SSL檔案認證使用

SSL是我們現在常用的WEB服務加密通道，它的全名是：Secure Socket Layer ，也就是我們常說的安全套介面，採用數位憑證來保證它的安全機制。主要功能是加密和認證來保護網路傳輸中的安全。他處於HTTP協議層和TCP協議層中間。
SSL加密認證是使用公用密鑰和私人密鑰，我們使用者都是使用公用密鑰來加密資料的，解密資料要使用相應的私人密鑰。
引用一下SSL的通訊流程：“使用SSL安全機制的通訊過程如下：使用者與IIS伺服器建立串連後，伺服器會把數位憑證與公用密鑰發送給使用者，使用者端產生工作階段金鑰，並用公用金鑰組工作階段金鑰進行加密，然後傳遞給伺服器，伺服器端用私人密鑰進行解密，這樣，使用者端和伺服器端就建立了一條安全通道，只有SSL允許的使用者才能與IIS伺服器進行通訊。
　SSL網站不同於一般的Web網站，它使用的是“HTTPS”協議，而不是普通的“HTTP”協議。因此它的URL（統一資源定位器）格式為“https://網站網域名稱”。”

下面我們來看看我們用IIS WEB服務後，怎麼用SSL通道來進行加密認證的具體操作吧。
SSL的通訊連接埠預設是443，所以在安裝服務之前最好把機子上有佔用443連接埠的防火牆或是軟體關閉，以免發生衝突。我們用windows認證服務來現實SSL的加密，所以有個前提是安裝認證服務的機器必須先安裝了IIS WEB服務。
開啟開始—設定—控制台—添加或刪除程式—添加或刪除windows組件—我們選擇鉤上“認證服務”。下一步—放下系統光碟片—安裝會彈出這個視窗 1：

提示您如果安裝認證服務的話就不能改域成員資格和電腦名稱，如果理改的話頒發出去的CA認證將無效。問您是否安裝。我們選“是”，選完之後出現如下對話方塊圖2：
如果我們的電腦是在域裡面，我們就可以建立企業CA，由於我們沒有在域裡面，所以我們只能選擇建立“獨立根目錄CA”。再鉤上“用自訂設定產生金鑰組和CA認證”，下一步，3：
選擇一個CSP，什麼是CSP？：CSP的意思是密碼編譯服務提供者。預設為：Microsoft Strong Cryptographic Provider 散列演算法有MD2 MD4 MD5 SHA-1 預設的演算法是SHA-1 密鑰長度：理論上是越長越好，理論上也是越長加密所須的時間最久。預設為2048.下一步，4：
填寫識別資訊，主要要填寫的是一般名稱和有效期間限。一般名稱最好填寫有代表性的名稱，如cfanhome。可分辯尾碼。如果有域會自動填寫，沒域可以不填或是按規則填寫一個，正確的填寫方法是DC＝名字，我們就寫DC＝com吧，有效期間，預設是5年，我們可以根據自己的需要來設定。設完後下一步5：
填寫你的認證資料庫，認證資料庫日記，共用資料夾位置，如果沒有特別情況就預設，可以根據自己的需要設定。我一點下一步6：
提示我們如果要繼續安裝認證服務就要暫停IIS伺服器的運行，因為要安裝IIS虛擬目錄和服務等資訊。點“是”下一步，7：
提示我們如果要正常啟用認證的web服務就要安裝IIS裡的ASP服務，也就是在擴充服務裡面，我們點“是”，就表示同意安裝ASP服務，系統會自動啟用IIS擴充服務裡的ASP服務。認證服務的WEB頁面都是動態。下一步，完成了認證服務的安裝，我們可以開啟開始—程式—管理工具—認證服務。可以看到主介面8：
四個準系統：
1撤銷憑證：這裡顯示已撤銷憑證，吊銷後認證將失效。可以對已撤銷憑證進行還原，
2頒發的認證：已頒發的有效認證在這裡顯示，可以對認證進行吊銷工作。
3掛起的認證：這裡顯示的是還沒有頒發的認證，也就是剛剛申請的認證，這裡可以進行的操作是頒發和拒絕。
4失敗的認證：這裡顯示所有申請失敗的認證，如網路原因，或人辦原因申請認證失敗。

