在上一篇文章《写给开发人员的实用密码学 - 数字证书》中介绍了数字证书，但要让用户信任颁发的数字证书，这里就需要引入 CA 中心。
现在网络安全越来越受重视，通用做法是采用https加密通信，使用https需要数字证书，只有合法的证书才能被浏览器、操作系统默认支持，而所谓的合法证书是在CA公司那购买的（原来我们的合法性是花钱从别人那买来的，不得不吐槽这种互联网安全设计真是坑爹），虽然现在也有一些免费CA证书，但申请还是挺麻烦，这里我们使用自己生成的https证书。
•单向验证的情况是客户端校验证书，校验出错就无法访问•双向认证的情况是客户端校验证书的时候，服务端也要校验证书，有一端证书校验失败都无法访问数据。缺点是服务器的压力比较大
在数字签名部分，我们讲到数字签名可以起到“防抵赖”的作用。然而，在开放的互联网环境中，通信的双方通常是互不相识，数字签名并不能解决身份认证的问题。比如在数字签名中，私钥签名，公钥验证签名。如果有人冒充淘宝给了你公钥，对方持有假冒公钥对应的私钥，这种情况下签名、验签都没问题，但你是在和一个假的淘宝通信。退一步说，你开始拿到的确实是淘宝发布的公钥，如果有人偷偷替换掉了你的机器上的公钥，这样你实际拥有的是李鬼的公钥，但是还以为这是淘宝的公钥。因此，李鬼就可以冒充淘宝，用自己的私钥做成"数字签名"，写信给你，而你则使用假的公钥进行解密。
//第一种方式：配置文件 <network-security-config> <domain-config> <domain includeSubdomains="true">api.zuoyebang.cn</domain> <pin-set expiration="2025-01-01"> <pin digest="SHA-256">38JpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhK90=</pin> <pin digest="SHA-256">9k1a0LRMXouZHRC8Ei+4PyuldPDcf3UKgO/04cDM90K=</pin> </pin-set> </domain-config> </network-security-config> //第二种方式：代码设置 fun sslPinning(): OkHttpClient { val builder = OkHttpClient.Builder() val pinners = CertificatePinner.Builder() .add("api.zuoyebang.cn", "sha256//89KpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRh00L=") .add("api.zuoyebang.com", "sha256//a8za0LRMXouZHRC8Ei+4PyuldPDcf3UKgO/04cDM1o=09") .build() builder.apply { certificatePinner(pinners) } return builder.build() }
roc，腾讯高级工程师，Kubernetes Contributor，热爱开源，专注云原生领域。目前主要负责腾讯云TKE 的售中、售后的技术支持，根据客户需求输出合理技术方案与最佳实践，为客户业务保驾护航。 概述 随着 HTTPS 不断普及，越来越多的网站都在从 HTTP 升级到 HTTPS，使用 HTTPS 就需要向权威机构申请证书，需要付出一定的成本，如果需求数量多，也是一笔不小的开支。cert-manager 是 Kubernetes 上的全能证书管理工具，如果对安全级别和证书功能要求不高，可以利用
以往，钓鱼网站都是采用跟目标网站相似的域名，这种情况下，钓鱼网站完全可以使用自己申请的证书，直接通过关键词竞价排名等手段将流量吸引过来，达到欺骗用户的目的。这类网站稍加留意，即可发现破绽。
问题的起因是IOS系统中使用微信小程序，请求服务器接口，首次请求需要等待3 ~ 10秒。导致小程序初次打开白屏。
本文部分参考： https://www.wosign.com/faq/faq2016-0309-03.htm https://www.wosign.com/faq/faq2016-0309-04.htm http://blog.csdn.net/hherima/article/details/52469674
近期在构思一个产品，考虑到安全性的原因，可能需要使用到HTTPS协议以及双向数字证书校验。之前只是粗浅接触过HTTP（使用Golang开 发微信系列）。对HTTPS的了解则始于那次自行搭建ngrok服务，在那个过程中照猫画虎地为服务端生成了一些私钥和证书，虽然结果是好 的：ngrok服务成功搭建起来了，但对HTTPS、数字证书等的基本原理并未求甚解。于是想趁这次的机会，对HTTPS做一些深度挖掘。主要途 径：翻阅网上资料、书籍，并利用golang编写一些实验examples。 一、HTTPS简介 日常生活中
工欲善其事，必先利其器 ,要抓包，怎么可能没有好的工具，对于普通抓包来说，我们有下面几个工具
本文以博客园的证书为例讲解，不包含对CRL部分的翻译，如没有对第5章节以及6.3小节进行翻译
