实验WEBSSL实验2.docx

1、实验WEBSSL实验2实验七 WEB SSL实验如何在Windows Server 2008的IIS 7.0上部署SSL证书首先，介绍如何安装IIS 7.0。 1.请确保使用Administrator帐号登录，点击开始菜单-所有程序-管理工具-服务器管理器，启动服务器管理器，如下图：2.添加一个服务器角色,点击“角色”，可以看到“角色”总视图，如下：3.点击“添加角色”,点击下一步，选择需要添加的角色：4.选择安装Web服务器(IIS)角色：5.显示Web服务器(IIS)简介，点击下一步6.选择需要安装的部件和功能，：7.确认安装，如下图：8.安装完成：制作CSR请求文件 1.启动IIS管理器

2、，点击开始菜单-所有程序-管理工具-Internet信息服务(IIS)管理器：2.选择“服务器证书”：3.在右边窗口，选择“创建证书申请”：4.输入证书请求信息，通用名称请输入完整的域名（包含主机名），企业名称可以用中文，国家代码一般用CN（请按照ISO 3166-1 A2）：5.选择加密服务程序和密钥长度，加密服务程序选择缺省的Microsoft RSA Schannel Cryptographic Provider，加密长度一般可以为1024位，如果申请EV证书至少2048位6.选择CSR文件的名称，然后“完成”安装证书文件：当您收到迅通诚信的邮件后，您就可以安装并使用您的服务器证书了。将

3、邮件中的证书内容拷贝粘贴到一个纯文本文件中（包含-BEGIN CERTIFICATE-和-END CERTIFICATE-），存成一个server.cer文件，如下图所示： 1.启动IIS管理器，点击开始菜单-所有程序-管理工具-Internet信息服务(IIS)管理器：2.选择“服务器证书”：3.在右边窗口，选择“完成证书申请”3.输入CA签好的证书文件(刚才保存好的server.cer)4.证书导入成功，如下图：5.证书导入成功，如下图：6.将SSL证书和网站绑定，先选择需要使用证书的网站，点击“SSL设置” 7.添加一个新的绑定： 8.将类型改为HTTPS，端口改为443，然后选择刚才导

4、入的SSL证书，点击“确定”，则SSL证书安装完成。 SSL设置参数详解 1.启动IIS管理器，点击开始菜单-所有程序-管理工具-Internet信息服务(IIS)管理器：2.启动IIS管理器，选择网站，双击“SSL设置”3.显示SSL高级设置，如下图：4.“要求SSL”选项，如果没有选中，则用户可以通过HTTPs，也可以通过HTTP来访问，如果“要求SSL”被选中，则用户必须通过HTTPS访问，若用户通过HTTP访问，会出现如下提示：5.“客户证书”有3个选项：忽略、接受、必需。如果“要求SSL”选项没有选中，则不能选择客户证书“必需”项。如果选择“忽略”，则服务器不会去检查是否有客户证书，

5、即使客户端有客户证书，也不会被服务器接收。如果选择“接受”，如果客户有证书，会自动跳出，让客户选择如下图，如果没有，则正常转入原来的页面。6.“客户证书”如果选择必需的时候，如果客户端有客户证书则会跳出窗口，让客户选择，如下图：如果，没有证书，或者客户没有选择客户证书，则会出现错误提示，如下图：建议客户不要选中“要求SSL”，如果需要使用客户端证书，也可以选择“接受”客户证书。如果有些页面要求客户必须通过HTTPS访问，可以使用代码自动跳转的方式，具体参考:“强制通过SSL访问网站”。证书备份（导出） 1.启动IIS管理器，点击开始菜单-所有程序-管理工具-Internet信息服务(IIS)管

6、理器：2.选择“服务器证书”：3.选择需要导出的证书，在右边窗口选择“导出”：3.输入导出证书文件名和密码，证书备份完成。证书恢复（导入） 1.启动IIS管理器，点击开始菜单-所有程序-管理工具-Internet信息服务(IIS)管理器：2.选择“服务器证书”：3.在右边窗口选择“导入”：4.证书的绑定，参见证书安装部分。一、 实验目的数字证书主要应用于各种需要身份认证的场合，目前广泛应用于网上银行、网上交易等商务应用外，数字证书还可以应用于发送安全电子邮件、加密文件等方面。通过实验，使学生了解PKI 的体系结构，证书机构CA 的安装和配置，通过证书机构CA 管理证书的方法，掌握数字证书的申请

7、与安装，数字证书在网站、电子邮件的加密与认证等方面的应用。二、实验描述使用Windows Server 2003建立数字证书颁发机构CA，处理并颁发客户证书和服务器证书；浏览器和Web 服务器之间通过数字证书实现身份识别与加密通信。三、 实验要求理解数字证书的原理和作用，能够建立CA 并进行数字证书的颁发，能够申请、安装、使用Web 服务器证书和客户证书，能够申请、安装、使用电子邮件证书。四、相关知识在Internet 上，最常见的安全是通过使用数字证书实现的。数字证书可以在一个不信任的网络上辨识一个客户和服务器，并且可以加密数据。1）安全认证中心（）、数字证书简介数字证书是网络通讯中标志通讯

