一、HTTPS原理
HTTPS（全稱：Hypertext Transfer Protocol over Secure Socket Layer），是以安全爲目標的HTTP通道，簡單講是HTTP的安全版。即HTTP下加入SSL層，HTTPS的安全基礎是SSL，因此加密的詳細內容就需要SSL。 它是一個URI scheme（抽象標識符體系），句法類同http:體系。用於安全的HTTP數據傳輸。https:URL表明它使用了HTTP，但HTTPS存在不同於HTTP的默認端口及一個加密/身份驗證層（在HTTP與TCP之間）。這個系統的最初研發由網景公司進行，提供了身份驗證與加密通訊方法，現在它被廣泛用於萬維網上安全敏感的通訊，例如交易支付方面。
二 HTTPS和HTTP的區別
一、https協議需要到ca申請證書，一般免費證書很少，需要交費。
二、http是超文本傳輸協議，信息是明文傳輸，https 則是具有安全性的ssl加密傳輸協議。
三、http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，後者是443。
四、http的連接很簡單，是無狀態的；HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，比http協議安全。
三 HTTPS解決的問題
一、信任主機的問題. 採用https的服務器必須從CA （Certificate Authority）申請一個用於證明服務器用途類型的證書。該證書只有用於對應的服務器的時候，客戶端纔信任此主機。所以目前所有的銀行系統網站，關鍵部分應用都是https 的。客戶通過信任該證書，從而信任了該主機。其實這樣做效率很低，但是銀行更側重安全。這一點對我們沒有任何異議，我們的服務器，採用的證書不管是自己發佈的還是從公衆的地方發佈的，其客戶端都是自己人，所以我們也就肯定信任該服務器。 二、通訊過程中的數據的泄密和被篡改 1． 一般意義上的https，就是服務器有一個證書。
a) 主要目的是保證服務器就是他聲稱的服務器，這個跟第一點一樣。
i. 具體講，是客戶端產生一個對稱的密鑰，通過服務器的證書來交換密鑰，即一般意義上的握手過程。
ii. 接下來所有的信息往來就都是加密的。第三方即使截獲，也沒有任何意義，因爲他沒有密鑰，當然篡改也就沒有什麼意義了。
2． 少許對客戶端有要求的情況下，會要求客戶端也必須有一個證書。
a) 這裏客戶端證書，其實就類似表示個人信息的時候，除了用戶名/密碼，還有一個CA 認證過的身份。因爲個人證書一般來說是別人無法模擬的，所有這樣能夠更深的確認自己的身份。
b) 目前少數個人銀行的專業版是這種做法，具體證書可能是拿U盤（即U盾）作爲一個備份的載體。 [1]
限制
概述 它的安全保護依賴瀏覽器的正確實現以及服務器軟件、實際加密算法的支持.
一種常見的誤解是“銀行用戶在線使用https:就能充分徹底保障他們的銀行卡號不被偷竊。”實際上，與服務器的加密連接中能保護銀行卡號的部分，只有用戶到服務器之間的連接及服務器自身。並不能絕對確保服務器自己是安全的，這點甚至已被***者利用，常見例子是模仿銀行域名的釣魚***。少數罕見***在網站傳輸客戶數據時發生，***者會嘗試竊聽傳輸中的數據。
商業網站被人們期望迅速儘早引入新的特殊處理程序到金融網關，僅保留傳輸碼(transaction number)。不過他們常常存儲銀行卡號在同一個數據庫裏。那些數據庫和服務器少數情況有可能被未授權用戶***和損害。
TLS 1.1之前 這段僅針對TLS 1.1之前的狀況。因爲SSL位於http的下一層，並不能理解更高層協議，通常SSL服務器僅能頒證給特定的IP/端口組合。這是指它經常不能在虛擬主機(基於域名)上與HTTP正常組合成HTTPS。
這一點已被即將來臨的TLS 1.1更新爲—種完全支持基於域名的虛擬主機。
四 SSL介紹
SSL (Secure Socket Layer)
爲Netscape所研發，用以保障在Internet上數據傳輸之安全，利用數據加密(Encryption)技術，可確保數據在網絡上之傳輸過程中不會被截取及竊聽。目前一般通用之規格爲40 bit之安全標準，美國則已推出128 bit之更高安全標準，但限制出境。只要3.0版本以上之I.E.或Netscape瀏覽器即可支持SSL。
當前版本爲3.0。它已被廣泛地用於Web瀏覽器與服務器之間的身份認證和加密數據傳輸。
SSL協議位於TCP/IP協議與各種應用層協議之間，爲數據通訊提供安全支持。SSL協議可分爲兩層：SSL記錄協議（SSL Record Protocol）：它建立在可靠的傳輸協議（如TCP）之上，爲高層協議提供數據封裝、壓縮、加密等基本功能的支持。SSL握手協議（SSL Handshake Protocol）：它建立在SSL記錄協議之上，用於在實際的數據傳輸開始前，通訊雙方進行身份認證、協商加密算法、交換加密密鑰等。
SSL協議提供的服務主要有哪些？ 1）認證用戶和服務器，確保數據發送到正確的客戶機和服務器
2）加密數據以防止數據中途被竊取
3）維護數據的完整性，確保數據在傳輸過程中不被改變。
SSL協議的工作流程 服務器認證階段：1）客戶端向服務器發送一個開始信息“Hello”以便開始一個新的會話連接；2）服務器根據客戶的信息確定是否需要生成新的主密鑰，如需要則服務器在響應客戶的“Hello”信息時將包含生成主密鑰所需的信息；3）客戶根據收到的服務器響應信息，產生一個主密鑰，並用服務器的公開密鑰加密後傳給服務器；4）服務器恢復該主密鑰，並返回給客戶一個用主密鑰認證的信息，以此讓客戶認證服務器。
用戶認證階段 在此之前，服務器已經通過了客戶認證，這一階段主要完成對客戶的認證。經認證的服務器發送一個提問給客戶，客戶則返回（數字）簽名後的提問和其公開密鑰，從而向服務器提供認證。
