建立並使用https證書
阿新 • • 發佈：2021-01-22
[toc]
## 前言
> https要比http更安全些，因此可以配置Nginx伺服器使用證書，客戶端就會去第三方平臺校驗證書。
> 但是我們自己的伺服器和客戶端只是想要加個密而已，也沒必要跑去第三方平臺校驗證書，省錢方便。
> 因此研究了一下生成證書和使用證書的筆記。
## 產生證書
> 網上很多都是用openssl命令列去產生，有點麻煩，主要是不想記一堆命令，因此找到一個非常簡單的專案。
> 專案地址：，需要環境有`python3、openssl、make`這三個工具。
> 使用方法`cd tls-gen/basic & make CN=www.janbar.com`，這樣客戶端必須用該域名進行訪問，並且要帶上對應證書。
> 最終產生如下三個檔案，`testca/cacert.pem`是客戶端使用，`server/cert.pem，server/key.pem`是伺服器使用。
```sh
testca/
cacert.pem
server/
cert.pem
key.pem
```
>
test.exe test.go``` ## 用tls加密tcp連線 > 測試程式碼`test_tcp.go`檔案，原始碼如下： ```go package main import ( "crypto/tls" "crypto/x509" "fmt" "net" "time" ) func main() { addr := "www.janbar.com:8080" go func() { err := tcpServer(addr) if err != nil { panic(err) } }() time.Sleep(time.Second) err := tcpClient(addr) if err != nil { panic(err) } } func tcpServer(addr string) error { cf, err := tls.X509KeyPair(certPEMBlock, keyPEMBlock) if err != nil { return err } s, err := tls.Listen("tcp", addr, &tls.Config{Certificates: []tls.Certificate{cf}}) if err != nil { return err } defer s.Close() client := func(c net.Conn) error { tNow := time.Now().String() buf := make([]byte, len(tNow)) n, err := c.Read(buf) if err != nil { return err } fmt.Printf("server [%s]\n", buf[:n]) _, err = c.Write([]byte(tNow)) return err } for { l, err := s.Accept() if err != nil { return err } go func(c net.Conn) { defer c.Close() if err := client(c); err != nil { fmt.Println(err) } }(l) } } func tcpClient(addr string) error { roots := x509.NewCertPool() ok := roots.AppendCertsFromPEM(rootPEM) if !ok { panic("failed to parse root certificate") } c, err := tls.Dial("tcp", addr, &tls.Config{RootCAs: roots}) if err != nil { return err } defer c.Close() tNow := time.Now().String() c.Write([]byte(tNow)) buf := make([]byte, len(tNow)) n, err := c.Read(buf) if err != nil { return err } fmt.Printf("client [%s]\n", buf[:n]) return nil } ``` > 執行`go run test_tcp.go cert.go`效果如下： ```go server [2021-01-21 21:09:51.7942154 +0800 CST m=+1.011929701] client [2021-01-21 21:09:51.7852425 +0800 CST m=+1.002956801] ``` ## 總結 > 以前使用的tcp連線沒有任何加密，現在想想還是不安全。用上證書，起碼會校驗訪問域名和證書等資訊，多少回安全一些。 > 以上都是用來測試等等，如果需要正式使用證書，還是去各大網站花錢申請吧。我一直用萬網的免費證書，但是有效期只有一