什么是 `TLS`

简单来说就是一种利用密码学证书使数据能够在互联网内加密安全传输的一种协议. 目前常见的应用场景就是客户端和服务器之间数据交互的加密(这里的客户端和服务端是一个相对概念, 我们通常把发起请求的一方认为是客户端, 把处理请求的一方认为是服务端), 比如浏览器使用的 https 协议就是基于这类协议的一个衍生协议, 目的就是防止非法数据传输和抵御中间人嗅探和篡改, 保证数据安全性.
另外 TLS 准确来说它是 传输层安全性协议 的一类, 由 SSL2.x 升级 SSL3.x 后改名而来, 本文用 TLS 泛指高版本的 传输层安全性协议.
更多有关 TLS 的介绍请参见:

`TLS` 的常见应用类型

常见的应用类型可以分为 单向认证 和 双向认证 两类;
SSL单向认证和双向认证的区别主要可以归纳为以下几点:

单向认证只要求站点部署了ssl证书就行，任何用户都可以去访问（IP被限制除外等），只是服务端提供了身份认证。而双向认证则是需要是服务端需要客户端提供身份认证，只能是服务端允许的客户能去访问，安全性相对于要高一些
双向认证SSL 协议的具体通讯过程，这种情况要求服务器和客户端双方都有证书。
单向认证SSL 协议不需要客户端拥有CA证书，以及在协商对称密码方案，对称通话密钥时，服务器发送给客户端的是没有加过密的（这并不影响SSL过程的安全性）密码方案。
如果有第三方攻击，获得的只是加密的数据，第三方要获得有用的信息，就需要对加密的数据进行解密，这时候的安全就依赖于密码方案的安全。而幸运的是，目前所用的密码方案，只要通讯密钥长度足够的长，就足够的安全。这也是我们强调要求使用128位加密通讯的原因。
一般Web应用都是采用单向认证的，原因很简单，用户数目广泛，且无需做在通讯层做用户身份验证，一般都在应用逻辑层来保证用户的合法登入。但如果是企业应用对接，情况就不一样，可能会要求对客户端（相对而言）做身份验证。这时就需要做双向认证。

`TLS` 加密流程

没时间解释了, 请自行百度, 注意区分单项加密和双向加密即可

`TLS` 证书制作

实际操作

这里还是以 openssl 生成一对双向认证证书为例子(默认情况下，openssl 输出格式为 PKCS#1-PEM)

`CA` 颁发

首先, 我们先颁发自己的 CA证书, 所以第一步, 就得先来一个 CA 对应的私钥:

openssl genrsa -out ca.key 2048

然后, 由于是CA证书, 不需要经过谁审核, 所以这里没有创建请求文件的步骤, 就直接颁发 CA证书(其中 -subj 非必要):

简码	全称	示例	含义
C	Country Name (2 letter code)	CN	国家代码
ST	State or Province Name (full name)	SiChuan	州或省份
L	Locality Name (eg, city)	ChengDu	城市
O	Organization Name (eg, company)	6xyun	组织机构
OU	Organizational Unit Name (eg, section)	Master	机构部门
CN	Common Name (eg, fully qualified host name)	6xyun CA	域名或证书使用者
emailAddress	Email Address	username@domain	邮箱地址

# 如果在 Windows 使用 Git Bash 出现错误
# name is expected to be in the format /type0=value0/type1=value1/type2=... where characters may be escaped by \. This name is not in that format: ...
# 则需要在命令前加上
# MSYS_NO_PATHCONV=1
# 例如 MSYS_NO_PATHCONV=1 openssl ...
openssl req -new -x509 -days 365 -key ca.key -out ca.crt -subj "/C=CN/ST=SiChuan/L=ChengDu/O=6xyun/OU=Master/CN=6xyun CA/emailAddress=username@domain"

当然, 上面只是为了表现正确的步骤, 如果你实在不耐烦, openssl 也支持两步合成一步, -newkey 可以让 openssl 先生成一个私钥再用这个私钥自动完成 CA 颁发:

openssl req -newkey rsa:2048 -nodes -keyout ca.key -x509 -days 3650 -out ca.crt

以上就完成了 CA 私钥生成以及证书颁发;

服务端颁发

接下来服务端证书, 同样也是先生成私钥:

openssl genrsa -out server.key 2048

由于服务端经常需要使用 DNS别名, 所以必须生成一个配置文件生成V3版证书:

cat << EOF > server.cnf
[ req ]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[ req_distinguished_name ]

[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = *.domain.com
DNS.2 = *.domain.cn
IP.1 = 10.0.0.1
IP.2 = 192.168.0.1
EOF

然后是创建请求文件(同样 -subj 非必要):

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=SiChuan/L=ChengDu/O=6xyun/OU=Master/CN=Server/emailAddress=username@domain" -config server.cnf

最后就是作为 CA 管理员签发这个服务端证书:

openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt   -extensions v3_req -config openssl.cnf

经过上面的操作，就得到了 server.crt 这个证书文件, 注意不要和请求文件 server.csr 混淆了.

客户端颁发

过程和服务器类似, 如果没有特殊需要颁发 V1版本即可:

# 生成私钥
openssl genrsa -out client.key 2048
# 生成请求文件
openssl req -new -key client.key -out client.csr -subj "/C=CN/ST=SiChuan/L=ChengDu/O=6xyun/OU=Master/CN=Client/emailAddress=username@domain"
# 生成证书
openssl x509 -req -days 3650 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt

`GUI` 工具

如果你觉得上面的操作麻烦, 推荐一个极好的全平台支持的生成/管理证书的工具:
X Certificate and Key management

引用

SSL/TLS 双向认证(一) -- SSL/TLS工作原理

6x's notepad

TLS 证书及自签发

什么是 `TLS`

`TLS` 的常见应用类型

`TLS` 加密流程

`TLS` 证书制作

相关概念

实际操作

`CA` 颁发

服务端颁发

客户端颁发

`GUI` 工具

引用

什么是 TLS

TLS 的常见应用类型

TLS 加密流程

TLS 证书制作

相关概念

实际操作

CA 颁发

服务端颁发

客户端颁发

GUI 工具

引用

什么是 `TLS`

`TLS` 的常见应用类型

`TLS` 加密流程

`TLS` 证书制作

`CA` 颁发

`GUI` 工具