实验3-应用层安全技术-windows-server证

WINDOWSSERVER2003证书配置目录TOC\o"1-5"\h\zWINDOWSSERVER2003证书配置 I\o"CurrentDocument"一、证书组件安装 1.首先在服务器上安装IIS组件,并配置WEB站点: 2\o"CurrentDocument".使用IE浏览器输入IP地址访问本地站点： 7\o"CurrentDocument".在服务器上安装CA组件: 8\o"CurrentDocument".使用11S查看默认站点多出关于CA证书的列表： 18\o"CurrentDocument".证书颁发机构 18\o"CurrentDocument"1.申请数字证书 20.打开证书颁发机构查看： 32三、在WEB服务器上设置SSL 32\o"CurrentDocument".提交证书申请: 43\o"CurrentDocument".颁发证书: 50.在使用WEB形式访问证书申请页面，并选择下载证书: 54\o"CurrentDocument".在WEB服务器上安装证书: 55四、练习 60\o"CurrentDocument".使用HTTPS方式访问站点 62一、证书组件安装

1.首先在服务器上安装IIS组件,并配置WEB站点:

二乂话稍候，安装程序正在配置组件.所花时间取决于选定的组件.伏态：检查已安装的文件.:上一步(2)|下一步国)>1［二二段渡二二1帮助1力开始|.9口 3添加或删除程序卜JWindows组件向导并配置WEB服务器:回面|X囱囤服务扩展BENETWEBI回面|X囱囤服务扩展BENETWEBIInternet信息服务CLInternet信息服务中VPC建地计篁机）S'J应用程序池rf文件更）镰作®查看9窗口®）帮助出）.使用IE浏览器输入IP地址访问本地站点:http：///licrosoftInternetExplorer文件9编辑⑥查看W）收藏®工具复）帮助建）后退，《•国画心收藏夹■正体e|）同圉,地址①）国http:〃192.168.*/ :BENETWEB!&完毕心添加或删除程序-Internet信息服务（1一.召］/...心添加或删除程序.在服务器上安装CA组件:因为没有AD（活动目录），所以只能创建独立CA,又因为是第一个CA,所以选择独立根CA,并选择自定义安装：配置”公钥/私钥对"，保持默认即可:设置CA名字和使用年限:选择证书数据库及其日志信息的位置:d开始I€囹5Windows组件向导安装证书时需要停止INTERNET信息服务:起用ASP支持:完成CA的安装:.使用IIS查看默认站点多出关于CA证书的列表:，工nternet信息服务Q工S）摩理事，文件任）操作®查看9窗口也）帮助出）①一包面|X直囱阻里k■IIInternet信息服务名称［路径1状况s*Ivpc建地计苴机）a一j应用程序池白-一j网站E暂默认网站sB丽图E国@CertConS❷CertEnrE-JWeb服务扩展troloil」certcontrol_JCertEnroil।certcarc.asp(certcert.gif(certckpn.aspcertcrl.crl、certdat.inc!certfnsh.aspIcertlynx.asp、certnew.cer,certnew.p7b、certrmpn.asp(certrqad.asp,certrqbi.asp।certrqma.asp।certrqtp.inc、certrqus.asp、certrqxt.asp1certrsdn.aspIcertrser.asp।certrsis.asp、certrsob.asp।certrspn.asp、certsbrt.inc।certsces.aspIcertsgcl.inc,certspc.gif-i晒宣证书颁发机构||叮Internet信息服务Cl....证书颁发机构开始》》》管理工具》》》证书颁发机构，打开如下窗口:

