14、深入解析OpenLDAP的SSL/TLS安全配置

深入解析OpenLDAP的SSL/TLS安全配置

1. 本地CA与SSL/TLS基础

在网络安全领域，组织或个人可以创建本地使用的证书颁发机构（CA），并利用该CA为内部应用程序生成证书。以OpenLDAP证书创建为例，虽然这种方式生成的证书可能不被组织外部用户认可，但能有效增强自身网络的安全性，无需从商业供应商处购买证书。

并非所有CA都采用相同的权威签名形式，且并非所有CA都会对证书收费。像Cacert.org这类CA，采用了信任网络技术来验证证书的真实性。在信任网络中，证书的真实性由同行来确认，确保证书确实属于其声明的所有者。更多信息可访问 Cacert.org 。

SSL/TLS在网络通信中主要有两个作用。首先是建立身份验证，确保通信双方的身份真实可靠。其次是提供加密服务，实现客户端与服务器之间加密消息的来回传输。具体流程如下：
- 服务器向客户端发送其证书，证书中包含服务器的公钥。公钥用于加密消息，但不能用于解密。
- 另一个密钥，即私钥，由服务器保留，用于解密消息。服务器将公钥提供给请求的客户端，客户端可以向服务器发送只有服务器能解密和解读的消息。
- 根据配置，客户端也会向服务器发送其公钥，服务器可以用该公钥向客户端发送只有客户端能解密的消息。
- 然而，使用公钥/私钥加密存在速度慢、资源消耗大的缺点。因此，客户端和服务器会协商一组临时的对称加密密钥，用于会话期间的所有通信。会话结束后，双方会丢弃这些临时密钥。

2. StartTLS与LDAPS的选择

传统的SSL实现要求服务