• 跨 CA 签发多个证书的 Nginx mTLS 配置

    calendar Dec 2, 2024   ---   · 4 min read · HTTPS TLS mTLS  ·
    Share on: linkedin copy
    跨 CA 签发多个证书的 Nginx mTLS 配置
    研究过用同一个 CA 签发的服务端和客户端证书的 Nginx mTLS 配置，本文要试验一番服务端和客户端证书由不同 CA 机构签发的情形。这是常有事，比如与客户间采用 mTLS 加密方式，需要文件交付可能是


    1. 客户端证书由甲方生成，发送客户端私钥和证书(或放在一起的 PKCS#12 格式证书)给乙方
    2. 或由乙方生成客户端私钥或证书，乙方把签发用的 CA 证书发给甲方已配置信任链
    3. 甚至服务端，客户端的证书都由甲方生成的情况下也可能使用不同的 CA 签发

    下面来测试不同 CA 签发证书的 Nginx mTLS 配置。

    今天升级了 ChatGPT 为 Plus 版本，可以用 ChatGPT 4o, 确实是比较强，输入 "mtls 不同 ca 签发的服务端客户端证书在 nginx 中的配置" 提示符产生的内容几乎可以直接作为博文。但本人必须遵循本博客非 AI 产生的原则，只参考 ChatGTP 的答案，关键是一个要自己亲自动手验证并理解每一项配置的功用。 Read More

  • Wireshark 查看本地浏览器的 HTTPS 加密通信

    calendar Nov 30, 2024   ---   · 2 min read · HTTPS TLS  ·
    Share on: linkedin copy
    Wireshark 查看本地浏览器的 HTTPS 加密通信
    继续 TLS(或 SSL, HTTPS) 的话题。在我们诊断 HTTP 请求时，为了验证代码中发送了什么样的请求，会用 curl 或 Postman 的辅助，但它们都可能会带上额外的请求头等信息，最为可靠的办法是用网络抓包工具如 Wireshark, 从中看到的 HTTP 文本协议内容才是真正往外发送的内容。可是对于 HTTPS 的协议数据用 Wireshark 抓取到了也没用，因为它是加密了的，作为 TLS 的 Payload, 如果不知道加密算法或密钥是解不开来的。客户端与服务端的密钥交换是采用非对称方式加密的，只通过抓网络包是不可能知道最终确定的密钥是什么，除非像 Zscaler 那样堂而皇之地作为中间人攻击(man in the middle attack)。

    但既然是本地浏览器能理解的网页内容，只要浏览器留了口子的话，也是有办法在 WireShark  中显示出抓取到的 HTTPS 的内容，那就是设置环境变量 SSLKEYLOGFILE, 然后启动浏览器(FireFox 或 Chrome), 就会把通信过程中的密钥记录到文件中，WireShark  中引用该 SSLKEY  文件就能显示出确切的 HTTP 请求的内容。 Read More

  • 自签发证书配置 HTTPS 单向双向验证

    calendar Nov 27, 2024   ---   · 30 min read · HTTPS TLS mTLS  ·
    Share on: linkedin copy
    自签发证书配置 HTTPS 单向双向验证
    好久以前阅读《HTTP/2 in Action》一书起了个头，又重新放回了书架。近来再次对 HTTPS/TLS 来了劲，自己的博客用的是 Let's Encrypt 签发的证书，这次实践一下自签发证书的过程与配置，并实现单向和双向的认证方式。

    如果是配置单向认证的过程需要有以下三个证书
    1. 根(CA) 证书: root.crt
    2. 服务端私钥文件: server.key
    3. 服务端公钥证书: server.crt

    证书是含有组织与域名或(CA) 信息以及公钥的文件, root.key 和 root.crt 将被用于签发其他的证书。这里的 crt 证书是 x509 格式的。

    浏览器只会信任某些 CA 机构签发的证书，如 DigiCert, GlobalSign, GoDaddy, Amazon Root CA，Let's Encrypt 等。如果是不被信任 CA 签发的证书，我们在浏览器中打开相应的 HTTPS url 就会看到 'Not Secure - Your connection is not private' 的提示，要继续访问需自行承担可能的安全责任。 Read More