我们已经为服务器成功配置完公用名为AAAAA的独立根CA,Web服务器和客户端可以通过访问该服务器的HS证书申请服务申请相关证书。此时该服务器（CA）的IIS下多出以下几项:我们可以通过在浏览器中输入以下网址进行数字证书的申请:http://hostname/certsrv或http://hostip/certsrv申请界面如下：文件(£)编辑量)查看W)收藏®工具①)帮助鱼)Q后退，•回画心|/搜索收藏夹口，.0http：//11/certsrv/]Microsoft证书服务一AAAAA 主页欢迎使用此网站为您的Web浏览器，电子邮件客户端或其他程序申请一个证书。通过使用证书，您可以向通过Web通信的人确认您的身份，签署并加密邮件，并且，根据您申请的证书的类型，执行其他安全任务。您也可以使用此网站下载证书颁发机构(CA)证书，证书链，或证书吊销列表(CRL),或查看挂起的申请的状态。有关证书服务的详细信息，请参阅证书服务文档.选择一个任务：申请一个证书查看挂起的证书申请的状的下载一个CA证书，证书链或CRL — 二J完毕 一厂厂厂厂厂|。可信站点二、客户端安装证书1.申请数字证书在IE地址栏中输入证书服务系统的地址，进入服务主页:文件鱼)编辑堡)查看9收藏®工具a)帮助比)搜索收藏夹夕-.n地址(D)面地址(D)面168.1.111/certsrv/到链接》主页Microsoft证书服务--AAAAA主页欢迎使用此网站为您的Web浏览器，电子邮件客户端或其他程序申请一个证书。通过使用证书，您可以向通过Web通信的人确认您的身份，签署并加密邮件，并且，根据您申请的证书的类型，执行其他安全任务。您也可以使用此网站下载证书颁发机构(CA)证书，证书链，或证书吊销列表(CRL),或查看挂起的申请的状态。有关证书服务的详细信息、，请参阅证书服务文档.选择一个任务：［申请一次证书查看挂起的证书申请的状态一完毕下载一个CA证书，证书链或CRL一完毕可信站点如果证书用作客户端身份认证，则可点击'Web浏览器证书'或'高级证书申请'，一般用户申请'Web浏览器证书'即可，'高级证书申请'里有更多选项,也就有很多专业术语，高级用户也可点击进入进行申请。点击'申请一个证书'进入申请页面:点击'申请一个证书'进入申请页面:这里我们以点击申请'Web浏览器证书'为例：申请'Web浏览器证书'，'姓名'是必填项，其他项目可不填，但由于CA服务器的管理员是根据申请人的详细信息决定是否颁发的，所以请尽量多填，并且填写真实信息，因为CA管理员会验证申请人的真实信息，然后进行颁发。需注意的一点是，‘国家（地区）'需用国际代码填写，CN代表中国。如果想查看更多选项，请点击'更多选项'：

在'更多选项'里，默认的CSP为MicrosoftEnhancedCryptographicProvidervl.0,选择其他CSP不会对认证产生影响。默认情况下'启用强私钥保护’并没有勾选上，建议将它勾选上，点击提交后就会让申请人设置证书的安全级别，如果不将安全级别设置为高级并用口令进行保护，则只要机器上装有该证书，任何人都可以用它作为认证，所以建议将证书设置为高级安全级别，用口令进行保护。以下将作相应操作，点击'提交'：

单击'是'：单击'设置安全级别'：将安全级别设置为‘高'，单击'下一步'后会弹出口令设置窗口:

输入口令，对证书进行加密，并记住密码，因为在以后调用该证书的时候，浏览器会弹出输入密码的窗口。单击'完成'：单击'确定'，浏览器页面跳向如下:文件9端辑@）查看9收藏⑥工具Q）帮助QJ） /后退，）•回囹心|收藏夹0 ▼&寻 地址也）htt0：//192.168.1.lll/certsrv/certfnsh.asp 三| 转到链接Microsoft证书服务一AAAAA 主页证书挂起您的证书申请己经收到。但是，您必须等待管理员颁发您申请的证书。您的申请Id为2o请在一天或两天内返回此网站以检索您的证书。注意：您必须用此Web浏览器在10天内返回以检索您的证书,d⑥粉 厂厂厂厂厂而种点 ,到这一步，申请人已经向CA服务器发送证书信息，并等待CA管理员对其进行核对，然后决定是否要颁发，如果CA管理员核对信息后决定颁发此证书，则申请人在其颁发之后再次访问该系统：^■icrosoft证书服务-licrosoftInternetExplorer文件任）编辑但）查看9收藏&）工具Q）帮助国）。后退，▼回圉；搜索收藏夹上，.昌,ttp://11/certsrv/三］,ttp://11/certsrv/三］Q转到链接》Microsoft证书服务一AAAAA ■页欢迎使用此网站为您的Web浏览器，电子邮件客户端或其他程序申请一个证书。通过使用证书，您可以向通过Web通信的人确认您的身份，签署并加密邮件，并且，根据您申请的证书的类型，执行其他安全任务。您也可以使用此网站下载证书颁发机构（CA）证书，证书链，或证书吊销列表（CRL）,或查看挂起的申请的状态。有关证书服务的详细信息，请参阅证书服务文档.选择一个任务:申请一个证书查看挂起的证书申请的状态］下载一个CA证书，证书链或CRL . . . .'I-1-1-1-1-[©可信破■点击'查看挂起的证书申请状态'：该页面证明CA管理员已经颁发了申请人的证书，点击进入证书安装页面：（说明：管理员需在“证书颁发机构”中颁发该证书。具体参考下一步。）点击'安装此证书'：潜在的加本冲突会安装您不信任的证书，这可能会允许您不信任的程序在此计算机上运行并获取对您的数据的访问.此网站正在将一个或多个证书添加到此计算机上.允许不信任的网站更新您的证书有安全风险.此网站可能会安装您不信任的证书，这可能会允许您不信任的程序在此计算机上运行并获取对您的数据的访问.您想让此程序现在添加证书吗？如果您信任此网站，话单击”是”.否则，话单击“否”.您应该已经信任CA机构，所以请单击'是'：您已经成功安装数字证书。如果要找回您刚才安装的数字证书，请单击浏览器上的：工具》》》Internet选项》》》内容》》》证书，弹出如下窗口：