接下來我們來看看我們的WEB伺服器要怎麼來申請認證：
我們轉到WEB伺服器，開啟IE，輸入http://SSLIP/certsrv 斷行符號，我們就可以看到認證伺服器的申請介面，9：
這時我們還不急著申請，因為我們還有一件事情沒完成。我們需要建立一個密鑰檔案，來申請我們的認證，那要怎麼建立呢。開啟IIS服務管理員—預設網站—右鍵屬性—目錄安全性—10：
我們點一下“伺服器憑證”，11：
選擇建立認證，12
下一步，填寫我們的認證名稱，我們就填cfanhome吧，長度是預設1024.在這裡我們又可以選擇我們的CSP程式，13：
下一步：寫單位和部門，根據我們的情況寫，我寫了單位是：：cfanclub 部門是minks
下一步，輸入一般名稱字，如果web伺服器是在外網，那麼要寫我們的DNS名，如果我們的伺服器是在內網，可以寫共用名稱，也就是電腦的Netbios名，我輸入了cfanclub，16：
下一步，選擇圖家，省還和地區，我在廣州，所以我寫中圖，guangdong guangzhou，17：
下一步，選擇我們的認證請求要儲存的位置，我們選先一個位置，18：
下一步完成了認證申請檔案的建立，我們可以看到在我們剛剛選擇的目錄下產生了一個認證請求檔案，叫：certreq.txt 開啟它，我們能看到19：
這是一串認證申請字元，我們可以用CTRL+A把它全選，再用CTRL+C再它複製下來。等一下申請認證要用到的。
我們再回過頭到網頁上點申請一個認證，進入20介面：

點“提交一個進階申請”進入21網頁介面：
點擊第二個“使用base64 編碼的CMC 或PKCS #10 檔案提交 一個認證申請，……”，進入22的認證申請介面，

到這裡，我們就可以把剛剛複製下來的代碼把它放到編碼欄裡，點提交就可以了，如果剛剛沒有複製，我們也可以點“瀏覽要插入檔案”，找到我們的certreq.txt檔案，插入也可以。當我們點提交之後，我們的認證也就申請完了。23

申請完的認證並不可以立即使用，因為這是掛起的。我們必需等待憑證授權單位來頒發認證，這時候我們再轉到認證服務的伺服器上，我們開啟認證服務的掛起的認證，我們可以看到我們剛剛申請的認證，點認證右鍵—頒發認證，25：
這樣，我們就可以在頒發的認證裡看到我們的認證已經頒發了，我們再到WEB伺服器開啟網頁，點“查看掛起的認證的狀態”，我們可以看到26的介面：

看到我們的認證已經頒分了，點一下儲存的申請認證。再在出來的頁面中選擇下載認證，下載儲存後我們可以的看到28：
這就是我們的認證，名字叫：cernew.cer 看起來很眼熟吧，對的，我們以前看過的認證都是cer尾碼的。這時，我們再到IIS管理器裡—預設網站—右鍵屬性—目錄安全性—伺服器憑證，29：
選擇“處理掛起的請求並安裝認證”。下一步，30：
選擇我們的認證，也就是剛剛申請得到的認證，選擇完畢之後選擇SSL的連接埠，預設為443，我們就用預設連接埠來建立吧，31：
下一步，完成操作，我們再看看IIS管理器裡—預設網站—右鍵屬性—目錄安全性—那個服務憑證現在變亮了，點一下，能看到我們的認證的資訊，32：

現在差不多了，認證申請完了，就差最後一步了，也就是啟用認證，怎麼啟用呢，我們點IIS管理器裡—預設網站—右鍵屬性—目錄安全性—編輯，可以看到33：

正常訪問我們的網站會出現無法查看，並提示該頁必需通過安全通道來查看。我們在http後面加上個S。變成https://192.168.0.247/cfanclub 我們看到，網頁彈出了安全資訊視窗35：

這個視窗我們在網上也是經常看到的，如網上銀行等。這裡能看到資訊是否安全，認證是否到期，我們點“是”，看到沒有，網站正常開啟了，36：
這樣，一個簡單的SSL安全性憑證就完成了，我們可以在網頁下面看到有一把小鎖了，這表示我們和WEB網站之間已經建立了一條SSL安全通道，我們所看到，所輸入的資訊在網路中傳輸都是經過加密的，別人無法看到我們的真實內容的。希望這個教程能幫到大家。

我們鉤上“要求安全通道（SSL）”，這樣，別人訪問我們的網站時就無法訪問了，要通過SSL通道才能訪問。34