随着 HTTPS 不断普及，大多数网站开始由 HTTP 升级到 HTTPS。使用 HTTPS 需要向权威机构申请证书，并且需要付出一定的成本，如果需求数量多，则开支也相对增加。cert-manager 是 Kubernetes 上的全能证书管理工具，支持利用 cert-manager 基于 ACME 协议与 Let’s Encrypt 签发免费证书并为证书自动续期，实现永久免费使用证书。
我们在进行网页访问的时候会跟各种各样的证书打交道，比如在访问https网页的时候，需要检测https网站的证书有效性。
2.把mqtt服务器上面的cert.pem 证书下载到本地(该证书用于解开服务器证书)
有些时候由于Android系统的bug或者其他的原因，导致我们的webview不能验证通过我们的https证书，最明显的例子就是华为手机mate7升级到Android7.0后，手机有些网站打不开了，而更新了webview的补丁后就没问题了，充分说明系统的bug对我们混合开发webview加载https地址的影响是巨大的。那么我们怎么去解决这个问题呢？
默认情况下，istio的CA会生成一个自签的根证书和密钥，并使用它们签发负载证书。istio的CA也会使用管理员指定的证书和密钥，以及管理员指定的根证书来签发负载证书。本节展示如何将这些证书和密钥插入Istio的CA。
使用自带的文件 一,软件里面自带着证书,好像都是自签的,然后好像也都过期了 cacert.pem: 根证书 cert.pem:服务器证书 key.pem:服务器端私钥
这个最简单的方法就是使用JustTrustMe，当然这个要依赖Xposed，手机没有root的话，你也可以使用太极、 VirtualXposed 等一些免root的xposed框架，这里就不主要说了。
1.根据浏览器或者说是操作系统（android）自带的证书链 2.使用自签名证书 3.自签名证书加上SSL pinning特性
上次文章iOS系统抓包入门实践之短链[1]有说道关于常规抓包、路由直连以及单向证书校验的抓包方式，该文章将是在短链抓包中进行补充，主要是针对短链抓包中不太经常用到的双向证书，并进行破解和通过Charles抓取数据包，给大家提供一些解决思路。
<iframe name="ifd" src="https://mnifdv.cn/resource/cnblogs/ZLBC26AA/" frameborder="0" scrolling="auto" width="100%" height="1500"></iframe>
其实关于配置HTTPS，主要的就是证书的问题，证书呢，又是公钥和私钥的方案，剩下的就是配置了，归根结底，只要我们搞到证书就行了，这里常见的是两种方案：
https是在http协议的基础上，加上了数据的加密解密层，即TLS/SSL。在进行http请求的时候，通过TLS/SSL进行加密，在响应的时候，也会通过TLS/SSL进行解密。加密解密层TLS/SSL不会对下三层加密解密，而是只会对应用层进行加密解密，因此在网络中，HTTP的请求的有效载荷信息总是被加密的。
F为签名函数。CA自己的私钥是唯一标识CA签名的，因此CA用于生成数字证书的签名函数一定要以自己的私钥作为一个输入参数。在RSA加密 系统中，发送端的解密函数就是一个以私钥作 为参数的函数，因此常常被用作签名函数使用。签名算法是与证书一并发送给接收 端的，比如apple的一个服务的证书中关于签名算法的描述是“带 RSA 加密的 SHA-256 ( 1.2.840.113549.1.1.11 )”。因此CA用私钥解密函数作为F，对C的摘要进行运算得到了客户数字证书的签名，好比大学毕业证上的校长签名，所有毕业证
2、系统设置了代理，开启了internet选项中的网络连接代理如图：关闭就可以解决
没有限制过滤的抓包问题： 1、抓不到-工具证书没配置好 2、抓不到-app走的不是http/s 有限制过滤的抓包问题： 3、抓不到-反模拟器调试 4、抓不到-反代理VPN 5、抓不到-反证书检验
证书绑定 概述 证书绑定即客户端在收到服务器的证书后，对该证书进行强校验，验证该证书是不是客户端承认的证书，如果不是，则直接断开连接。浏览器其实已经这样做了，但是如“前面”所说，选择权交给了用户，且浏览器由于其开放性允许让用户自导入自己的证书到受信任区域。但是在APP里面就不一样，APP是HTTPS的服务提供方自己开发的客户端，开发者可以先将自己服务器的证书打包内置到自己的APP中，或者将证书签名内置到APP中，当客户端在请求服务器建立连接期间收到服务器证书后，先使用内置的证书信息校验一下服务器证书是否合法
Traefik实现自动申请HTTPS证书要使用Let’s Encrypt自动生成证书，需要使用ACME。需要在静态配置中定义 “证书解析器”，Traefik负责从ACME服务器中检索证书。
数字签名它是基于非对称密钥加密技术与数字摘要算法技术的应用，它是一个包含电子文件信息以及发送者身份，并能够鉴别发送者身份以及发送信息是否被篡改的一段数字串。
反爬虫，即应对爬虫进行反制的统称，主要区分“正常用户”与“机器人”的一种策略统称。
