網絡釣魚攻擊一直是Internet中最嚴重的安全威脅之一，發(fā)展到現(xiàn)在已經存在許多種不同的釣魚攻擊方式。其中最主要的一種就是通過網頁偽裝手段冒充企業(yè)的電子商務網站，然后通過各種手段欺騙用戶登錄至冒牌的網站上進行商務交易，并以此來獲取受騙用戶的登錄帳號和密碼，使用戶遭受金錢和名譽的雙重損失。
正是在電子交易網站的這種非常嚴峻的情勢下，2007年2月，一種叫做擴展SSL認證(Extended Validation SSL Certificate)的認證方式出現(xiàn)在人們的視野中。EV-SSL是在SSL的基礎上發(fā)展而來的，它是全球領先的數(shù)字證書頒發(fā)機構和主流的WEB瀏覽器廠商共同制定的一個新的SSL認證標準。EV-SSL證書由受信任的第三方證書頒發(fā)機構頒發(fā)，在與WEB服務器進行無縫集成后，不僅可以為用戶和WEB服務器之間的網絡通信數(shù)據(jù)提供128位或256位SSL鏈路級加密，又可以通過此證書機構頒發(fā)的中間級證書來驗證WEB服務器身份的真實性。
一旦某個WEB站點使用了EV-SSL認證，當用戶瀏覽此WEB站點時，就會在用戶的WEB瀏覽器中顯示出此證書的頒發(fā)機構標志。并且，現(xiàn)在一些主流的WEB瀏覽器，例如IE7及以上、Firefox3.0及以上等，會將通過EV-SSL認證的WEB站點的URL地址在其地址欄中顯示為綠色。如圖1所示。這樣就讓用戶一眼就知道當前瀏覽的網站是安全的和真實可靠的。
圖1以綠色顯示的IE7地址欄
在本文中，我將以Resin為例向大家描述如何使用EV-SSL認證。與應用傳統(tǒng)的第三方SSL認證一樣，EV-SSL的應用也需要經過生成證書請求文件、注冊購買證書、安裝證書和備份/恢復證書這一系列的過程。
1、生成EV-SSL認證的私鑰
想要Resin可以響應EV-SSL請求，我們就必需保證WEB服務器上已經安裝好了相關的SSL套件。對于中小企業(yè)來說，開源免費的OpenSSL提供與SSL相同的認證功能。
OpenSSL的Linux版本可以在www.openssl.org網站上下載�，F(xiàn)在它的最新版本是OpenSSL 0.9.8j。Linux系統(tǒng)下的Resin是通過libexec/libresinssl.so JNI庫文件提供對OpenSSL的支持。
如果我們是在Windows系統(tǒng)中使用Resin，那么，我們同樣需要在此操作系統(tǒng)下先安裝好OpenSSL。Windows下的OpenSSL在www.slproweb.com/products/Win32OpenSSL.html下載，它的最新安裝文件是Win32OpenSSL-0_9_8j.exe，其大小為7MB左右。在Windows系統(tǒng)下，Resin的resinssl.dll文件中包含提供對OpenSSL支持的代碼。因此，在Windows系統(tǒng)下只需要安裝好OpenSSL就可以讓Resin使用它了。OpenSSL在Windows系統(tǒng)下很容易安裝，就如同安裝其它的應用程序一樣簡單。
不過，在Windows系統(tǒng)下安裝完OpenSSL后，還應當將一些需要的DLL文件復制到Resin的根目錄當中。現(xiàn)在假設Resin安裝在c:\resin-pro-3.2.1目錄，OpenSSL安裝在c:\Program Files\GnuWin32目錄。現(xiàn)在打開系統(tǒng)開始菜單的“運行”對話框，在運行框中輸入CMD命令，回車后進入命令行終端界面。然后在命令行終端下就可以通過下列所示的命令將OpenSSL安裝目錄下的相關文件復制到Resin的根目錄下：
cd resin-pro-3.2.1
copy c:\Program Files\GnuWin32\bin\libssl32.dll c:\ resin-pro-3.2.1\libssl32.dll
copy c:\Program Files\GnuWin32\bin\libeay32.dll c:\ resin-pro-3.2.1\libeay32.dll
當OpenSSL安裝和配置好以后，就可以通過它來為EV-SSL認證生成私鑰，生成后的私鑰文件應當保存到相應的Resin目錄中。因此，在生成密鑰前，我們可以在Resin根目錄中創(chuàng)建一個keys子目錄用來保存將要創(chuàng)建的私鑰文件。
