基于Tornado的HTTPS页面搭建笔记
最近需要使用https搭建一个api 故简单记录一下搭建过程
前言
有关https的原理 请参考
图解HTTPS
环境搭建
一、 安装OpenSSL
1. OpenSSL 介绍
OpenSSL 是一个强大的安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。
SSL是Secure Sockets Layer（安全套接层协议）的缩写，可以在Internet上提供秘密性传输。SSL能使用户/服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，还可选择对用户进行认证。SSL协议要求建立在可靠的传输层协议(TCP)之上。
2. OpenSSL 安装
安装Apache
$ sudo apt-get install apache2
安装openssl
$ sudo apt-get install openssl
安装openssl开发库
$ sudo apt-get install libssl-dev
编辑器使用 bless 十六进制编辑器,需预先安装
$ sudo apt-get install bless
3. 获取 openssl.cnf
去这个目录下 /usr/lib/ssl/openssl.cnf 拷贝出 openssl.cnf
这是 openssl 的配置文件，下面生成证书及签名的时候 我们将用到这个文件
可能不同的os 此文件的位置不同
openssl.cnf简单释义
vi /usr/lib/ssl/openssl.cnf
127 [ req_distinguished_name ]
128 countryName = Country Name (2 letter code)##国家名，2个字母代码简称
129 countryName_default = CN ##中国就是CN
130 countryName_min = 2
131 countryName_max = 2
132
133 stateOrProvinceName = State or Province Name (full name)##州或省的名字
134 stateOrProvinceName_default = beijing
135
136 localityName = Locality Name (eg, city) ##本地城市名
137 localityName_default =beijing
138 0.organizationName = Organization Name (eg, company) ##组织(公司)名
139 0.organizationName_default = beijing www company
140
145 organizationalUnitName =Organizational Unit Name(eg,section)##组织单元(部门)名
146 organizationalUnitName_default = www
147
148 commonName = Common Name(e.g.server FQDN or YOUR name)##服务器域名
149 commonName = www.baidu.com
150 commonName_max = 64
151
152 #emailAddress = Email Address ##Email地址
153 emailAddress = admin@baidu.com
154 emailAddress_max = 64
155
156 # SET-ex3 = SET extension number 3
157
158 [ req_attributes ]
159 #challengePassword = A challenge password ##修改密码
160 challengePassword =
161
163 challengePassword_min = 4
164 challengePassword_max = 20
二、 安装Tornado
Tornado是目前python一个非常留下的非阻塞式服务器框架
若想了解更多，请参考【官方文档(中文版)】
sudo pip install tornado
Tornado 本身支持 SSL ，所以我们这里需要做的主要是生成可用的证书。
三、生成证书
生成SSL证书
首先要生成服务器端的私钥(key文件)
$ openssl genrsa -des3 -out server.key 1024
运行时会提示输入密码,此密码用于加密key文件(参数des3便是指加密算法,当然也可以选用其他你认为安全的算法.),以后每当需读取此文件(通过openssl提供的命令或API)都需输入口令.如果觉得不方便,也可以去除这个口令,但一定要采取其他的保护措施!
去除key文件口令的命令
$ openssl rsa -in server.key -out server.key
生成CSR文件
将之前的openssl.cnf 拷贝到所需目录中
$ openssl req -new -key server.key -out server.csr -config openssl.cnf
生成Certificate Signing Request（CSR）,生成的csr文件交给CA签名后形成服务端自己的证书.屏幕上将有提示,依照其指示一步一步输入要求的个人信息即可.
对客户端也作同样的命令生成key及csr文件:
$ openssl genrsa -des3 -out client.key 1024$ openssl req -new -key client.key -out client.csr -config openssl.cnf
CSR文件必须有CA的签名才可形成证书.可将此文件发送到verisign等地方由它验证,要交一大笔钱,何不自己做CA呢.
在bin目录下新建目录 demoCA、demoCA/certs、demoCA/certs、demoCA/newcerts
在demoCA建立一个空文件 index.txt
在demoCA建立一个文本文件 serial, 没有扩展名，内容是一个合法的16进制数字，例如 0000
openssl req -new -x509 -keyout ca.key -out ca.crt -config openssl.cnf
用生成的CA的证书为刚才生成的server.csr,client.csr文件签名:
$ openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config openssl.cnf$ openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key -config openssl.cnf
ok,到了这里应该已经创建了可以使用的证书了，如果在为文件签名的时候有错误，那多半是信息不正确，这时可以去清空一下 index.txt 里的信息，然后重新执行第5步里失败的操作。
在Tornado网站中开启HTTPS
接着可以测试一下 tornado 使用 ssl 的证书了。
写个测试项目，其实也就一个py文件，像：
import os.path
from tornado import httpserver
from tornado import ioloop
from tornado import web
class TestHandler(web.RequestHandler):
def get(self):
self.write("Hello, World!")
def main():
settings = {
"static_path": os.path.join(os.path.dirname(__file__), "static"),
}
application = web.Application([
(r"/", TestHandler),
], **settings)
server = httpserver.HTTPServer(application, ssl_options={
"certfile": os.path.join(os.path.abspath("."), "server.crt"),
"keyfile": os.path.join(os.path.abspath("."), "server.key"),
})
server.listen(8000)
ioloop.IOLoop.instance().start()
if __name__ == "__main__":
main()
然后把相关的证书扔到 py 文件的目录下。改成相应的名字。然后开启服务。
接着用使用 curl
curl -k https://localhost:8000
看到请求返回的 Hello, World! 了么？恭喜你～你成功了～
