我怀疑是因为无法成功读取到此crl文件所导致的错误 。请手工在浏览器 上把这个url输入，看能否成功下载到此crl。
一般查询crl是通过>
网络上常常有对RSA、DH算法，以及中间人攻击的讨论。
一种说法是“RSA密钥协商（交换）不会受到中间人攻击”，听起来似乎RSA比DH做密钥协商更优。
这种说法有些不负责任。下面把这个问题中涉及到的概念都解释一下，再来看这个问题。
中间人攻击，可以这样解释：攻击者一定程度上控制了网络，成为网络双方通信的中间者，从而获取到双方的通信信息；而通信双方都感知不到中间人的存在。
这个话题往往和加密通信一起讨论：如果加密信道中存在中间人，那明文就会被中间人获取，而通信双方还不会知晓。
中间人攻击的根本，在于通信双方没有进行身份认证。即：不知道和自己直接通信的人是谁。如果双方能确认直接通信的人就是对方，也就不存在中间人攻击了。
RSA加密算法 是一种非对称加密技术。由一对密钥（公钥+私钥）组成。
可以利用私钥来生成公钥。
一般来说，私钥会被秘密保存起来，而公钥则分发出去。
公钥加密，私钥解密，称为RSA加密算法。 是为了保证公钥加密的内容，只有私钥持有者可以解密。常常用在客户端账密登录过程：客户端对密码进行公钥加密，发送到服务端后用私钥解密，这样即使请求被截获也不会泄露密码（实际上要更复杂一些）。
私钥加密，公钥解密，称为RSA签名算法。 是为了保证公钥持有者获取的内容，确实是来自私钥持有者的正确内容。比如服务器持有私钥，将一个重要信息计算hash再私钥签名后，和信息本身一起发送到客户端；客户端用公钥解密签名得到hash值，再计算信息的hash值，进行比对，就知道内容是否被篡改。由于私钥的保密性，攻击者无法伪造有效的签名。
DH密钥交换算法 并不是 加密算法，而是双方在不安全的网络中交换信息而生成双方仅有的密钥的一种方法。其结果是，交换的双方得到了一样的会话密钥，而其他任何人不能得到这个密钥。
由于算法的结果是通信双方拥有了一样的密钥，双方往往会利用这个密钥进行 对称 加密通信。
DH算法的过程可以简单解释如下：通信双方AB，各自生成一对DH密钥(Pa,Sa)和(Pb,Sb)（P代表公钥，S代表私钥）。双方交换各自的公钥P，于是A持有Sa、Pb，B持有Sb、Pa。通过某种计算，Sa、Pb可以生成会话密钥K，Sb、Pa也可以生成相同的K。
DH算法本身不包含身份认证机制，所以中间人攻击是其明显的问题。
设想：
在AB间，有一C。AB交换DH公钥P时，C在中间截获；C自己生成一对DH密钥(Pc,Sc)，用Pc和A、B完成密钥交换。于是C与A间有了会话密钥Kac=f(Pa,Sc)=f(Pc, Sa)，C与B间有了会话密钥Kcb=f(Pb,Sc)=f(Pc, Sb)。只要C从一方获得的信息，重新加密后传递给另一方，AB就都不会发现他们的通信被劫持了。
密钥协商(key establishment)包括“密钥传输”(key transmission)和“密钥交换”(key exchange)。
所谓RSA密钥协商实际是密钥传输，即一方生成密钥，传递给另一方，而不必双方交换。
具体来说，就是A自己生成一个密钥K，用自己的RSA公钥加密，再传递给B；B用RSA私钥解密得到K。仅就这个过程而言，不会存在中间人攻击。
但是这不是说RSA就比DH就更安全了。设想上面的情况，必须先要令A持有RSA公钥，B持有RSA私钥。这首先先进行一次RSA公钥传递，而这个传递过程是存在中间人攻击的。
设想：
B生成一对RSA密钥Pb、Sb，将公钥Pb发送给A。而AB中有C。C截获了Pb，而自己生成了一对RSA密钥Pc、Sc，将Pc发送给A。
A用Pc加密了会话密钥K，发送给B，被C截获。C用Sc解密得到K，再用Pb加密后给B。这时C完成了中间人攻击。
所以说： RSA的公钥在端与端间传递时，存在中间人攻击问题。
RSA最好的使用场景在服务端/客户端之间，服务端持有私钥，客户端直接内置好公钥，就不用担心中间人攻击了。
平时我们使用的，号称安全的>你说的CA服务器应该是指CA认证机构的机房的服务器,或者是企业自建CA的服务器，你先看看下面的文章，有什么不明白的可以再提问~~