此时您已经发现，在证书个人存储区内已经安装了您刚刚申请并成功安装的证书。这就是您的数字证书了。2.CA证书颁发开始》》》管理工具》》》证书颁发机构:置证书破发机构文件也）操作⑥查看9帮助量）3■»|15函哈叟国一请IDI二进制申请I申话状态码|申请处理消息I申请提交日;色证书颁发机构性地）白-韵AAAAA_］吊销的证书□颁发的证书曰挂起的申请□失败的申请更方 二二二施五:二.・“掇作成坛"二……在提交时接受 2068-8-1911 I 2J在'挂起的申请'里已经存在申请挂起等待颁发的证书（如图ID=2）右键点击挂起的证书》》》所有任务》》》颁发：刚才的挂起证书已经存入'颁发的证书'存储区。此时，申请人若在登陆证书申请系统，并查看挂起，就会获取相应的证书。3.打开证书颁发机构查看:三、在WEB服务器端配置1.生成证书申请:打开WEB服务器站点属性:B管默”网站13JCertSrvB管默”网站13JCertSrv帮助|确定|女”网站星性取消|r9文件也）操作Q）查看9 窗口型）帮助也）回的［x囱日豆豆令Internet信息服务日七，VPC建地计篁机）国一J应用程序池日一J网站S.CertControlS•CertEnroll®一JWeb服务扩展、certsgcl.incicertspc.gif点击“安全通信“中的“服务器证书”安装证书:选择"新建证书":r文件也）操作®查看9窗聪0帮助出）.I回国x囱。，蚓区L^2_L_^Internet信息服务_默”网站屋性XVPC体地计篁中HS证书向导国―J应用程序池臼-I网站臼他默认网至0JCerl0.Cer1由.Ceri由一JWeb服务扩服务器证书以下是为网站分配证书的方法.选择此网站使用的方法:‘新建证书©•:r分配现有证书。）.C从密钥管理器备份文件导入证书电）.「从.pfx文件导入证书⑥）.C将远程服务器站点的证书复制或移动到此站点QL）.＜上一步⑤）|下一步『）＞|＜上一步⑤）|下一步『）＞|取消■足I坡帚［也用心）।常期]certsgcl.inc一।certspc.gif*＞文件也）操作®查看9窗口⑥帮助出）片.I包画|X甯町堡区Internet信息服务_默”网站屋性VPC体地计篁中IIS证书向导E,应用程序池日一J网站Q■默认网iSJCer＜S.Cer＜S.Cer＜®一JWeb服务扩延迟或立即请求可以准备证书请求以备稍后发送，也可以立即发送.要准备证书请求以备稍后发送，或是立即将其发送到联机证书颁发机构?"现在准备证书话求;但稍后发送更£r立即将证书请求发送到联机证书做发机构⑤＜上一步⑤）|下一步可）＞取消I确定—即消一]certsgcl.inc

