52、配置 Web 服务器：SSL/TLS 安全与故障排除

配置 Web 服务器：SSL/TLS 安全与故障排除

1. SSL/TLS 保障 Web 流量安全

在使用标准 HTTP 协议从网站共享数据时，数据会以明文形式传输。这意味着任何能够监控服务器与客户端之间网络流量的人都可以查看未受保护的数据。为了保护这些信息，可以为网站添加证书（以便客户端验证服务器身份）并对数据进行加密（防止他人嗅探网络并查看数据）。

电子商务应用，如在线购物和银行服务，通常使用安全套接层（SSL）或传输层安全（TLS）规范进行加密。TLS 基于 SSL 规范的 3.0 版本，因此它们本质上非常相似。由于这种相似性，且 SSL 出现较早，SSL 缩写常用来指代这两种规范。对于 Web 连接，首先会建立 SSL 连接，然后通过该连接“隧道化”进行正常的 HTTP 通信。

由于 SSL 协商在任何 HTTP 通信之前进行，基于名称的虚拟主机（在 HTTP 层实现）与 SSL 配合使用并不容易。因此，每个配置的 SSL 虚拟主机都应该有一个唯一的 IP 地址。

在建立 SSL 客户端与 SSL 服务器之间的连接时，会使用非对称（公钥）加密技术来验证身份、建立会话参数和会话密钥。然后，使用对称加密算法（如 DES 或 RC4）和协商好的密钥对会话期间传输的数据进行加密。在握手阶段使用非对称加密允许在不使用预共享密钥的情况下进行安全通信，而对称加密在处理会话数据时速度更快、更实用。

为了让客户端验证服务器的身份，服务器必须有一个预先生成的私钥，以及一个包含公钥和服务器信息的证书。该证书必须能够使用客户端已知的公钥进行验证。

证书通常由第三方证书颁发机构（CA）进行数字签名，CA 会验证请求者的身份以及请求签名证书