8、各方身份信息的一系列数据，提供了一种在Internet 上验证身份的方式，是由一个由权威机构-CA 机构，又称为证书授权(Certificate Authority)中心发行的。数字证书是一个经证书授权中心数字签名的包含客户的公钥等与客户身份相关的信息，如：客户唯一可识别名等等。同时也可以提供时间戳、密钥管理及证书作废表（）等服务。作为安全网络的公证机构，为了维护网络用户间的安全通信，必须行使以下职能：（1）管理和维护客户的证书和（2）维护自身的安全（3）提供安全审计的依据在基于证书的安全通信中，证书是证明用户合法身份和提供用户合法公钥的凭证，是建立保密通信的基础。因此，作为网络可信机构的证书

9、管理设施，的主要职能就是管理和维护它所签发的证书，提供各种证书服务，包括：证书的签发、更新、回收、归档等等。在各类证书服务中，除了证书的签发过程需要人为参与控制外，其他服务都可以利用通信信道通过用户与交换证书服务消息进行。系统的主要功能是管理其辖域内的用户证书，因此，系统功能及证书的应用紧紧围绕证书的管理而展开。一个标准的 X.509 数字证书包含以下一些内容：（1）证书的版本信息；（2）证书的序列号，每个证书都有一个唯一的证书序列号；（3）证书所使用的签名算法；（4）证书的发行机构名称，命名规则一般采用X.500 格式；（5）证书的有效期，现在通用的证书一般采用UTC 时间格式，它的计时范围

10、为1950-2049；（6）证书所有人的名称，命名规则一般采用X.500 格式；（7）证书所有人的公开密钥；（8）证书发行者对证书的签名。2）数字证书的用途数字证书可以应用于公众网络上的商务活动和行政作业活动，包括支付型和非支付型电子商务活动，其应用范围涉及需要身份认证及数据安全的各个行业，包括传统的商业、制造业、流通业的网上交易，以及公共事业、金融服务业、工商税务海关、出入境检验检疫、政府行政办公、教育科研单位、保险、医疗等网上作业系统。由于 Internet 电子商务系统技术使在网上交易各方能够极其方便轻松地获得政府、机构、商家和企业的信息，但同时也增加了对某些敏感或有价值的数据被滥用的风

11、险。交易各方在网上的一切行为都必须是真实可靠的，并且要使顾客、商家、企业和机构等交易各方都具有绝对的信心，因而因特网（Internet）电子商务系统必须保证具有十分可靠的安全保密技术，也就是说，必须依靠数字证书保证网络安全的四大要素，即信息传输的保密性、数据交换的完整性、发送信息的不可否认性、交易者身份的确定性。数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则

12、使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA 体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024RSA 密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送以商户，然后由商户用自己的私

13、有密钥进行解密。五 实验步骤实验内容一： 用 SSL 和数字证书实现安全Web 访问1） 建立认证中心CA环境要求：Web 服务器以Windows Server 2003作为操作系统，认证中心与Web 服务器位于同一主机，IP 地址设为10.0.0.1，子网掩码255.255.255.0，浏览器用IE4.0 以上。过程：建立认证中心的过程是这样的: 选择“控制面板”*“添加/删除程序”*“添加/删除Windows 组件”，在可选项中选择“证书服务”，点击“详细信息”，确保“证书服务Web 注册支持”和“证书服务颁发机构（CA）”2 个选项都被选中(如图所示)，开始安装。此时，系统会提示您一旦选

14、择了证书服务，计算机的域和机器名是不可更改的。安装开始，选择证书颁发的类型，主要包括企业根CA、企业从属CA、独立根CA 和独立从属CA。由于证书颁发机构的设置是很重要的，这里需要特殊说明，企业根CA 和独立根CA 都是证书颁发体系中最受信任的证书颁发机构，可以独立地颁发证书。企业根CA 需要Active Directory 支持，而独立根CA 不需要。从属级的CA 由于只能从另一证书颁发机构获取证书，所以一般不被选择。独立根CA 可以选择在收到申请时自动颁发证书或将申请保持为搁置状态，由管理员验证证书申请者的真实性及合法性，决定是否颁发证书。我们可以根据需求选择合适的证书颁发类型。选好类型后

15、，选择该页中的“高级”选项，进入下一步安装，填写CA 的相关信息，如CA 名称、单位、城市、电子邮件和有效期限等，再下一步进入高级选项页(如图1所示)，此时可以选择用来生成密钥对的加密服务提供程序（CSP）、散列算和密钥长度，并可选择现有的密钥及相关证书等。选项的选择取决于对安全程度的要求、计算机的复杂运算能力、对响应时间的要求和系统管理证书的负载程度等。点击“下一步”按钮，选择证书数据库及日志的位置，确认后即可进行安装。图 3.6.1 证书服务对话框图 3.6.2 证书类型对话框设置证书服务管理：安装结束后，进行证书服务管理。对于独立根 CA 可以选择“在收到证书申请时确定证书颁发机构”的默

