在服务器上启用 SSL/TLS

1. 连接到您的实例并确认 Apache 正在运行。

   [ec2-user ~]$ sudo service httpd status

   如有必要，启动 Apache。

   [ec2-user ~]$ sudo service httpd start

2. 为确保您的所有软件包都处于最新状态，请对您的实例执行快速软件更新。此过程可能需要几分钟的时间，但必须确保您拥有最新的安全更新和缺陷修复。

   Note

   -y 选项安装更新时不提示确认。如果您希望在安装前检查更新，则可以忽略此选项。

   [ec2-user ~]$ sudo yum update -y

3. 您的实例现在处于最新状态，可通过安装 Apache 模块 mod_ssl 来添加 SSL/TLS 支持：

   [ec2-user ~]$ sudo yum install -y mod24_ssl

   在本教程的后面，您将使用已安装的三个重要文件：

   • /etc/httpd/conf.d/ssl.conf

     mod_ssl 的配置文件。它包含告知 Apache 以下信息的“指令”：在何处查找加密密钥和证书、允许哪些 SSL/TLS 协议、要使用哪种加密算法。

   • /etc/pki/tls/private/localhost.key

     针对 Amazon EC2 主机的自动生成的 2048 位 RSA 私有密钥。安装期间，OpenSSL 已使用此密钥生成自签名主机证书，您稍后也可使用此密钥生成证书签名请求 (CSR) 以提交给证书颁发机构 (CA)。

   • /etc/pki/tls/certs/localhost.crt

     针对服务器主机的自动生成的自签名 X.509 证书。此证书对于测试是否已将 Apache 正确设置为使用 SSL/TLS 来说很有用。

   .key 和 .crt 文件均为 PEM 格式，其中包含采用 Base64 编码的 ASCII 字符，并用“BEGIN”和“END”行框起来，如下面的简短证书示例所示：

                           -----BEGIN CERTIFICATE-----
                           MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
                           MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
                           DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
                           bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
                           ...
                           z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
                           WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
                           3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
                           -----END CERTIFICATE-----                    

   文件名和扩展名只是为了提供便利，对功能没有影响；只要 ssl.conf 文件中的相关指令使用相同的名称，您可以将证书命名为 cert.crt、cert.pem 或 certificate.pem。

   Note

   使用自定义文件替换默认的 SSL 文件时，请确保它们采用 PEM 格式。

4. 重启 Apache。

   [ec2-user ~]$ sudo service httpd restart

5. 现在，您的 Apache Web 服务器应通过端口 443 支持 HTTPS (安全 HTTP)。通过将您的 EC2 实例的 IP 地址或完全限定域名与前缀 https:// 一起键入浏览器 URL 栏中来对其进行测试。由于您正在使用自签名的不可信证书连接到站点，因此您的浏览器可能会显示一系列警告。

   忽视这些警告并继续连接站点。如果默认 Apache 欢迎页面打开，则意味着您已在服务器上成功配置 SSL/TLS。现在，浏览器和服务器之间传递的所有数据均已进行安全加密，这可通过浏览器的 URL 栏中的锁定图标反映出来。

   为了防止站点访问者遇到警告屏幕，您需要获取一个证书，该证书不仅用于加密，而且还用于公开验证您的站点所有者身份。

获取 CA 签名的证书

1. 连接到您的实例并导航到 /etc/pki/tls/private/。这是存储适用于 SSL/TLS 的服务器私有密钥的目录。如果您希望使用现有主机密钥来生成 CSR，请跳至步骤 3。
2. (可选) 生成新的私有密钥。下面是一些示例密钥配置。任何生成的密钥都将用于 Web 服务器，但它们实施安全的方式和程度有所不同。
   1. 以下命令可作为起点，用来创建与实例上默认主机密钥类似的 RSA 密钥：

      [ec2-user ~]$ sudo openssl genrsa -out custom.key 2048

      生成的文件 custom.key 是一个 2048 位 RSA 私有密钥。

   2. 要创建系数更大的更严格的 RSA 密钥，请使用以下命令：

      [ec2-user ~]$ sudo openssl genrsa -out custom.key 4096

      生成的文件 custom.key 是一个 4096 位 RSA 私有密钥。

   3. 要创建具有密码保护的 4096 位加密的 RSA 密钥，请使用以下命令：

      [ec2-user ~]$ sudo openssl genrsa -aes128 -passout pass:abcde12345 -out custom.key 4096

      这将生成一个已使用 AES-128 密码加密的 4096 位 RSA 私有密钥。

      Important

      加密可增强安全性，但由于加密的密钥需要密码，因此依赖于加密密钥的服务无法自动启动。每当您使用此密钥时，都需要通过 SSH 连接提供密码“abcde12345”。

   4. RSA 密码术可能相对较慢，因为其安全性依赖于对两个较大质数的乘积进行因子分解的难度。不过，可以为 SSL/TLS 创建使用非 RSA 密码的密钥。在交付同等级别的安全性时，基于椭圆曲线的数学运算的密钥更小更快。示例如下：

      [ec2-user ~]$ sudo openssl ecparam -name prime256v1 -out custom.key -genkey

      此示例中的输出为一个使用 prime256v1 (OpenSSL 支持的“命名曲线”) 的 256 位椭圆曲线私有密钥。根据 NIST，其加密强度略高于 2048 位 RSA 密钥。