、certspc.gif文件也）操作®查看9窗口⑥帮助也）.|回国X囱/蚓凰I号bWInternet信息服务_.|回国X囱/蚓凰I号bWInternet信息服务_默”网站屋性XVPC体地计篁中IIS证书向导E,应用程序池日一J网站Q■默认网iSJCer<S.Cer<S.Cer<®一JWeb服务扩名赛和安全性设置新证书必须具有名称和特定的位长.输入新证书的名称.此名称应易于引用和记忆.名称也）:密钥的位长决定了证书的加密程度.位长越长，安全性越高.然而，位长过长将使性能降低,位长量）：［1024位长量）：［1024三］r选择证书的加密服务提供程序esp）也）<上一步心）|下一步Q）>|取消|■定|职招■定|职招|应用®|称助fg文件也）操作®查看9窗口型）帮助理）Internet默”网站屋性VPC体地计篁中IIS证书向导E一J应用程序池Internet默”网站屋性VPC体地计篁中IIS证书向导E一J应用程序池臼-I网站臼他默认网至0JCerl0.Cer1由.Ceri由一JWeb服务扩单位信息证书必须包含您单位的相关信息，以便与其他单位的证书区分开.选择或输入您的单位和部门名称.通常是指您的合法单位名称及部门名称.如需详细信息，谙参阅证书颁发机构的网站.单位©）：[BENET V]部门@）：|APTECH| V|＜上一步⑤）|下一步「）＞|＜上一步⑤）|下一步「）＞|取消■定|职招|应用®|称助、certsgcl.inc、certspc.gif

站点公用名输国―J应用程序池臼-I网站臼他默认网至站点公用名输国―J应用程序池臼-I网站臼他默认网至0JCerl0.Cer1由.Ceri由一JWeb服务扩站点公用名称是其完全合格的域名.输入站点的公用名称.如果服务器位于Internet上，应使用有效的DBS名.如果服务器位于Intranet上，可以使用计苴机的NetBIOS名.如果公用名称发生变化，则需要交取新证书.公用名称(£)：:上一步下一步■)>|取消|■定|峨招|应用⑹| 相助―|।certsgcl.inc।certspc.giffg文件也）操作®查看9窗口型）帮助理）.I回国x囱皿蚓［回ULL上Internet信息服务_.I回国x囱皿蚓［回ULL上Internet信息服务_默”网站屋性VPC体地计篁中HS证书向导E,应用程序池日一J网站臼他默认网至0JCerl0.Cer1由.Ceri由一JWeb服务扩地理信息证书颁发机构要求下列地理信息.X国家鳍区）（C）:|CN（中国）省/自治区（S）：|BEIJING▼1市县&）:|beijihg|二1省/自治区和市县必须是完整的官方名称，且不能包含缩写.＜上一步⑤）|下一步可）＞确定帮助确定\certsgcl.inc

一।certspc.giffg文件也）操作®查看9窗口型）帮助理）.I回国x囱皿蚓［回ULL上Internet信息服务_默”网站屋性VPC体地计篁中ns证书向导E,应用程序池日一J网站Q■默认网iSJCer<S.Cer<S.Cer<®一JWeb服务扩证书请求文件名以指定的文件名将证书请求保存为文本文件.X输入证书请求的文件名.文件名9：4txt|浏览⑥...<上一步⑤）|下一步可）>取消I确定—即消一\certsgcl.inc一।certspc.gif文件也）操作Q）查看9窗口⑥赢也）2.提交证书申请：使用IE浏览器打开本地WEB站点进入证书申请页面,如下:选择申请证书^^licrosoft证书展务^^licrosoft证书展务-Hicros«ftInternetExplorer文件①)编辑⑥查看⑦收藏⑥工具①帮助⑥ |新后退「 -”：工；,搜索个_收察夹」年媒体7 •一1 地址也)|剧“tp：〃阳.lesai/c-w^L- -一 ’10转到链接»<zorosoft证书服务一VEBCA 主贯欢迎使用此网站为您的Web浏览器，电子邮件客户端或其他程序申请一个证书。通过使用证书，您可以向通过Web通信的人确认您的身份，签署并加密邮件，并且，根据您申请的证书的类型，执行其他安全任务。您也可以使用此网站下载证书颁发机构(CA)证书，证书链，或证书吊销列表(CRL),或查看挂起的申请的状态。有关证书服务的详细信息，请参阅证书服务文档.选择一个任务：申请一个证书查看挂起的证书申请的状态下载一个CA证书，证书链或CRLgrs* 一厂厂厂叵二一.…： /d开始|❷④ 白证书颁发机构 |L，Intern"信息服务(1一||mIhcr"。"证书服务一" 士小部1151选择"高级证书申请":文件电）编辑⑥查看W）收藏®诗工具复）帮助理）G后退，1•回圉心I户搜索收藏夹*媒体的I3,；“国地址9）圃http：///certsrv/certrqus.aspMicrosoft证书服务一WEBCA申请一个证书选择一个证书类型：Web浏览器证书电子邮件保护证书或者，提交一个高级证书申请。》开始|g@ 堂］证书颁发机构 |*9Internet信息服务。…Jl¥Microsoft证书服务...在提交一个证书申请中选择后者”BASE64编码的证书中请”:文件9编辑⑥查看9收藏工具(!)/助&)G后退，J•昼面；:|Q搜索收藏夹方媒体£j，地址也)画http：///certsrv/certrqad.aspMicrosoft证书服务一WEBCA高级证书申请CA的策略决定您可以申请的证书类别。单击下列选项之一来：创建并向此CA提交一个申请。使用base64编码的CHC或PKCS#10文件提交一个证书申请，或使用base64编科的P1续订证书申请。€—一0—-lJ开始|❷a堂］证书颁发机构 |。Internet信息服务CL..|序)Microsoft证书服务...此时弹出文本框让输入内容:

文件9编辑②查看9收藏区公工具建）帮助QPq后退,八回;搜索收藏夹的'媒体e’.□地址9)画http：///certsrv/certrqxt.asp@@ 宣证书颁发机构Internet信息服务T..Microsoft证书服务.•.找到之前保存的certreq.txt,打开并把其内容全部复制到文本框中，然后提交:

3X文件也）编辑£）格式⑥）查看W）3X文件也）编辑£）格式⑥）查看W）帮助国）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 EHDNEWCERTIFICATEREQUEST 类型：文本文档修改日期：2007-8•丽11:31 1.19KB 工19KB 一匚1我I0证书颁发机构|Internet信...|Microsoft... —C：\ |}certreq.txt.文件电）编辑⑥查看W）展藏®工具复）帮助理）q后退，j•叵।圉；：।a搜索收藏夹方媒体£j，.□地址9）画tittp：///certsrv/certrqxt.aspJ开始|0⑷ 宣证书颁发机构 ']Internet信息服...11Microsoft证书服...3C：\完成以上步骤后证书被挂起:文件国）编辑⑥查看W）收藏®工具复）帮助理）q后退，j•叵।圉；：।a搜索收藏夹方媒体£j，.□地址9）圃http："192.168.9.l/cert|^v7cert£nsh.aspMicrosoft证书服务一WEBCA证书挂起您的证书申请己经收到。但是，您必须等待管理员颁发您申请的证书。您的申请Id为2o请在一天或两天内返回此网站以检索您的证书。注意：您必须用此Web浏览器在10天内返回以检索您的证书aW 厂厂厂席I，J开始|描画喧］证书颁发机构 ,且Internet信息服...11和Microsoft证书服...JC：\3.颁发证书:打开证书颁发机构工具，查看"挂器的申请"，可以看到有刚才申请后被挂起的证书:文件QF）操作Q）查看W）帮助但）8■|囱画|画隰|图然后把挂起的证书选择"颁发":文件QF）操作Q）查看9帮助但）塔g.包由画用|阕之后在“颁发的证书"中可以杳看到该证书以被颁发,表示证书此时已经颁发了:

4.在使用WEB形式访问证书申请页面，并选择下载证书:选择编码类型为BASE64再下载证书，并保存在桌面上certnew.cer的文件:5.在WEB服务器上安装证书:再次打开us服务器找到站点属性:，再次单击"服务器证书"，之后选择处理被挂起的请求:输入包含CA响应的文件的路径和文件名（该文件刚才已经下载到桌面上）文件也）操作®查看9窗口⑥格助国）选择SSL端口号:我的文档我的电脑网上邻居默■网站屋性IIS证书向导SSL送口为此网站指定SSL端口.口，证书颁此网站应该使用的SSL端口（L）:回收站443InternetExplorerInternet信息跟务a...取消I＜上一步⑤）下一步也）＞certnewcer我的文档我的电脑网上邻居默■网站屋性IIS证书向导证书,要已选择从响应文件安装证书.回收站InternetExplorerInternet信息跟务a...certnewcer口，