在生成私鑰時，OpenSSL會根據(jù)其配置文件中設置的內容來生成。在類Linux系統(tǒng)下，這個缺省的配置文件可能在usr/ssl/openssl.cnf或/usr/share/ssl/openssl.cnf下。而Windows系統(tǒng)中不存在這樣的文件。
在WEB服務器上創(chuàng)建私鑰時，會要求我們輸入相應的密碼，這個密碼將會在我們使用創(chuàng)建的私鑰時要求被輸入。因此要牢記這個密碼并妥善地保管它。我們還必需將這個密碼加入到Resin的配置文件當中。
在Windows系統(tǒng)下創(chuàng)建私鑰時，先打開系統(tǒng)開始菜單中的“運行”對話框，在其中輸入CMD，回車后進入系統(tǒng)的命令行終端窗口。然后用CD命令切換到OpenSSL安裝目錄，再用下列命令產生私鑰：
keytool –genkey –alias myevssl –keyalg RSA –keysize 1024 –keystore c:\ resin-pro-3.2.1\key\myprikey.key
其中，-genkey參數(shù)為產生密鑰對;-alias參數(shù)后為私鑰別名; -keyalg參數(shù)后為密鑰算法;-keysize參數(shù)后為密鑰位數(shù);-keystore參數(shù)后為私鑰存儲路徑和文件名。
輸入上述命令后按回車鍵就會開始EV-SSL私鑰的生成過程，在私鑰生成過程中會出現(xiàn)在些需要我們輸入相應內容的提示，例如網站域名及密碼等，這些都必需根據(jù)提示真實輸入。在本例中，完成私鑰生成后，私鑰文件就會以命令中指定的myprikey.key文件名保存到指定的c:\ resin-pro-3.2.1\key目錄中。2、成證書請求文件(CSR)
得到EV-SSL認證的私鑰后，接下來就是要生成一個申請第三方EV-SSL認證證書的證書請求文件(Certificate Sign Request)，簡稱CSR。證書請求文件中包含有EV-SSL證書的公鑰、名稱、加密位數(shù)、地址和網站域名等信息。這個證書請求文件我們將會在注冊購買EV-SSL證書時提交給證書頒發(fā)機構，而證書的私鑰將由我們自己保管在
WEB服務器上。
在Windows系統(tǒng)下創(chuàng)建證書請求文件時，先要打開系統(tǒng)開始菜單中的“運行”對話框，在其中輸入CMD，回車后進入系統(tǒng)的命令行終端窗口。然后用CD命令切換到OpenSSL安裝目錄，再用下列命令生成EV-SSL的證書請求文件：
keytool –certreq –alias myevsslcsr –sigalg MD5withRSA –file c:\ resin-pro-3.2.1\key\myevssl.csr –keypass password –keystore c:\ resin-pro-3.2.1\key\myprikey.key –storepass password
其中，-certreq參數(shù)指生成證書請求文件;-alias參數(shù)后為證書別名;-sigalg參數(shù)后為密鑰算法;-file參數(shù)后為證書請求文件的輸出路徑和文件名;-keypass參數(shù)后為密鑰保護密碼;-keystore參數(shù)后為私鑰存儲路徑及文件名;-storepass參數(shù)后為存儲密碼。
同樣，在生成證書請求文件的過程中會要求我們按提示輸入相關信息，這些需要我們輸入的信息必需按要求真實輸入。在本例中，完成證書請求文件的生成工作后，就會在c:\ resin-pro-3.2.1\key目錄下得到一個名為myevssl.csr的證書請求文件。
3、 注冊和購買EV-SSL證書
生成完證書請求文件后，接下來就是選擇一個第三方證書頒發(fā)機構注冊并購買其證書。在本文中我將以向天威誠信注冊VeriSign的128位EV-SSL證書為例做具體的介紹說明。一個具體的EV-SSL注冊購買過程需要經過確認域名、確認付款方式、生成證書請求文件、提交證書請求文件和完成注冊這5個步驟。
下面就是具體的注冊和購買EV-SSL證書的過程：