從SSL 協議所提供的服務及其工作流程可以看出，SSL協議運行的基礎是商家對消費者信息保密的承諾，這就有利於商家而不利於消費者。在電子商務初級階段，由於運作電子商務的企業大多是信譽較高的大公司，因此這問題還沒有充分暴露出來。但隨着電子商務的發展，各中小型公司也參與進來，這樣在電子支付過程中的單一認證問題就越來越突出。雖然在SSL3.0中通過數字簽名和數字證書可實現瀏覽器和Web服務器雙方的身份驗證，但是SSL協議仍存在一些問題，比如，只能提供交易中客戶與服務器間的雙方認證，在涉及多方的電子交易中，SSL協議並不能協調各方間的安全傳輸和信任關係。在這種情況下，Visa和MasterCard兩大信用卡公組織制定了SET協議，爲網上信用卡支付提供了全球性的標準。
SSL協議的握手過程 爲了便於更好的認識和理解SSL 協議，這裏着重介紹SSL 協議的握手協議。SSL 協議既用到了公鑰加密技術又用到了對稱加密技術，對稱加密技術雖然比公鑰加密技術的速度快，可是公鑰加密技術提供了更好的身份認證技術。SSL 的握手協議非常有效的讓客戶和服務器之間完成相互之間的身份認證，其主要過程如下：
①客戶端的瀏覽器向服務器傳送客戶端SSL 協議的版本號，加密算法的種類，產生的隨機數，以及其他服務器和客戶端之間通訊所需要的各種信息。
②服務器向客戶端傳送SSL 協議的版本號，加密算法的種類，隨機數以及其他相關信息，同時服務器還將向客戶端傳送自己的證書。
③客戶利用服務器傳過來的信息驗證服務器的合法性，服務器的合法性包括：證書是否過期，發行服務器證書的CA 是否可靠，發行者證書的公鑰能否正確解開服務器證書的“發行者的數字簽名”，服務器證書上的域名是否和服務器的實際域名相匹配。如果合法性驗證沒有通過，通訊將斷開；如果合法性驗證通過，將繼續進行第四步。
④用戶端隨機產生一個用於後面通訊的“對稱密碼”，然後用服務器的公鑰（服務器的公鑰從步驟②中的服務器的證書中獲得）對其加密，然後將加密後的“預主密碼”傳給服務器。
⑤如果服務器要求客戶的身份認證（在握手過程中爲可選），用戶可以建立一個隨機數然後對其進行數據簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的“預主密碼”一起傳給服務器。
⑥如果服務器要求客戶的身份認證，服務器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，爲客戶提供證書的CA 是否可靠，發行CA 的公鑰能否正確解開客戶證書的發行CA 的數字簽名，檢查客戶的證書是否在證書廢止列表（CRL）中。檢驗如果沒有通過，通訊立刻中斷；如果驗證通過，服務器將用自己的私鑰解開加密的“預主密碼”，然後執行一系列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同的主通訊密碼）。
⑦服務器和客戶端用相同的主密碼即“通話密碼”，一個對稱密鑰用於SSL 協議的安全數據通訊的加解密通訊。同時在SSL 通訊過程中還要完成數據通訊的完整性，防止數據通訊中的任何變化。
⑧客戶端向服務器端發出信息，指明後面的數據通訊將使用的步驟⑦中的主密碼爲對稱密鑰，同時通知服務器客戶端的握手過程結束。
⑨服務器向客戶端發出信息，指明後面的數據通訊將使用的步驟⑦中的主密碼爲對稱密鑰，同時通知客戶端服務器端的握手過程結束。
⑩SSL 的握手部分結束，SSL 安全通道的數據通訊開始，客戶和服務器開始使用相同的對稱密鑰進行數據通訊，同時進行通訊完整性的檢驗。
證書各部分的含義 如果要啓用SSL通道，那麼需要使用SSL證書來啓用https協議，SSl證書包含信息：
證書版本號，不同版本的證書格式不同
Serial Number 序列號，同一身份驗證機構簽發的證書序列號唯一
Algorithm Identifier 簽名算法，包括必要的參數Issuer 身份驗證機構的標識信息
Period of Validity 有效期
Subject 證書持有人的標識信息
Subject’s Public Key 證書持有人的公鑰
Signature 身份驗證機構對證書的簽名
證書的格式 認證中心所發放的證書均遵循X.509 V3 標準，其基本格式如下：
證書版本號（Certificate Format Version）
含義：用來指定證書格式採用的X.509 版本號。
證書序列號（Certificate Serial Number）
含義：用來指定證書的唯一序列號，以標識CA 發出的所有公鑰證書。
簽名（Signature）算法標識（Algorithm Identifier）
含義：用來指定 CA 簽發證書所用的簽名算法。
簽發此證書的 CA 名稱（Issuer ）
含義：用來指定簽發證書的 CA 的X.500 唯一名稱（DN，Distinguished Name）。
證書有效期（Validity Period）起始日期（notBefore） 終止日期（notAfter）
含義：用來指定證書起始日期和終止日期。
用戶名稱（Subject）
含義：用來指定證書用戶的X.500 唯一名稱（DN，Distinguished Name）。
用戶公鑰信息（Subject Public Key Information）算法（algorithm） 算法標識（Algorithm Identifier）用戶公鑰（subject Public Key）
含義：用來標識公鑰使用的算法，幷包含公鑰本身。
證書擴充部分（擴展域）（Extensions）
含義：用來指定額外信息。
X.509 V3 證書的擴充部分（擴展域）及實現方法如下：
CA 的公鑰標識（Authority Key Identifier）
公鑰標識（SET 未使用）（Key Identifier）