为保证网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施之外，必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是数字证书。数字证书是各实体(持卡人/个人、商户/企业、网关/银行等)在网上信息交流及商务交易活动中的身份z明。该数字证书具有唯一性。它将实体的公开密钥同实体本身联系在一起，为实现这一目的，必须使数字证书符合X509国际标准，同时数字证书的来源必须是可靠的。这就意味着应有一个网上各方都信任的机构，专门负责数字证书的发放和管理，确保网上信息的安全，这个机构就是CA认证机构。各级CA认证机构的存在组成了整个电子商务的信任链。如果CA机构不安全或发放的数字证书不具有权威性、公正性和可信赖性，电子商务就根本无从谈起。
数字证书认证中心（Certficate Authority,CA）是整个网上电子交易安全的关键环节。它主要负责产生、分配并管理所有参与网上交易的实体所需的身份认证数字证书。每一份数字证书都与上一级的数字签名证书相关联，最终通过安全链追溯到一个已知的并被广泛认为是安全、权威、足以信赖的机构--根认证中心（根CA）。
电子交易的各方都必须拥有合法的身份，即由数字证书认证中心机构（CA）签发的数字证书，在交易的各个环节，交易的各方都需检验对方数字证书的有效性，从而解决了用户信任问题。CA涉及到电子交易中各交易方的身份信息、严格的加密技术和认证程序。基于其牢固的安全机制，CA应用可扩大到一切有安全要求的网上数据传输服务。
数字证书认证解决了网上交易和结算中的安全问题，其中包括建立电子商务各主体之间的信任关系，即建立安全认证体系（CA）；选择安全标准（如SET、SSL）；采用高强度的加、解密技术。其中安全认证体系的建立是关键，它决定了网上交易和结算能否安全进行，因此，数字证书认证中心机构的建立对电子商务的开展具有非常重要的意义。
认证中心（CA），是电子商务体系中的核心环节，是电子交易中信赖的基础。它通过自身的注册审核体系，检查核实进行证书申请的用户身份和各项相关信息，使网上交易的用户属性客观真实性与证书的真实性一致。认证中心作为权威的、可信赖的、公正的第三方机构，专门负责发放并管理所有参与网上交易的实体所需的数字证书。
须填写这项申请信息，可选指可有可无。
步骤二：创建所需的文件，这文件是为了后续申请ca用的，在此先配置。
步骤三：生成私钥
步骤四：生成自签名证书 openssl req -new -x509 –key
/etc/pki/CA/private/cakeypem -days 365 -out /etc/pki/CA/cacertpem
查看证书文件
步骤五：在需要的客户端申请私钥
步骤六：生成证书申请文件
步骤七：把证书请求文件传输给CA
scp /etc/pki/tls/servicesrc 192168100200:
步骤八：CA签署证书，并将证书颁发给请求者。注意：默认国家，省，公司名称三项必须和CA 一致
步骤九：查看申请完成的证书
步骤一：生成自定义证书申请文件，并把文件发给CA。
步骤二：ca签署自定义申请证书
步骤三：要完成自定义申请证书，必须要修改配置文件：/etc/pki/tls/opensslcnf
修改后
步骤四：重新签署自定义申请证书，此时，签署证书没有报错，输入两次yy，文件末尾显示Data Base Updated ，完成签署。
步骤五：查看新申请完成的证书
步骤六：当我们的证书丢失或者不想使用的时候，如何吊销证书呢？方法如下：openssl ca -revoke /etc/pki/CA/newcerts/02pem
步骤七：指定一个吊销证书的编号，注意：第一次更新证书吊销列表前，才需要执行
echo 01 > /etc/pki/CA/crlnumber
步骤八：更新证书吊销列表 openssl ca -gencrl -out /etc/pki/CA/crl/crlpem
步骤九：查看crl文件:openssl crl -in /etc/pki/CA/crl/crlpem -noout -text
>
欢迎分享，转载请注明来源：内存溢出
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）