首先，在WEB瀏覽器地址欄中輸入：https://digitalid.itrus.com.cn/GlobalServer/globalserver/index.html，就可以進入如圖2所示的天威誠信公司網站的128位EV-SSL證書注冊頁面。
圖2 EV-SSL證書開始注冊界面
在此EV-SSL證書的注冊和購買過程的最初兩個步驟中，當我們按網站提供的注冊要求完成域名驗證和填寫付款方式后，就會出現(xiàn)如圖3所示的生成證書請求(CSR)界面。由于我們已經通過WEB服務器生成了證書請求文件，那么，現(xiàn)在就可以直接單擊此界面中的“下一步”按鈕繼續(xù)下一步的注冊過程。
圖3 生成證書請求界面
接下來就會出現(xiàn)一個如圖4所示的提交證書請求文件界面。此時，我們先用記事本打開前面已經生成的證書請求文件，在本文中就是“c:\ resin-pro-3.2.1\key\myevssl.csr”文件。然后將其中所有的內容全部復制到證書請求文件提交界面中的文本框中。完成后單擊“下一步”按鈕繼續(xù)其注冊過程。
圖4 提交證書請求文件界面
此時，就會出現(xiàn)一個完成注冊的界面。在此界面中通過下拉條往下拉，當出現(xiàn)如圖5界面所示的位置時，在選擇服務器軟件供應下拉框中選擇WEB服務器軟件的供應商。例如，IIS6的軟件供應商就是Microsoft(微軟)。在這個注冊步驟，我們必需正確地選擇WEB服務器的軟件供應商，這樣，證書頒發(fā)機構才能將與WEB服務器兼容的正確證書頒發(fā)給我們。
圖5 選擇服務器軟件供應商界面
完成服務器軟件供應商的選擇后，繼續(xù)向下拉下拉條。接下來會依次出現(xiàn)要求輸入技術聯(lián)系人信息、輸入單位聯(lián)系人信息和輸入付款聯(lián)系人信息的部分。在這些需要填入相應聯(lián)系人信息的位置，我們都必需按要求填入真實有效的聯(lián)系人信息，以便證書能正確送達。其中的技術聯(lián)系人信息一定填寫一個真實可靠的E-Mail地址，以便在注冊后證書頒發(fā)機構能夠將確認郵件發(fā)送給技術人員確認，以及此郵箱將最終接收證書頒發(fā)機構發(fā)送過來的EV-SSL證書。
完成三種聯(lián)系人信息的輸入后繼續(xù)往下拉，就會出現(xiàn)如圖6所示的要求輸入企業(yè)機構代碼的界面。在此界面中，我們必需在“代碼”文本框中正確輸入組織機構代碼證上的代碼，此代碼是一個由9位數(shù)據(jù)組成數(shù)字串。
圖6 輸入組織機構代碼界面
當完成注冊界面中的所有工作全部完成后，單擊此界面中的“接受”按鈕就可以完成整個EV-SSL證書的申請注冊和購買過程。
如果我們真的在天威誠信網站完成了EV-SSL證書的注冊申請工作，天威誠信將經過1-3個工作日來核實和確認付款等工作。天威誠信會在EV-SSL證書的注冊申請?zhí)峤缓�，給我們填寫的技術聯(lián)系人的電子郵箱中發(fā)送一封確認購買證書的郵件，技術聯(lián)系人必需按郵件中提示的內容進行相應的確認。如果技術聯(lián)系人沒有按郵件中內容的要求確信證書購買，那么，天威誠信將不會將證書頒發(fā)給我們。同時，在這封確認證書購買的郵件中，還包含了購買證書的個人身份證號碼(PIN)，我們可以通過它去確認當前的證書訂單狀態(tài)。4、 獲取EV-
SSL證書
當我們所有的證書注冊工作正確完成，并按要求付款后，證書機構(本例中為天威誠信)就會將一封包含有EV-SSL證書的電子郵件發(fā)送到技術聯(lián)系人的郵箱當中。我們現(xiàn)在要做的，就是打開電子郵件，將此郵件內容中從“-----BEGIN CERTIFICATE-----”字段開始(包括此字段)到“-----END CERTIFICATE-----”字段(包括此字段)止的所有文本內容復制好，然后粘貼到記事本中，并以“myevssl.crt”的EV-SSL證書名保存到“c:\ resin-pro-3.2.1\key”目錄下。當然，此證書文件的名稱可以由我們自由決定。
5、 安裝EV-SSL根證書
現(xiàn)在我們已經得到了EV-SSL證書，接下來的工作就是將其安裝到我們所使用的WEB服務器當中。在本文中就是安裝到使用IIS6的WEB服務器中。