簽發證書者證書的簽發者的甄別名（Certificate Issuer）
簽發證書者證書的序列號（Certificate Serial Number）
X.509 V3 證書的擴充部分（擴展域）及實現CA 的公鑰標識（Authority Key Identifier）
公鑰標識（SET 未使用）（Key Identifier）
簽發證書者證書的簽發者的甄別名（Certificat簽發證書者證書的序列號（Certificate Serial Number）
含義：CA 簽名證書所用的密鑰對的唯一標識用戶的公鑰標識（Subject Key Identifier）
含義：用來標識與證書中公鑰相關的特定密鑰進行解密。
證書中的公鑰用途（Key Usage）
含義：用來指定公鑰用途。
用戶的私鑰有效期（Private Key Usage Period）起始日期（Note Before） 終止日期（Note After）
含義：用來指定用戶簽名私鑰的起始日期和終止日期。
CA 承認的證書政策列表（Certificate Policies）
含義：用來指定用戶證書所適用的政策，證書政策可由對象標識符表示。
用戶的代用名（Substitutional Name）
含義：用來指定用戶的代用名。
CA 的代用名（Issuer Alt Name）
含義：用來指定 CA 的代用名。
基本制約（Basic Constraints）
含義：用來表明證書用戶是最終用戶還是CA。 在SET 系統中有一些私有擴充部分（擴展域）Hashed Root Key 含義：只在根證書中使用，用於證書更新時進行回溯。
證書類型（Certificate Type）
含義：用來區別不同的實體。該項是必選的。
商戶數據（Merchant Data）
含義：包含支付網關需要的所有商戶信息。
持卡人證書需求（Card Cert Required）
含義：顯示支付網關是否支持與沒有證書的持卡人進行交易。
SET 擴展（SETExtensions）
含義：列出支付網關支持的支付命令的 SET 信息擴展。
CRL 數據定義版本（Version）
含義：顯示 CRL 的版本號。
CRL 的簽發者（Issuer）
含義：指明簽發 CRL 的CA 的甄別名。
CRL 發佈時間（this Update）預計下一個 CRL 更新時間（Next Update）撤銷證書信息目錄（Revoked Certificates） CRL 擴展（CRL Extension）CA 的公鑰標識（Authority Key Identifier）CRL 號（CRL Number）
SSL證書種類
SSL證書現在市場上有很多種類，其中應用最爲廣泛的品牌爲VeriSign ，Geotrust ，Thawte ，Geotrust 與Thawte都已經被Verisign收購，Verisign與其旗下所有證書品牌在中國官方代理爲北京天威誠信
配置：
web服務器(ip 192.168.10.1):
[root@localhost ~]# mount /dev/cdrom /mnt/cdrom
[root@localhost ~]# yum install httpd
[root@localhost ~]# service httpd start
[root@localhost ~]# cd /var/www/html //網站主目錄
[root@localhost html]# echo "welcome to here!!" >index.html //修改主頁面
[root@localhost ~]# service httpd restart
測試：
建CA:
[root@localhost ~]# vim /etc/pki/tls/openssl.cnf
45 dir = /etc/pki/CA # Where everything is kept //和證書有關的都放在此目錄
46 certs = $dir/certs # Where the issued certs are kept //證書存放目錄
47 crl_dir = $dir/crl # Where the issued crl are kept //證書吊銷列表存放目錄
48 database = $dir/index.txt # database index file. //數據庫存放文件
49 #unique_subject = no # Set to 'no' to allow creation of
50 # several ctificates with same subject.
51 new_certs_dir = $dir/newcerts # default place for new certs. //新證書存放目錄
52
53 certificate = $dir/cacert.pem # The CA certificate //發證機關的證書
54 serial = $dir/serial # The current serial number //證書序列號
55 crlnumber = $dir/crlnumber # the current crl number
56 # must be commented out to leave a V1 CRL
57 crl = $dir/crl.pem # The current CRL
58 private_key = $dir/private/cakey.pem# The private key //證書私鑰文件
59 RANDFILE = $dir/private/.rand # private random number file
60
61 x509_extensions = usr_cert # The extentions to add to the cert