      Note

      并非所有 CA 对基于椭圆曲线的密钥的支持级别与对 RSA 密钥的支持级别相同。

   请确保新的私有密钥具有高度限制的权限 (所有者根权限、组根权限、仅面向所有者的读取/写入权限)。命令如下：

   [ec2-user ~]$ sudo chown root.root custom.key
   [ec2-user ~]$ sudo chmod 600 custom.key
   [ec2-user ~]$ ls -al custom.key

   上述命令应生成以下结果：

   -rw------- root root custom.key

   在创建并配置满意的密钥后，可以创建 CSR。

3. 使用您首选的密钥创建 CSR；下面的示例将使用 private.key：

   [ec2-user ~]$ sudo openssl req -new -key private.key -out csr.pem

   OpenSSL 将打开一个对话框，并提示您输入下表中显示的信息。对于基本的经域验证的证书来说，除 Common Name 以外的所有字段都是可选字段。

   名称	说明	示例
   国家/地区名称	代表国家/地区的两个字母 ISO 缩写。	US (=美国)
   州或省名称	组织所在州或省的名称。此名称不可使用缩写。	Washington
   所在地名称	您的组织所在的位置，例如城市。	Seattle
   组织名称	组织的法定全称。请勿缩写组织名称。	Example Corp
   组织部门名称	额外的组织信息 (如果有)。	示例部门
   公用名	此值必须与您希望用户键入浏览器中的 Web 地址完全匹配。通常，这表示以主机名称为前缀的域名或采用 www.example.com 格式的别名。在使用自签名证书且无 DNS 解析的测试中，公用名可能只包含主机名。CA 还提供费用更高的证书，这些证书接受通配符名称 (例如 *.example.com)。	www.example.com
   电子邮件地址	服务器管理员的电子邮件地址。	someone@example.com

   最后，OpenSSL 将提示您输入可选的质询密码。此密码仅适用于 CSR 和您与 CA 之间的事务，因此请遵循 CA 提供的有关此密码以及其他可选字段、可选公司名的建议。CSR 质询密码不会影响服务器操作。

   生成的文件 csr.pem 包含您的公有密钥、您的公有密钥的数字签名以及您输入的元数据。

4. 将 CSR 提交给 CA。这通常包括在文本编辑器中打开 CSR 文件并将内容复制到 Web 表格中。此时，您可能需要提供一个或多个主题备用名称 (SAN) 以放置到证书上。如果 www.example.com 是公用名，则 example.com 将是一个很好的 SAN，反之亦然。键入列出的任一名称的用户将看到一个无误连接。如果您的 CA Web 表格允许该连接，请在 SAN 列表中包含公用名。(一些 CA 会自动包含公用名。)

   在您的请求获得批准后，您将收到一个由 CA 签署的新主机证书。此外，系统可能会指示您下载中间证书文件，该文件包含完成 CA 的信任链所需的其他证书。

5. 从 /etc/pki/tls/certs 目录删除旧的自签名主机证书 localhost.crt 并将新的 CA 签署的证书 (以及任何中间证书) 放置到该目录中。

   Note

   有多种方法可以将新证书上传到 EC2 实例，但最直接、最有益的方法是在本地计算机及 EC2 实例上各打开一个文本编辑器 (如 vi、nano、记事本等)，然后在这两者之间复制、粘贴文件内容。这样，一旦有任何权限或路径问题，您会立即看到。但请小心操作，不要在复制内容时添加任何多余的行或以任何方式更改内容。

   从 /etc/pki/tls/certs 目录内部，检查文件所有权、组和权限设置是否与高度限制的 Amazon Linux 默认权限 (所有者根权限、组根权限、仅面向所有者的读取/写入权限) 匹配。命令如下：

   [ec2-user certs]$ sudo chown root.root custom.crt
   [ec2-user certs]$ sudo chmod 600 custom.crt
   [ec2-user certs]$ ls -al custom.crt

   上述命令应生成以下结果：

   -rw------- root root custom.crt

   中间证书文件的权限并不严格 (所有者根权限、组根权限、所有者可写权限、任何人可读权限)。命令如下：

   [ec2-user certs]$ sudo chown root.root intermediate.crt
   [ec2-user certs]$ sudo chmod 644 intermediate.crt
   [ec2-user certs]$ ls -al intermediate.crt

   上述命令应生成以下结果：

   -rw-r--r-- root root intermediate.crt

6. 新的 CA 签署的证书的文件名 (此示例中为 custom.crt) 可能与旧证书的不同。使用 Apache 的 SSLCertificateFile 指令编辑 /etc/httpd/conf.d/ssl.conf 并提供正确的路径和文件名。

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

   如果您收到一个中间证书文件 (此示例中为 intermediate.crt)，请使用 Apache 的 SSLCACertificateFile 指令提供其路径和文件名。

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

7. 保存 /etc/httpd/conf.d/ssl.conf 并重启 Apache。

   [ec2-user ~]$ sudo service httpd restart