰給使用者

4.使用者用瀏覽器中的CA公鑰解密阿里公鑰，正確配對則信任訪問的網站

二、使用openssl生產上面所說的四個公鑰和私鑰

1.給CA生成公鑰和私鑰。建立一個根目錄放置所有檔案，這裡選擇了/home/lichking/ssl。private資料夾用於存放CA的私鑰，certs資料夾用於存放server頒發的證書的副本，index.txt檔案作為證書的資料庫檔案，serial檔案作為頒佈證書的序號，先使用01.

   mkdir ssl

   cd ssl

mkdir privatecerts

chmod 777private

touch index.txt

echo ‘01’>serial

如上圖，然後建立一個CA配置檔案caconfig.conf，內容如下(劃線部分需要修改)：

[ ca ]

default_ca = local_ca

[ local_ca ]

dir = /home/lichking/ssl

certificate = $dir/cacert.pem

database = $dir/index.txt

new_certs_dir = $dir/certs

private_key = $dir/private/cakey.pem

serial = $dir/serial

default_crl_days = 365

default_days = 1825

default_md = sha1

policy = local_ca_policy

x509_extensions = local_ca_extensions

copy_extensions = copy

[ local_ca_policy ]

commonName = optional

stateOrProvinceName = optional

countryName = optional

emailAddress = optional

organizationName = optional

organizationalUnitName = optional

[ local_ca_extensions ]

basicConstraints = CA:false

[ req ]

default_bits = 2048

default_keyfile = /home/lichking/ssl/private/cakey.pem

default_md = sha1

prompt = no

distinguished_name = root_ca_distinguished_name

x509_extensions = root_ca_extensions

[ root_ca_distinguished_name ]

commonName = MyOwn Root Certificate Authority

stateOrProvinceName = NC

countryName = US

emailAddress = [email protected]

organizationName = Trade Show Hell

organizationalUnitName = IT Department

[ root_ca_extensions ]

basicConstraints = CA:true

[local_ca]下，dir為之前建立的資料夾的上級目錄，此處為/home/lichking，如圖

[req]下，default_keyfile也需要修改，此處為/home/lichking/private/cakey.pem

生成CA證書：opensslreq –x509 –newkey rsa:2048 –out cacert.pem –outform PEM –days 365 –configcaconfig.conf。

系統會要求輸入CA密碼，這個密碼會長生成伺服器證書時使用。我使用了lichking作為密碼。private下會生成cakey.pem

2.生成網站的公鑰和私鑰

先生成一個配置檔案server.conf

輸入指令gedit server.conf，把下面的內容貼上進去。

[ req ]

prompt = no

distinguished_name= server_distinguished_name

req_extensions =v3_req

[server_distinguished_name ]

commonName =localhost

stateOrProvinceName= NC

countryName = US

emailAddress [email protected]

organizationName= My Organization Name

organizationalUnitName= Subunit of My Large Organization

[ v3_req ]

basicConstraints= CA:FALSE

keyUsage =nonRepudiation, digitalSignature, keyEncipherment

subjectAltName [email protected]_names

[ alt_names ]

DNS.0 =localhost

DNS.1 =localhost

輸入openssl req –newkeyrsa:1024 –keyout serverkey.pem –keyform PEM –out tempreq.pem –outform PEM –configserver.conf

要求輸入密碼，我輸了123。

3.使用CA的私鑰對第二步生成的公鑰進行加密。

openssl ca –intempreq.pem –out server_crt.pem –config caconfig.conf

tempreq.pem就是第二步生成的公鑰，輸出為server_crt.pem，就是要加入到瀏覽器中的公鑰。輸入第一步生成CA時使用的密碼lichking

4.修改/etc/apache2/sites-avaiable中default-ssl檔案的SSLCertificateFile和SSLCertificateKeyFile，前面是用CA私鑰加密過的網站公鑰，後面是網站的私鑰。

SSLCertificateFile        /home/lichking/ssl/server_crt.pem

SSLCertificateKeyFile      /home/lichking/ssl/serverkey.pem

5.執行a2enmod ssl 和a2ensite default-ssl啟動SSL模組，執行service apache2 restart重啟伺服器。要求輸入伺服器私鑰，我輸的是123。

6.在firefox瀏覽器的Edit->Preferences->Advanced->Encryption->ViewCertificates->Authorities中import CA的根證書/home/lichking/ssl/cacert.pem檔案

三、實驗中遇到的問題

這次實驗是web安全實踐的第一個實驗，有的同學才剛開始用Linux，十分不熟悉，所以可能會出很多問題。屬於基本操作的問題我這裡就不寫了，下面寫我遇到的兩個問題。

1.輸入service apache2 restart後，顯示錯誤job forapache2.service failed……輸入systemctl status apache2.service後出現下面畫面。

問題分析：這可能是因為apache2設定引起的，輸入apache2ctl –t 查看出現的問題。

解決方法：如上圖，顯示檔案/etc/ssl/server_crt.pem不存在，可能是之前的第三步出現了問題，重新做一邊第三步。

問題分析：仔細檢視瀏覽器給出的錯誤提示，發現是serial number不對。可能是生成的證書編號重複了。

解決方法：回去改index.txt中的序列號。或者重新生成一遍證書。

附錄：給第一次使用apache2的朋友

安裝apache2:sudoapt-get install apache2

/etc/apache2下是配置檔案

ports.conf是監聽的埠

sites-available是可用的站點

建立一個新網站：

1.      修改apache2下的apache2.conf，全部改成granted

2.      進入sites-available資料夾，開啟000-default.conf，把DocumentRoot改成網站的資料夾

3.      a2ensite 000-default

4.      service apache2 restart

5.      開啟firefox,輸入localhost就可以看到自己的網站了。

四、實驗感想

  說實話這個實驗對於第一次接觸Linux的人來說挺難的，很多命令都沒明白就開始做實驗了。這次實驗開始前要做的工作有安裝一個虛擬機器à安裝ubuntuà安裝openssl和apache2。

之後才是正式的實驗。通過這次實驗可以體會到網站金鑰的生成過程，同時提高對Linux的熟悉程度。我第一次做這個實驗的時候做了兩天吧，前前後後做了5、6次，教同學又做了好幾次。web安全實踐課程就這樣開始了。