所以需要創建 certs,crl,newcerts目錄和index.txt,serial 文件
[root@localhost ~]# cd /etc/pki
[root@localhost pki]# ll
總計 32
drwx------ 3 root root 4096 2012-08-11 CA
drwxr-xr-x 2 root root 4096 2012-08-11 nssdb
drwxr-xr-x 2 root root 4096 2012-08-11 rpm-gpg
drwxr-xr-x 5 root root 4096 2012-08-11 tls
[root@localhost pki]# cd CA/
[root@localhost CA]# mkdir certs crl newcerts
[root@localhost CA]# touch index.txt serial
[root@localhost CA]# ll
總計 20
drwxr-xr-x 2 root root 4096 08-11 16:00 certs
drwxr-xr-x 2 root root 4096 08-11 16:00 crl
-rw-r--r-- 1 root root 0 08-11 16:01 index.txt
drwxr-xr-x 2 root root 4096 08-11 16:00 newcerts
drwx------ 2 root root 4096 2009-06-30 private
-rw-r--r-- 1 root root 0 08-11 16:01 serial
[root@localhost CA]# echo "01" >;serial //給一個初始序列號
[root@localhost CA]# openssl genrsa 1024 >;private/cakey.pem //生成私鑰文件，rsa算法，1024位加密。
Generating RSA private key, 1024 bit long modulus
.......++++++
.++++++
e is 65537 (0x10001)
[root@localhost CA]# ll private/cakey.pem
-rw-r--r-- 1 root root 887 08-11 16:21 private/cakey.pem
爲了安全考慮，需要修改私鑰文件的權限。
[root@localhost CA]# chmod 600 private/cakey.pem
[root@localhost CA]# ll private/cakey.pem
-rw------- 1 root root 887 08-11 16:21 private/cakey.pem
[root@localhost CA]# openssl req -new -key private/cakey.pem -x509 -out cacert.pem -days 3650 //利用私鑰生成證書，類型x509，有效期10年。
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:
You have mail in /var/spool/mail/root
爲了方便。可以修改默認值。
[root@localhost CA]# vim /etc/pki/tls/openssl.cnf
87 [ policy_match ]
88 countryName = optional //允許和頒發機構不同的國家進行證書申請。
89 stateOrProvinceName = optional //允許和頒發機構不同的省市進行證書申請。
90 organizationName = optional //允許和頒發機構不同的單位進行證書申請。
91 organizationalUnitName = optional
92 commonName = supplied
93 emailAddress = optional
94
133
134 [ req_distinguished_name ]
135 countryName = Country Name (2 letter code)
136 countryName_default = CN //國家 設爲中國
137 countryName_min = 2
138 countryName_max = 2
139
140 stateOrProvinceName = State or Province Name (full name)
141 stateOrProvinceName_default = HENAN //省 設爲北京
142
143 localityName = Locality Name (eg, city)
144 localityName_default = ZHENGZHOU //市 設爲北京
145
146 0.organizationName = Organization Name (eg, company)
147 0.organizationName_default = My Company Ltd
148
[root@localhost CA]# openssl req -new -key private/cakey.pem -x509 -out cacert.pem -days 3650
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [CN]:
State or Province Name (full name) [HENAN]:
Locality Name (eg, city) [ZHENGZHOU]:
Organization Name (eg, company) [My Company Ltd]:ZZDX //公司
Organizational Unit Name (eg, section) []:XINXI //部門
Common Name (eg, your name or your server's hostname) []:zzdx.abc.com //頒發機構主機名
Email Address []:
[root@localhost CA]#
WEB服務器
[root@localhost CA]# mkdir -pv /etc/httpd/certs //爲服務器創建存放證書的目錄
[root@localhost CA]# cd /etc/httpd/certs/
[root@localhost certs]# ll
總計 0
[root@localhost certs]# openssl genrsa 1024 >;httpd.key //生成私鑰文件，rsa算法，1024位加密。
Generating RSA private key, 1024 bit long modulus
......++++++
.........................++++++
e is 65537 (0x10001)
[root@localhost certs]# openssl req -new -key httpd.key -out httpd.csr //利用私鑰文件申請證書
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [CN]:
State or Province Name (full name) [BEIJING]:henan
Locality Name (eg, city) [BEIJING]:zhengzhou
Organization Name (eg, company) [My Company Ltd]:zzdx
Organizational Unit Name (eg, section) []:xinxi
Common Name (eg, your name or your server's hostname) []:zzdx.abc.com
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []: //挑戰報文密碼
An optional company name []:
[root@localhost certs]# ll
總計 8
-rw-r--r-- 1 root root 643 08-11 16:53 httpd.csr
-rw-r--r-- 1 root root 887 08-11 16:51 httpd.key
[root@localhost certs]# openssl ca -in httpd.csr -out httpd.cert //生成證書
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 1 (0x1)
Validity
Not Before: Aug 11 08:54:04 2012 GMT
Not After : Aug 11 08:54:04 2013 GMT
Subject:
countryName = CN
stateOrProvinceName = henan
organizationName = zzdx
organizationalUnitName = xinxi
commonName = zzdx.abc.com
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
AA:38:0C:7F:6A:6D:88:6E:EE:5A:F5:BF:D7:C7:C5:8D:4E:92:AE:85
X509v3 Authority Key Identifier:
keyid:3D:60:9D:7A:34:73:89:5C:50:7A:DC:FF:82:98:D3:F8:1F:A1:A8:D8
Certificate is to be certified until Aug 11 08:54:04 2013 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
[root@localhost certs]# chmod 600 * //安全考慮
[root@localhost certs]# ll
總計 12
-rw------- 1 root root 3053 08-11 16:54 httpd.cert
-rw------- 1 root root 643 08-11 16:53 httpd.csr
-rw------- 1 root root 887 08-11 16:51 httpd.key
SSL:
[root@localhost certs]# cd /mnt/cdrom/Server/
[root@localhost Server]# yum install mod_ssl
Loaded plugins: rhnplugin, security
This system is not registered with RHN.
RHN support will be disabled.
Setting up Install Process
Resolving Dependencies
--> Running transaction check
---> Package mod_ssl.i386 1:2.2.3-31.el5 set to be updated