打開IIS6服務器的管理控制臺，右鍵網站的域名，在彈出的右鍵菜單中選擇“屬性”菜單進入其屬性界面。然后在屬性界面中單擊“目錄安全性”選項框，在隨即出現(xiàn)的界面中單擊“服務器證書”按鈕，就會開始一個IIS6證書向導。在此證書向導的第一個界面中選擇“掛起證書請求”單項選擇項，然后單擊“下一步”按鈕就會出現(xiàn)如圖7所示的掛起證書請求的界面。在此界面中選擇“處理掛起的請求并安裝證書”單項選擇項，然后單擊下一步按鈕繼續(xù)下一步的證書安裝過程。
圖7 掛起證書請求界面
接下來就會出現(xiàn)如圖8所示的要求輸入要安裝的EV-SSL證書的界面。在此界面中單擊“瀏覽”按鈕，導航到我們保存的證書的位置，并選擇獲得的EV-SSL證書文件(在本文中就是c:\ resin-pro-3.2.1\key\ myevssl.crt)。完成后單擊“下一步”按鈕繼續(xù)安裝證書的過程。
圖8 指定EV-SSL根證書文件界面
此時，就會出現(xiàn)一個如圖9所示的指定SSL連接端口的界面。SSL默認的端口是443，此端口可以保護默認，以便不了解的用戶可以直接通過此默認端口連接服務器。在此界面中單擊“下一步”按鈕就可以完成EV-SSL的安裝過程。
圖9 指定SSL連接端口界面6、 安裝中間級證書
在安裝完EV-SSL根證書后，要想WEB服務器能夠被用戶瀏覽器所信任，我們就必需再為此WEB服務器安裝一個中間級證書。安裝這個中間級證書的作用就是以此來形成一個證書鏈，使瀏覽器信任這個WEB服務器。
首先，從http://www.itrus.com.cn/products/server/golbalmediumca.asp 得到天威誠信提供的服務器中間證書，并保存為一個“crt”類型的文件，例如本文中的myiterevssl.crt，同樣，文件名可以由我們自己決定。
得到中間證書后，接下來就是將它導入到證書管理器中。仍以IIS6服務器為例說明。先打開Windows系統(tǒng)開始菜單中的“運行”對話框，在其中輸入“MMC”后回車就可以進入系統(tǒng)控制臺。進入系統(tǒng)控制臺后，通過控制臺文件菜單中的“添加/刪除管理單元”添加證書管理控制臺。圖10就是證書管理控制臺的界面。
圖10 證書管理控制臺界面
在證書管理控制臺界面中展開“中級證書頒發(fā)機構”，在打開的下級菜單中右擊“證書”，在彈出的右鍵菜單中選擇“所有任務”—“導入”菜單，就可以打開一個證書導入向導。按證書導入向導的提示將上面保存好的中間級證書“myiterevssl.crt”導入即可完成中間級證書的安裝工作。
7、 修改Resin配置文件
要想Resin能夠使用EV-SSL認證，我們還必需對其配置文件resin.conf做相應的設置。具體要配置的內容包括：
...
其中，
當WEB服務器操作系統(tǒng)或軟件出現(xiàn)故障需要重新安裝操作系統(tǒng)或軟件時，為了免除每次安裝兩個證書的過程，我們就有必要將EV-SSL證書和中間級證書都進行備份，以便不時之需。下面的說明仍以IIS6服務器為例。
(1)、EV-SSL和中間級證書的備份
EV-SSL和中間級證書的備份都可以在證書系統(tǒng)管理控制臺中完成。具體操作如下：
在系統(tǒng)開始菜單的“運行”框中輸入“MMC”打開系統(tǒng)管理控制臺，通過其“文件”菜單中的“添加/刪除管理單元”菜單項將“證書”管理控制單元添加進來。
在證書管理控制單元中展開“個人”證書，單擊個人證書下的“證書”菜單，然后在證書管理控制臺右邊界面中用鼠標右鍵單擊我們安裝的EV-SSL證書。在彈出的右鍵菜單中選擇“導出”，就可以開始一個證書導出向導。
在進行證書導出時，我們必需將私鑰一起導出，并且還可以將證書所有路徑中的證書一起導出，然后再為備份的證書設置一個密碼。這樣，備份的證書將保存為一個“pfx”類型的文件。
中間級證書的備份在證書管理控制臺的“中間級證書頒發(fā)機構”項中選擇并導出，其具體的操作過程與上述方式相同。
(2)恢復EV-SSL和中間級證書
當我們備份好EV-SSL和中間級證書后，如果需要重新安裝它們，就可以直接在IIS6的管理控制臺中完成。我們可以打開IIS6管理控制臺，進入“目錄安全性”頁面，在其中單擊“服務器證書”按鈕，在打開的證書向導中選擇“從.pfx文件導入證書”的單項選擇項，然后按提示將保存的證書備份導入即可。
在導入證書備份文件時需要我們指定證書備份文件的具
渝公網安備 50024202000196號
域名注冊知識
虛擬主機知識
網站建設知識
網絡推廣知識
網絡營銷知識
常見技術問題
QQ空間
新浪微博
開心網
人人網