16、认动作，设置方法是：打开“证书颁发机构”，点击CA名称，选择“属性”*“策略模块”*“配置”，选择“证书申请设为待定，系统管理员必须专门颁发证书”，这样管理者可以直接控制证书的发放。对于相关的申请，在“证书颁发机构”*“待定申请”中选择相应的申请证书，可以选择“颁发”或“拒绝”选项。在“已颁发证书”选项中选择相应证书，单击右键进行“吊销证书”的操作。图 3.6.3 证书服务管理对话框2）生成申请Web 站点数字证书的文件本操作在 Web 服务器端进行。具体步骤是：（1）启动Web 服务器的“Internet 信息服务”（2）在“Internet 信息服务”中，右击Myweb 站点名，选择快捷菜

17、单的“属性”命令，出现“Myweb 属性”对话框（3）单击“Myweb 属性”对话框中“目录安全性”页标签,再单击“服务器证书”按钮。（4）在“IIS 证书向导”对话框中，按提示，依次选择“创建一个新证书”，“现在准备请求，但稍候发送”等，设置有关属性，将最后的证书申请以文本文件保存，假设文件名为：C:certreq.txt。（5）最后单击“完成”即可。3）生成服务器证书，在Web 服务器端依次执行：（1）首先，将证书申请文件内容复制到剪切板。方法是，用记事本打开C:certreq.txt，查看申请文件内容。可以看到这是一个纯文本文件，以PKCS10 编码格式保存，首尾两行为申请的开始与结束。

18、选择“编辑/全选”，再选择“编辑/复制”即可。（2）启动IE,在地址栏打入命令:http:/10.0.0.1/certsrv；（3）选择“申请证书”，单击“下一步”；（4）选择申请类型为“高级申请”，单击“下一步”；（5）选择第2 项“使用Base64 编码的PKCS10 文件提交一个证书申请，或使用Base64编码的PKCS7 文件更新证书申请”，单击“下一步”；（6）右击中间“Base64 编码证书申请”右边的编辑框，选择快捷菜单项“粘贴”，将证书申请内容粘贴进去；（7）单击“提交”按钮，则完成申请功能。（8）打开证书服务器的“证书颁发机构”*“待定申请”，对申请点击右键，选择“颁发”。（

19、9）在Web 服务器启动IE,在地址栏打入命令:http:/10.0.0.1/certsrv，你可以选择“检索CA 证书或证书吊销列表”等提示（见图3.6.4），点击“下一步”；（10）选择“Base64 编码”，点击“下载CA 证书”（见图3.6.5），将证书以mywebcert.cer为文件名保存在桌面上。图 3.6.4 认证申请对话框图 3.6.5 证书安装对话框4）安装服务器证书（1）再进入到Web 服务器，进入“myweb 属性”对话框中，单击“服务器证书”，在“IIS证书向导”对话框中，按提示操作即可安装服务器证书。步骤如下：（2）选择“处理挂起的请求并安装证书”；（3）输入证书文

20、件名时，单击“浏览”，选择桌面上的文件“mywebcert”（即存放刚才生成的服务器证书的文件）,单击“打开”，直到出现“完成”对话框时，单击“完成”按钮即完成证书安装。5）实现对IIS 相关目录的安全访问对 IIS 相关目录单击右键“属性”，选择“目录安全性”，在“匿名访问和验证控制”中选择“匿名访问”，然后在“安全通信”中选择“编辑”进入图3.6.6 界面，在选择框中选“申请安全通道（SSL）”选项，再选择“接收客户证书”选项。(如图3.6.7 所示)。图 3.6.6 目录安全性选项对话框图 3.6.7 安全通信编辑对话框6）申请并安装客户端证书在用户申请中有 Web 浏览器证书时，步骤如

21、下：（1）启动IE,在地址栏打入命令:http:/10.0.0.1/certsrv；进入图3.6.4 认证申请对话框；（2）单击“下一步”，在“用户证书申请”框中选择“Web 浏览器证书”，单击“下一步”，在“标识信息”页面填写相关的信息，单击“提交”，则完成客户证书的申请。（3）在证书颁发服务器打开“证书颁发机构”，在“待定申请”中将会发现有一新的申请，将其颁发，则完成客户证书的颁发。（4）在客户端重新输入http:/10.0.0.1/certsrv 并回车，选择“检查挂起的证书”，单击“下一步”，选择要下载的证书，单击“下一步”，选择“安装此证书”，则完成客户证书的安装过程。7）使用https 访问Web 服务器（1）在Web 服务器建立并设置默认主页。（2）访问安全Web 的方式如下：在安装了客户证书的主机启动IE，在地址栏输入Web服务器的地址：”https:/10.0.0.1”，按回车键，在弹出的对话框选择所申请的证书，即可访问该Web 服务器。六、 实验思考1、建立认证中心CA 应考虑哪些方面的问题？