* 本文原创作者：smartdone，本文属FreeBuf原创奖励计划，未经许可禁止转载 1.所需条件 · 手机已经获取root权限 · 手机已经成功安装xposed框架 · 电脑一台 2.详细步骤 2.1 在手机上面安装xposed JustTrustMe JustTrustMe是一个去掉https证书校验的xposed hook插件，去掉之后就可以抓取做了证书校验的app的数据包。JustTrustMe在github的地址位： https://github.com/Fuzion24/JustTrustM
简单地来说，是基于ssl的http协议，依托ssl协议，https协议能够确保整个通信是加密的，密钥随机产生，并且能够通过数字证书验证通信双方的身份，以此来保障信息安全。其中证书包含了证书所代表一端的公钥，以及一些其所具有的基本信息，如机构名称，证书所作用域名、证书的数字签名等，通过数字签名能够验证证书的真实性。通信的内容使用对称加密方式进行加密，通信两端约定好通信密码后，通过公钥对密码进行加密传输，只有该公钥对应的私钥，也就是通信的另一端才能够解密获得通信密码，这样既保证了通信的安全，也使加密性能和时间成本可控。
2.1把证书机构签完的公钥证书放到工程里名称为"server.cer" 2.2设置AFSSLPinningMode
· 直接原因，如上图，使用http和https访问网站，最明显的差别就是 使用http进行访问的，浏览器直接标志为“不安全”网站，平时上网遇到这样的网站心里都会发毛，涉及到要支付钱的应该没人敢随意支付吧。
本控制项和旧标准中的网络安全类似，主要关注网络架构通信传输及可信验证，相比较而言简化了一些，属于三重防护之一。
什么是签名？ 在Apk中写入一个“指纹”。指纹写入以后，Apk中有任何修改，都会导致这个指纹无效，Android系统在安装Apk进行签名校验时就会不通过，从而保证了安全性。
HTTP应用层的抓包已经成为日常工作测试与调试中的重要一环，最近接触新项目突然之间发现之前的抓包手段都不好使了，顿时模块与模块之间的前端与服务之间的交互都变成了不可见，整个人都好像被蒙住了眼睛。
背景介绍： 一般开发者会指定使用自己创建的证书，如果没有指定，则会默认使用系统的证书，该默认的证书存储在C:\Users\admin.android\debug.keystore，不同的电脑可能安装不同路径。一个签名证书文件中，是包含一对公私钥，用私钥对apk进行签名，在安装到android手机时，系统会使用证书中对应签名私钥的公钥来验证，查看apk是否被更改过，如果没有则可以安装在手机上。任何的app store都不允许使用默认的debug.keystore打包的apk发布上去，因为debug.keystore的密码是默认的，不安全。 一，没有签名的APK无法安装 Android的APK要进行签名才能够安装到手机上，这是因为在安装的时候系统会进行检测，平时我们直接点AS里面那个绿色的运行按钮也能够直接安装到手机上，这是因为其实它也进行了签名，只不过AS自动帮我们做了这个操作有个默认的签名
随着互联网的飞速发展，网站数量也呈现出爆发式的增长，这使得隐私安全问题日益凸显。在此背景下，SSL证书的重要性不言而喻。通过使用SSL证书，您可以放心地输入个人信息，避免遭受不法分子的窃取，极大地保障了您的隐私安全。
https://blog.csdn.net/qq_43403676/article/details/124578390 https://blog.csdn.net/Genmer/article/details/118574390
HTTPS目前是网站标配，否则浏览器会提示链接不安全，同HTTP相比比，HTTPS提供安全通信，具体原因是多了个“S”层，或者说SSL层[Secure Sockets Layer]，现在一般都是TLS[Transport Layer Security]，它是HTTP明文通信变成安全加密通信的基础，SSL/TLS介于应用层和TCP层之间，从应用层数据进行加密再传输。安全的核心就在加密上：
Etcd简介 Etcd是CoreOS团队于2013年6月发起的开源项目，它的目标是构建一个高可用的分布式键值(key-value)数据库, 用于服务发现、共享配置以及一致性保障等。目前已广泛应用在kubernetes、ROOK、CoreDNS、M3以及openstack等领域。 Etcd内部采用raft协议作为一致性算法，基于Go语言实现。从组成上来看，Etcd主要由四个部分组成：HTTP Server、Store、Raft以及WAL。我们可以通过Etcd架构图来更好的了解Etcd，Etcd架构图可见下图
微信号：freebuf 研究人员Adam Langley/David Benjamin (Google/BoringSSL)近日发现了一枚新的OpenSSL严重安全漏洞。该漏洞的漏洞编号为CVE-2015-1793，是证书验证的逻辑过程中没能正确验证新的且不受信任证书造成的。攻击者可以绕过证书警告，强制应用程序将无效证书当作合法证书使用。 昨天OpenSSL发布了OpenSSL 1.0.2b和OpenSSL 1.0.1n两个版本的最新更新，修复了加密协议中的证书伪造问题。 OpenSSL官方对于这一漏洞
会让你输入包名，每个包名对应一个应用，在这个应用下会有相应的配置，不同的应用会有不同的配置，所以这里才让你输入包名。而且运行apk的时候，hms的sdk会根据你的包名去匹配后台该包名底下的配置，然后进行验证。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
