Nginx的双向认证

一、前言

参考链接

OPENSSL加密DSA,RSA介绍

客户端默认是相信权威CA机构的，操作系统内置了CA证书。

说白了就是操作系统默认就有了CA证书的公钥，比如我们能访问https://www.baidu.com（百度）就是因为我们本身的操作系统中CA认证机构中有百度。

centos操作系统中被信任的证书一般在此文件中
cat /etc/pki/tls/certs/ca-bundle.crt

我们可以查看一下访问百度的一个通信过程

curl -v https://www.baidu.com

subject:使用者，代表服务器的实体名称，该组织向CA机构申请证书，其对应的Name类型和issuer的Name类型是一样的，CN表示服务器实体类的域名。

issuer:签发者，代表CA机构的名称，对应的Name类型很重要，简称为DN

我们可以看下访问百度通信过程中的签发者GlobalSign是否存在我们操作系统的CA认证中

有兴趣了解ECC Root CA - R4,Root CA - R6…可以参考这篇文章Globalsign Root CA是什么？

二、什么是CA

CA是证书的签发机构

• CA也分等级的，最高级的CA称为RootCA，即根证书 低一级别的CA证书由它来颁发和签名
• 这样我们信任RootCA，那些由RootCA签名过的证书的CA就可以来颁发证书给实体或其他CA
• 那谁给RootCA签名呢？答案是他们自己给自己签名哈哈，叫自签名。

我们可以看下百度的证书信息

openssl s_client -connect www.baidu.com:443

关于openssl指令的具体参数，感兴趣的可以参考openssl s_client 博文。 或者使用指令： openssl s_client help 来查询。

三、证书签发过程

1. 服务方S向第三方机构CA提交公钥、组织信息、个人信息(域名)等信息并申请认证;
2. CA通过线上、线下等多种手段验证申请者提供信息的真实性，如组织是否存在、企业是否合法，是否拥有域名的所有权等;
3. 如信息审核通过，CA会向申请者签发认证文件-证书。 证书包含以下信息：申请者公钥、申请者的组织信息和个人信息、签发机构 CA的信息、有效时间、证书序列号等信息的明文，同时包含一个签名; 签名的产生算法：首先，使用散列函数计算公开的明文信息的信息摘要，然后，采用 CA的私钥对信息摘要进行加密，密文即签名;
4. 客户端 C 向服务器 S 发出请求时，S 返回证书文件;
5. 客户端 C读取证书中的相关的明文信息，采用相同的散列函数计算得到信息摘要，然后，利用对应 CA的公钥解密签名数据，对比证书的信息摘要，如果一致，则可以确认证书的合法性，即公钥合法;
6. 客户端然后验证证书相关的域名信息、有效时间等信息;
7. 客户端会内置信任CA的证书信息(包含公钥)，如果CA不被信任，则找不到对应 CA的证书，证书也会被判定非法。

四、Nginx Https自签证书

先安装一下Nginx（我这边已经安装了简略带过）

yum -y install nginx

修改nginx.conf配置文件

cat > /usr/local/nginx/conf/nginx.conf <<EOF
server {listen       443 ssl;server_name  localhost;ssl_certificate      /cert/server.crt;ssl_certificate_key  /cert/server.key;ssl_session_cache    shared:SSL:1m;ssl_session_timeout  5m;ssl_ciphers  HIGH:!aNULL:!MD5;ssl_prefer_server_ciphers  on;location / {root   html;index  index.html index.htm;}}
EOF

创建自签证书文件

mkdir /cert
cd /cert
openssl genrsa -out server.key 2048
openssl req -x509 -new -nodes -key server.key -subj "/CN=achao666.xyz" -days 365 -out server.crt
openssl x509 -in server.crt -noout -text 查看证书

重启Nginx

./nginx -s reload

测试访问自签证书场景：

1.直接访问服务器

curl https://localhost

2.使用浏览器直接访问

3.不验证证书直接访问（跳过验证）

curl -k https://localhost

4.携带证书访问

curl https://localhost --cacert /cert/server.crt

我们明明携带了证书为什么还是被拒绝了呢，原因是我们的域名没有解析…

那我们再试试解析域名之后在携带证书或者让客户端解析域名

方式一：

curl https://achao666.xyz --cacert /cert/server.crt --resolve achao666.xyz:443:"ip地址"

方式二：

备份配置，等等要还原

cp /etc/hosts /opt/

echo "ip地址 achao666.xyz" >> /etc/hosts

curl https://achao666.xyz --cacert /cert/server.crt

测试后还原

cp /opt/hosts /etc/

5.直接访问不想携带证书

将系统的CA认证做一份备份

 cp /etc/pki/tls/certs/ca-bundle.crt /opt/

将我们自己生成的证书也放到系统的CA认证中

cat /cert/server.crt >> /etc/pki/tls/certs/ca-bundle.crt

访问

curl https://achao666.xyz --resolve achao666.xyz:443:"ip地址"

测试结束还原配置

cp /opt/ca-bundle.crt /etc/pki/tls/certs/

五、使用CA签发证书

创建CA证书文件

rm -rf /cert/
mkdir /cert
cd /cert
openssl genrsa -out ca.key 2048
openssl req -x509 -new -nodes -key ca.key -subj "/CN=achao666-ca.xyz" -days 365 -out ca.crt
openssl x509 -in ca.crt -noout -text 查看证书

