Go語言實現HTTPS加密協議

Go語言實現HTTPS加密協議

Go語言

Go語言是谷歌推出的一種全新的程式語言，可以在不損失應用程式效能的情況下降低程式碼的複雜性。Go語言專門針對多處理器系統應用程式的程式設計進行了最佳化，使用Go編譯的程式可以媲美C或C++程式碼的速度，而且更加安全、支援並行程式。

HTTPS

HTTPS是在HTTP下加入SSL(Secure Sockets Layer 安全套接層)層，HTTPS的安全基礎是SSL，因此加密的詳細內容就需要SSL。

SSL,及其繼任者傳輸層安全（Transport Layer Security，TLS）是為網路通訊提供安全及資料完整性的一種安全協議。TLS與SSL在傳輸層對網路連線進行加密。

客戶端CA對其服務端證書進行校驗過程如下：

一：對其證書不進行校驗

1，簡易的https web 伺服器

server.go:

package main

import (

“fmt”

“net/http”

)

/*

只要實現了 ServerHTTP方法 便可構建web伺服器

*/

func handler(w http.ResponseWriter, r *http.Request) {

fmt.Println(“Hi, This is an example of https service in golang!”)

}

func main() {

http.HandleFunc(“/”, handler) //設定路由及相對應的處理函式 且實現了ServerHTTP方法

http.ListenAndServeTLS(“192.168.20.162:8001”, “server.crt”,

“server.key”, nil) //server.crt:服務端證書 包含服務端公鑰資訊 server.key：服務端私鑰

/*

生成私鑰：

 openssl genrsa -out server.key 2048

生成證書資訊：

openssl req -new -x509 -key server.key -out server.crt -days 365

    */

}

client.go:

package main

import (

    “crypto/tls”

    “fmt”

    “io/ioutil”

    “net/http”

)

func main() {

    tr := &http.Transport{

        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},

    }

    /*

client與server進行通訊時 client也要對server返回數字證書進行校驗

因為server自簽證書是無效的 為了client與server正常通訊

透過設定客戶端跳過證書校驗

TLSClientConfig:{&tls.Config{InsecureSkipVerify: true}

        true:跳過證書校驗

*/

client := &http.Client{Transport: tr}

resp, err := client.Get(“https://192.168.20.162:8002”)

if err != nil {

fmt.Println(err)

return

}

defer resp.Body.Close()

body, err := ioutil.ReadAll(resp.Body)

fmt.Println(string(body))

}

1-1，執行 go run server.go

1-2，瀏覽器訪問 https://192.168.20.162:8001 如下：

1-3，繼續點選 新增例外方可繼續進行訪問

出現這種原因:

瀏覽器利用自身的CA對伺服器返回的 數字證書進行合法性校驗時發現 該數字證書是自簽證書，對其該證書不信任及認定為無效證書，因而導致無法繼續訪問

1-4, 執行 go run client.go 便可正常訪問伺服器（因為此時客戶端跳過了證書校驗）

二：對其服務端證書進行校驗

1，瀏覽器本身內建了一些有權威的CA（如 、 、 ）

2，CA證書自身也包含自己的公鑰資訊，及一些證書的相關資訊如該證書是由哪個CA（證書授權機構）頒發的，來自簽發機構的簽名等

3，客戶端對來自服務端證書的校驗就是使用CA證書 校驗對來自服務端證書的簽名是否是 這個CA籤的

3-1 CA校驗服務端數字證書籤名過程：

1，客戶端利用自身CA證書中的簽名演算法對 服務端證書內容部分（C部分）進行相對應的雜湊運算得到雜湊值（也就是對內容利用自身的雜湊演算法進行簽名）

2,客戶端利用得到的雜湊值與服務端數字證書的證書籤名 進行比較

若相同則服務端證書 便是由該CA頒發的 否則不是該CA頒發的

4，程式碼如下

首先準備好服務端的私鑰及證書 客戶端的CA證書

4-1，使用openssl命令生成相關私鑰及證書

1，生成 CA 私鑰

openssl genrsa -out ca.key 2048

2，生成CA證書

openssl req -x509 -new -nodes -key ca.key -subj “/CN=ca_host” -days 5000 -out ca.crt

CN=ca_host”：設定該證書 由那臺伺服器生成（若只進行客戶端對服務端證書校驗 此處可以隨便填 不影響）

3,生成服務端私鑰

openssl genrsa -out server.key 2048

4，生成服務端證書認證請求

openssl req -new -key server.key -subj “/CN=gc_host” -out server.csr

CN=gc_host：此處必須按真實填寫 服務端在哪臺伺服器裝置起著就必須填寫哪臺裝置的主機名

不同的客戶端裝置在呼叫時 需在自身裝置 /etc/hosts 配置伺服器裝置ip及主機名

因為客戶端在請求url中只識別服務端證書的 CN

證書認證請求並不是證書，需要CA的私鑰進行簽名之後方是證書

5,生成服務端證書

openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 5000

 

server.go:

package main

import (

“fmt”

“net/http”

)

func handler(w http.ResponseWriter, r *http.Request) {

fmt.Fprintf(w,

“Hi, This is an example of http service in golang!”)

}

 

func main() {

http.HandleFunc(“/”, handler)

http.ListenAndServeTLS(“192.168.20.162:8003”,

“server.crt”, “server.key”, nil)

}

 

client.go:

package main

import (

“crypto/tls”

“crypto/x509”

“fmt”

“io/ioutil”

“net/http”

)

/*

客戶端若要對服務端的數字證書進行校驗 需傳送請求之前 載入CA證書

*/

func main() {

pool := x509.NewCertPool()

caCertPath := “ca.crt”

 

caCrt, err := ioutil.ReadFile(caCertPath)

if err != nil {

fmt.Println(“ReadFile err:”, err)

return

}

pool.AppendCertsFromPEM(caCrt) //客戶端新增ca證書

 

tr := &http.Transport{

TLSClientConfig: &tls.Config{RootCAs: pool}, //客戶端載入ca證書

DisableCompression: true,

}

client := &http.Client{Transport: tr}

resp, err := client.Get(“”)

if err != nil {

fmt.Println(“Get error:”, err)

return

}

defer resp.Body.Close()

body, err := ioutil.ReadAll(resp.Body)

fmt.Println(string(body))

}