--> Processing Dependency: libdistcache.so.1 for package: mod_ssl
--> Processing Dependency: libnal.so.1 for package: mod_ssl
--> Running transaction check
---> Package distcache.i386 0:1.4.5-14.1 set to be updated
--> Finished Dependency Resolution
Dependencies Resolved
=========================================================================================
Package Arch Version Repository Size
=========================================================================================
Installing:
mod_ssl i386 1:2.2.3-31.el5 rhel-server 88 k
Installing for dependencies:
distcache i386 1.4.5-14.1 rhel-server 120 k
Transaction Summary
=========================================================================================
Install 2 Package(s)
Update 0 Package(s)
Remove 0 Package(s)
Total download size: 208 k
Is this ok [y/N]: y
Downloading Packages:
-----------------------------------------------------------------------------------------
Total 24 MB/s | 208 kB 00:00
Running rpm_check_debug
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
Installing : distcache 1/2
Installing : mod_ssl 2/2
Installed:
mod_ssl.i386 1:2.2.3-31.el5
Dependency Installed:
distcache.i386 0:1.4.5-14.1
Complete!
[root@localhost Server]# cd /etc/httpd/conf.d/
[root@localhost conf.d]# ll
總計 24
-rw-r--r-- 1 root root 566 2009-07-15 proxy_ajp.conf
-rw-r--r-- 1 root root 392 2009-07-15 README
-rw-r--r-- 1 root root 9677 2009-07-15 ssl.conf
-rw-r--r-- 1 root root 299 2009-07-15 welcome.conf
[root@localhost conf.d]# vim ssl.conf
我們需要指明證書，私鑰的文件所在
107 # Server Certificate:
108 # Point SSLCertificateFile at a PEM encoded certificate. If
109 # the certificate is encrypted, then you will be prompted for a
110 # pass phrase. Note that a kill -HUP will prompt again. A new
111 # certificate can be generated using the genkey(1) command.
112 SSLCertificateFile /etc/httpd/certs/httpd.cert //證書存放目錄
113
114 # Server Private Key:
115 # If the key is not combined with the certificate, use this
116 # directive to point at the key file. Keep in mind that if
117 # you've both a RSA and a DSA private key you can configure
118 # both in parallel (to also allow the use of DSA ciphers, etc.)
119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key //私鑰存放目錄
SSLCertificateChainFile /etc/pki/CA/cacert.pem //指明證書鏈目錄
[root@localhost conf.d]# service httpd configtest //檢測語法
Syntax OK
[root@localhost conf.d]# service httpd restart
停止 httpd： [確定]
啓動 httpd： [確定]
測試：
dns指向:
安裝證書：
測試：
