标签: openssl

鉴于越来越多的安全问题，例如新宣布的针对 SSL/TLS 的浏览器漏洞利用 (BEAST)，我很好奇我们如何通过 OpenSSL 和 Apache 启用 TLS 1.1 和 1.2 以确保我们不会受到攻击到此类威胁载体。

我试图重新编译 PHP，但 ./configure 在以下位置失败：

configure: error: Cannot find OpenSSL's <evp.h>

我安装了 LibSSL 1.0.0、LibSSL 0.9.8、LibSSL-Dev、OpenSSL。

--with-openssl=/usr/include/openssl

当我尝试

--with-openssl

告诉我：

配置：错误：找不到 OpenSSL 的库

**** 问题出在哪里？

PS Php 是 5.2.5，操作系统是 Ubuntu

我想有一个安全的连接，当我登录到我的 webmail、phpMyAdmin等时。

因此，我使用 OpenSSL 签署了自己的 SSL 证书，并告诉 Apache 侦听端口 443。

这实际上安全吗？我的所有密码是否真的通过安全可靠的层发送？如果我从Verisign购买 SSL 证书或签署我自己的证书，这有什么区别？在一天结束时，无论如何所有数据都将在我的服务器上。那么最大的区别是什么？

我正在尝试使用 OpenSSL 连接到 SSL 服务器。

当我运行时：

openssl s_client -connect myhost.com:443

以下 SSL 客户端配置工作正常：

• 窗户 ( OpenSSL 0.9.83e 23 Feb 2007)
• Linux ( OpenSSL 0.9.8o 01 Jun 2010)
• Linux ( OpenSSL 1.0.0-fips 29 Mar 2010)

任何成功连接的输出如下所示：

New, TLSv1/SSLv3, Cipher is DES-CBC3-SHA
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DES-CBC3-SHA
    Session-ID: (hidden)
    Session-ID-ctx:
    Master-Key: (hidden)
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK …

有很多关于这个主题的资源，但我发现没有一个能涵盖这个稍微特殊的情况。

我有 4 个文件；

• 私钥.pem
• 证书.pem
• middle_rapidssl.pem
• ca_geotrust_global.pem

我希望将它们导入一个新的密钥库。

有的站点建议使用DER格式，并一一导入，但由于无法识别密钥而失败。

另一个站点建议使用一个特殊的“ImportKey”类来运行导入，这一直有效，直到我看到链断裂。即证书上的链长为1，忽略中间和ca。

一些网站建议使用 PKCS7，但我什至无法从中获得链条。其他人建议使用 PKCS12 格式，但就我的测试而言，获取整个链也失败了。

非常欢迎任何建议或提示。

我的 Nginx 配置有问题。我升级到 nginx 1.9.6 来测试 http/2 但它在我的服务器上不起作用。

我使用了 ubuntu 14.04.2 LTS

这是 nginx -V 输出：

nginx version: nginx/1.9.6
built with OpenSSL 1.0.2d 9 Jul 2015
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-log-path=/var/log/nginx/access.log --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --lock-path=/var/lock/nginx.lock --pid-path=/var/run/nginx.pid --with-pcre-jit --with-debug --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_geoip_module --with-http_gzip_static_module --with-http_image_filter_module --with-http_realip_module --with-http_stub_status_module --with-http_ssl_module --with-http_sub_module --with-http_xslt_module --with-http_v2_module --with-stream --with-ipv6 --with-mail --with-mail_ssl_module --with-openssl=/build/nginx-GFP362/nginx-1.9.6/debian/openssl-1.0.2d --add-module=/build/nginx-GFP362/nginx-1.9.6/debian/modules/nginx-auth-pam --add-module=/build/nginx-GFP362/nginx-1.9.6/debian/modules/nginx-echo --add-module=/build/nginx-GFP362/nginx-1.9.6/debian/modules/nginx-upstream-fair --add-module=/build/nginx-GFP362/nginx-1.9.6/debian/modules/nginx-dav-ext-module --add-module=/build/nginx-GFP362/nginx-1.9.6/debian/modules/nginx-cache-purge

这是我的虚拟主机配置：

server {
    listen         80;
    server_name    localhost;
    return         301 https://$server_name$request_uri;
}

server { …

我究竟如何从 .p12 文件生成 .key 文件和 .crt 文件？

我有一个 Ubuntu 12.04 服务器。我已经更新了OpenSSL软件包以修复 heartbleed 漏洞。但即使我重新启动了 Web 服务器，甚至整个服务器，我仍然很容易受到攻击。

为了检查我的漏洞，我使用了：

• http://www.exploit-db.com/exploits/32745/
• http://filippo.io/Heartbleed

dpkg 给出：

dpkg -l |grep openssl
ii  openssl  1.0.1-4ubuntu5.12   Secure Socket Layer (SSL) binary and related cryptographic tools

(launchpad.net/ubuntu/+source/openssl/1.0.1-4ubuntu5.12)

在 CentOS 6.5 上，/etc/pki/tls/certs我有：

ca-bundle.crt

和

ca-bundle.trust.crt

具有不同的文件大小。我应该使用哪个作为nginx 的信任路径proxy_ssl_trusted_certificate。