基于华为ServiceComb框架实现HTTPS双向认证

一、HTTPS双向认证

1.1 双向认证的基础：HTTPS协议、证书

    提到https，就会立马联想到http，二者的区分如下图所示，可以看出https在TCP和HTTP协议之间加了一层SSL协议。相较于http，https保障安全的机制可以总结为如下3点：

• 机密性：秘钥——》公私钥，公钥由证书携带；对称秘钥，加密传输信息；

• 完整性：秘钥+hash算法（MD5/SHA）——》证书签名

• 真实性：PKI（public key infrastructure）= CA+浏览器

    不难看出，证书在https双向认证中扮演了关键的角色。证书是CA（Certification Authority）为某个服务器或某个域名颁发的身份凭证，主要由拥有者信息、颁发者信息、公钥、签名等信息组成。生成证书的步骤可以总结为：

•  客户为某个域名向权威的第三方CA发起CSR（证书签名请求）

• CA利用自身私钥对该CSR进行签名

• CA颁发证书

  
  

    常用的生成证书的工具包括openssl/keytool，二者的主要区别是：openssl可以签发证书，而keytool只能自签证书。自签证书表示证书的颁发者和拥有者是同一个机构，CA可利用openssl对CSR进行签名。