  • 《HTTP/2 in Action》阅读笔记(二)

    calendar Aug 30, 2022   ---   · 2 min read · HTTPS http2  ·
    Share on: linkedin copy
    《HTTP/2 in Action》阅读笔记(二)
    要开始步入 HTTP/2 的，https://httparchive.org/reports/state-of-the-web#h2 显示了使用 HTTP/2 的趋势，和其他数据，如 HTTP/3 的应用趋势。随着互联网的发展，展示一个网页请求的资源越来越多，传输的总字节数在变大，平均近几M - https://www.speedcurve.com/blog/web-performance-page-bloat/。

    https://www.webpagetest.org 可以用测试网页中所有资源加载的瀑布图，包括 DNS 的查询，网络连接，SSL 协商及 CPU, 带宽使用情况。

    HTTP/1.1 效率较低下，只能同步发送处理请求，即请求，得到响应后才能发下一个请求，一个网会加载许多的资源，如图片, js, css 等。

    HTTP/1.1 的 Pipeling 像 Redis 那样的 pipeline, 通过一个连接传递多个 HTTP 请求，再依次返回结果，但这种方案并未得到支持与应用。 Read More

  • Python 实现 RSA 非对称加解密

    calendar Aug 18, 2022   ---   · 3 min read · HTTPS RSA SSL TLS  ·
    Share on: linkedin copy
    Python 实现 RSA 非对称加解密
    在阅读《HTTP/2 in Action》的 HTTPS 一节后，不觉一脚踏入到非对称加密这一领地而不能自拔。与非对称加密相对应的是对称加密，有点像是由一把钥匙反锁的门，只能用同一把钥匙打开; 而非对称加密是用一把钥匙反锁门，但只能用另一把特定的钥匙才能打开它，锁门的叫做公钥，开门的叫做私钥。

    在此之前我理解的非对称加密以为是像 MD5 那种摘要(Digest), 由明文生成的 MD5 摘要信息是无法还原出原始数据的，谬以为那就是所谓的非对称。

    1976 年，两位美国计算机学家 Whitefield Diffie 和 Martin Hellman 提出了非对称加解密的的构思。1977 年三位数学家 Ron Rivest, Adi Shamir 和 Leonard Adleman 实现了非对称加密算法，即 RSA，取自这三个的姓的首字母

    具体的 RSA 算法原理可参考阮一峰的两篇网络日志：RSA算法原理 (一) 和 RSA算法原理 (二), 大致就是通过互质的两个数，计算欧拉函数, 模反元素，最终算法公钥和私钥，公钥加密的数据只能用用私钥解密，以当前的算力，只要 RSA 的密钥足够长，如 1024 位以上，私钥是无法通过公钥推断出来的。 Read More

  • Apache 配置 SSL(HTTPS) 并整合 Tomcat

    calendar Mar 30, 2014   ---   · 1 min read · Apache Tomcat HTTPS  ·
    Share on: linkedin copy
    我们在 Tomcat 中可以开启 SSL，用 HTTPS 来访问，见前一篇 快速启用 Tomcat 的 HTTPS 协议访问， 不过更接近实际的应用是 Tomcat 只担当 Servlet 容器，HTTPS 协议部份，甚至是静态页面是交给 Apache 的处理，Apache 与 Tomcat 之间有一个通道。 当然前端用 F5 那类负载均衡设备就另当别论了。

    这里实践一下怎么开启 Apache 的 HTTPS，并与 Tomcat 进行整合的操作。平台是 Mac OS X, Apache2, Tomat8，其他平台或不同版本的应用软件配置类似。

    第一步: 生成自签署证书

    安全加密的东西都得证书，我们需要用到 openssl，没有就先安装它，命令是：
    openssl req -new -x509 -days 365 -nodes -out server.crt -keyout server.key
    上面命令可以指定生成 server.crt 和 server.key 文件的目录，默认产生在当前目录下，假设这两个文件生成在 /etc/apache2 目录下。 Read More

  • 快速启用 Tomcat 的 HTTPS 协议访问

    calendar Mar 29, 2014   ---   · 1 min read · Tomcat HTTPS  ·
    Share on: linkedin copy
    有时候安全考虑会要开启 Tomcat 的 https 协议访问，最快速的配置，两步


    1. 创建 keystore 文件
    执行 JDK 带的命令
    keytool -genkey -alias tomcat -keyalg RSA
    按命令提示各个信息即可，最后在用户主目录下创建了一个 .keystore 文件

    2. 配置 Tomcat 使用 keystore 文件

    打开 server.xml 找到下面被注释的这段
    1<!--
2<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
3          maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
4          clientAuth="false" sslProtocol="TLS" />
5-->
    Read More