Wie konfiguriere ich TLS-Verbindungen mithilfe selbstsignierter Zertifikate richtig?

Einrichten von TLS-Verbindungen mit selbstsignierten Zertifikaten

Beim Herstellen von TLS-Verbindungen mit selbstsignierten Zertifikaten ist es wichtig, den Client richtig zu konfigurieren und serverseitig, um zertifikatbezogene Fehler zu vermeiden.

Client Überlegungen

Der Clientcode sollte das selbstsignierte Serverzertifikat zu seinem CA-Pool hinzufügen. Dieser Pool enthält Zertifikate, denen der Client vertraut. Durch das Hinzufügen des Serverzertifikats zum Pool vertraut der Client ihm effektiv.

Dies kann mithilfe der tls.Config-Struktur erreicht werden, wie im bereitgestellten Codeausschnitt gezeigt:

CA_Pool := x509.NewCertPool()
serverCert, err := ioutil.ReadFile("./cert.pem")
if err != nil {
    log.Fatal("Could not load server certificate!")
}
CA_Pool.AppendCertsFromPEM(severCert)

config := tls.Config{RootCAs: CA_Pool}

Überlegungen zum Server

Für selbstsignierte Zertifikate muss dem Server dasselbe Zertifikat hinzugefügt werden wie seiner eigenen Stammzertifizierungsstelle. Dadurch wird sichergestellt, dass der Server berechtigt ist, Zertifikate für sich selbst auszustellen.

Um dies zu erreichen, verwenden Sie den folgenden Codeausschnitt:

cert, err := tls.LoadX509KeyPair("./cert.pem", "./key.pem")
config := tls.Config{Certificates: []tls.Certificate{cert}}

Häufiger Fehler

Ein häufiger Fehler beim Generieren selbstsignierter Zertifikate besteht darin, das IsCA-Flag nicht zu setzen. Dieses Flag zeigt an, dass das Zertifikat als CA verwendet werden kann. Ohne dieses Flag kann das Zertifikat möglicherweise seine eigene Signatur nicht überprüfen.

Der korrekte Code sollte Folgendes enthalten:

x509.CreateCertificate(&opts, &opts, &rootTemplate, rootKey)

Durch Setzen des IsCA-Flags wird das selbstsignierte Zertifikat ordnungsgemäß generiert und der Client kann die Zertifikatskette des Servers erfolgreich überprüfen.

Das obige ist der detaillierte Inhalt vonWie konfiguriere ich TLS-Verbindungen mithilfe selbstsignierter Zertifikate richtig?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!