创建服务器证书交给CA签名

openssl genrsa -out server.key 2048
openssl req  -new  -key server.key -subj "/CN=achao666.xyz" -out server.csr
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365
openssl x509 -in server.crt -noout -text 查看证书

nginx.conf不变，重启Ng

./nginx -s reload

测试访问场景

1.携带server.crt证书并解析域名能否访问

curl https://achao666.xyz --cacert /cert/server.crt --resolve achao666.xyz:443:139.224.50.94

2.携带ca.crt证书测试能否访问

curl https://achao666.xyz --cacert /cert/ca.crt --resolve achao666.xyz:443:139.224.50.94

3.携带ca.crt证书，但是不解析域名

curl https://achao666.xyz --cacert /cert/ca.crt

六、客户端使用自签名证书供服务端验(双向认证)

修改nginx.conf配置文件

cat > /usr/local/nginx/conf/nginx.conf <<EOF
server {listen       443 ssl;server_name  localhost;ssl_certificate      /cert/server.crt;ssl_certificate_key  /cert/server.key;ssl_client_certificate  /cert/client.crt;ssl_verify_client on;ssl_session_cache    shared:SSL:1m;ssl_session_timeout  5m;ssl_ciphers  HIGH:!aNULL:!MD5;ssl_prefer_server_ciphers  on;location / {root   html;index  index.html index.htm;}}
EOF

生成一个客户端的key和证书

openssl genrsa -out client.key 2048
openssl req -x509 -new -nodes -key client.key -subj "/CN=client" -days 365 -out client.crt

重启Nginx

./nginx -s reload

测试场景：

1.携带ca.crt证书并解析域名

curl https://achao666.xyz --cacert /cert/ca.crt --resolve achao666.xyz:443:139.224.50.94

2.携带ca.crt证书和客户端的证书client.crt

curl https://achao666.xyz --cacert /cert/ca.crt --cert /cert/client.crt --key /cert/client.key --resolve achao666.xyz:443:139.224.50.94
--cacert /cert/ca.crt 客户端验证服务端
--cert /cert/client.crt --key /cert/client.key 服务端验证客户端

七、使用根证书签发客户端证书提供服务端验证(双向认证)

修改nginx.conf配置文件

cat > /usr/local/nginx/conf/nginx.conf <<EOF
server {listen       443 ssl;server_name  localhost;ssl_certificate      /cert/server.crt;ssl_certificate_key  /cert/server.key;ssl_client_certificate  /cert/client-ca.crt;ssl_verify_client on;ssl_session_cache    shared:SSL:1m;ssl_session_timeout  5m;ssl_ciphers  HIGH:!aNULL:!MD5;ssl_prefer_server_ciphers  on;location / {root   html;index  index.html index.htm;}}
EOF

生成一个根证书

openssl genrsa -out client-ca.key 2048
openssl req -x509 -new -nodes -key client-ca.key -subj "/CN=client-ca" -days 365 -out client-ca.crt

生成一个客户端私钥和一个证书签名请求

openssl genrsa -out client.key 2048
openssl req -new -key client.key -subj "/CN=client" -out client.csr

扩展文件

因为他是一个客户端认证文件加一个扩展的配置文件

这是关于扩展密钥用法，而不是密钥用法（这是一个不同的设置）。所需的内容取决于证书的用途，即服务器身份验证（通常在服务器端需要）和/或客户端身份验证（客户端，较不常见）。

cat > client.ext << EOF
extendedKeyUsage=clientAuth
EOF

CA对证书请求进行签名

openssl x509 -req -in client.csr -CA client-ca.crt -CAkey client-ca.key -CAcreateserial -extfile client.ext -out client.crt -days 356

重启nginx

./nginx -s reload

测试场景

1.携带ca.crt证书和客户端的证书client.crt

curl https://achao666.xyz --cacert /cert/ca.crt --cert /cert/client.crt --key /cert/client.key --resolve achao666.xyz:443:139.224.50.94

2.浏览器测试

由于是双向认证，直接通过浏览器访问https地址是被告知400 Bad Request（No required SSL certificate was sent）的，需要在本机安装client证书。

windows上安装的证书需要pfx格式，也叫p12格式，生成方式如下：

openssl pkcs12 -export -inkey /cert/client.key -in /cert/client.crt -out client.pfx 
sz client.pfx 下载到windows

安装证书

3.生成多个客户端证书能否成功访问

生成秘钥和请求签名证书

openssl genrsa -out client2.key 2048
openssl req -new -key client2.key -subj "/CN=client2" -out client2.csr

使用之前创建的CA证书对其签名

openssl x509 -req -in client2.csr -CA client-ca.crt -CAkey client-ca.key -CAcreateserial -extfile client.ext -out client2.crt -days 356

生成浏览器需要的pfx格式

openssl pkcs12 -export -inkey /cert/client2.key -in /cert/client2.crt -out client1.pfx 

导出

sz client1.pfx 

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-T7PGUxu5-1643041751129)(https://s2.loli.net/2022/01/20/QJSv9o1GKd6cj3r.png)]