加载中…
个人资料
行者嘿社会
行者嘿社会
  • 博客等级:
  • 博客积分:0
  • 博客访问:97,474
  • 关注人气:5
  • 获赠金笔:0支
  • 赠出金笔:0支
  • 荣誉徽章:
相关博文
推荐博文
谁看过这篇博文
加载中…
正文 字体大小:

php中ssl开发的若干问题

(2013-06-29 11:45:39)
分类: php


最近利用php开发ssl的相关功能,由于第一次做相关的事情,遇到了很多问题,庆幸的是最终都顺利解决了。不过相关的资料很少,都是综合了国内外的相关信息才解决的。现在整理一下,方便后来者遇到问题时解决。
1. 首先扫下盲,什么是数字签名
推荐一个通俗易懂的教程:中文版 英文版
其实整个过程就是:
数据->hash-》摘要-》私钥对摘要加密-》数字签名
 |                                      |
hash                                公钥解密
 |                                      |
摘要-------------是否相等--------------摘要
2. Fatal error: Call to undefined function openssl_pkey_get_public() in 。。。
这个问题主要是因为php.ini中,extension=php_openssl.dll的选项没有打开,把分号去掉,重启apache即可。
3. 用php的openssl_verify函数无法验证由其他函数库生成的签名
比如用c++的函数库生成了一个签名,将其发送给服务器端验签,用php的openssl_verify函数,总是无法通过,并且有以下错误提示:
error:0D07207B:asn1 encoding routines:ASN1_get_object:header too long
error:0D068066:asn1 encoding routines:ASN1_CHECK_TLEN:bad object header
error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error
主要原因是openssl_verify函数是对上面讲的验签过程的高度封装,包括公钥解密,数据校验,比较摘要等过程。这个函数的特别之处是,它需要这个签名必须包含hash头,而有些函数生成的签名是不包含这个hash头的,所以总是有参数错误。
解决的办法就是自己实现这个verify函数。简单的过程如下:
$sha1 = sha1($data, true);
$sign = base64_decode($sign);
$deco = '';
$pubkid = openssl_pkey_get_public($cert);
openssl_public_decrypt($sign, $deco, $pubkid);
最后比较$sha1和$deco是否相等。
4.Warning: openssl_verify(): Don't know how to get public key from this private key in。。。
Warning: openssl_verify(): supplied key param cannot be coerced into a public key in。。。
Warning: openssl_public_decrypt(): Don't know how to get public key from this private key in。。。
Warning: openssl_public_decrypt(): key parameter is not a valid public key in 。。。
明明各种配置都正确,为什么会有这样的警告?而且函数无法得到正确结果。
这个原因是apache和php的openssl版本不一致。apache和php的openssl功能都依赖于libeay32.dll和 ssleay32.dll这两个库,但是这两个文件并非被apache和php共用,而是各用各的。比如apache中这两个文件一般在bin目录,而 php中就在php目录中。仔细看他们的信息会发现,这些文件都有版本信息,关键就是这个版本不一致导致。有人说将php中的这两个文件直接复制到 apache的bin目录中可以解决问题,但是不推荐这样做,因为也许在其他地方会出现错误。如果是自己配置,就下载apache和php中这两个文件版 本一致的。如果不想自己配置,可以使用xampp1.7.1版本。下载地址
5.最后说一下https的配置 (转自这里,并做了适当修改)
SSL: SSl是为Http传输提供安全的协议,通过证书认证来确保客户端和网站服务器之间的数据是安全。也就是说在SSL下http传输是安全的,我们成为 https. 
配置过程如下: 
步骤一:安装apache,使其支持SSL,并安装php 
1.安装配有SSL模块的apache,比如apache_2.2.8-win32-x86-openssl-0.9.8g 
2.配置apache以支持SSL:打开apache的配置文件conf/httpd.conf 
1)LoadModule ssl_module modules/mod_ssl.so、Include conf/extra/httpd-ssl.conf 
去掉两行前面的# 
2)注意修改httpd-ssl.conf 文件里的两个字段: 
SSLCertificateFile "C:/Apache2.2/conf/server.crt" 
SSLCertificateKeyFile "C:/Apache2.2/conf/server.key" 
3.安装php,整合apache和Php(略) 
为下面你所生成的证书和密钥地址。 
步骤二:为网站服务器生成证书及私钥文件 
1. 生成服务器的私钥
进入命令行: 
D:\local\apache2\bin\openssl genrsa -out server.key 1024 
在当前目录下生成了一个server.key生成签署申请 
2. 生成签署申请 
D:\local\apache2\bin>openssl req -new –out server.csr -key server.key -config..\conf\openssl.cnf 
此时生成签署文件server.csr. 
步骤三:通过CA为网站服务器签署证书
1.生成CA私钥 
D:\local\apache2\bin\openssl genrsa -out ca.key 1024 
多出ca.key文件 
2.利用CA的私钥产生CA的自签署证书 
D:\local\apache2\bin\openssl req -new -x509 -days 365 -key ca.key -out ca.crt -config ..\conf\openssl.cnf 
此时需要输入一些信息,注意Common Name为服务器域名,如果在本机,为本机IP。
3.CA为网站服务器签署证书 
D:\local\apache2\bin\openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config ..\conf\openssl.cnf
但,此时会报错,于是在在当前目录创建demoCA,里面创建以下文件,index.txt,serial,serial中内容为01,其他为空,以及文件夹 newcert.再执行一遍,即可生成server.crt文件 
步骤四:然后将 server.crt,server.key复制到apache的conf文件夹下,重启apache
若是使用了xampp,其中自带了证书和私钥,不用自己配置,直接支持https。只需修改http-ssl.conf中的documentroot字段,想用https访问哪个目录就改为哪个。
若以http访问,则http.conf中documentroot指向哪里,就访问哪里;若以https访问,则http-ssl.conf中的documentroot指向哪里就访问哪里。

0

阅读 评论 收藏 禁止转载 喜欢 打印举报/Report
  • 评论加载中,请稍候...
发评论

    发评论

    以上网友发言只代表其个人观点,不代表新浪网的观点或立场。

      

    新浪BLOG意见反馈留言板 电话:4000520066 提示音后按1键(按当地市话标准计费) 欢迎批评指正

    新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

    新浪公司 版权所有