Cách cài đặt chứng chỉ SSL từ tổ chức phát hành chứng chỉ thương mại
Hướng dẫn này sẽ chỉ cho bạn cách lấy và cài đặt certificate SSL từ Tổ chức phát hành certificate thương mại (CA) tin cậy . Chứng chỉ SSL cho phép web server mã hóa lưu lượng truy cập của họ và cung cấp cơ chế xác thực danh tính server cho khách truy cập của họ. Lợi ích chính của việc sử dụng certificate SSL đã mua từ một CA tin cậy , thay vì certificate tự ký, là khách truy cập trang web sẽ không nhận được cảnh báo đáng sợ về việc không thể xác minh danh tính trang web .Hướng dẫn này sẽ lấy certificate SSL từ các tổ chức phát hành certificate tin cậy sau:
- Cố lên bố
- RapidSSL (qua Namecheap)
Bạn cũng có thể sử dụng bất kỳ CA nào khác mà bạn chọn.
Sau khi bạn đã có được certificate SSL của bạn , ta sẽ hướng dẫn bạn cách cài đặt nó trên các web server HTTP của Nginx và Apache.
Yêu cầu
Có một số yêu cầu mà bạn nên đảm bảo trước khi cố gắng lấy certificate SSL từ một CA thương mại. Phần này sẽ trình bày những gì bạn cần để được cấp certificate SSL từ hầu hết các CA.
Tiền bạc
Phải mua certificate SSL được cấp từ các CA thương mại. Giải pháp thay thế miễn phí tốt nhất là các certificate được cấp từ Let's Encrypt . Let's Encrypt là tổ chức phát hành certificate mới cung cấp certificate SSL / TLS miễn phí được tin cậy trong hầu hết các trình duyệt web.
Tên domain đã đăng ký
Trước khi có được certificate SSL, bạn phải sở hữu hoặc kiểm soát domain đã đăng ký mà bạn muốn sử dụng certificate đó. Nếu bạn chưa có domain đã đăng ký, bạn có thể đăng ký một domain với một trong nhiều công ty đăng ký domain hiện có (ví dụ: Namecheap, GoDaddy, v.v.).
Quyền xác thực domain
Đối với quy trình xác thực domain cơ bản, bạn phải có quyền truy cập vào một trong các địa chỉ email trên bản ghi WHOIS domain của bạn hoặc địa chỉ email "loại quản trị" tại chính domain đó. Tổ chức cấp certificate cấp certificate SSL thường sẽ xác thực quyền kiểm soát domain bằng cách gửi email xác thực đến một trong các địa chỉ trên bản ghi WHOIS của domain hoặc đến địa chỉ email quản trị chung tại chính domain đó. Một số CA cung cấp các phương pháp xác thực domain thay thế, chẳng hạn như xác thực dựa trên DNS hoặc HTTP, nằm ngoài phạm vi của hướng dẫn này.
Nếu bạn muốn được cấp certificate SSL xác thực tổ chức (OV) hoặc SSL xác thực mở rộng (EV), bạn cần cung cấp thủ tục giấy tờ cho CA để cài đặt danh tính hợp lệ của chủ sở hữu trang web, trong số những thứ khác.
Web server
Ngoài những điểm đã đề cập trước đó, bạn cần một web server để cài đặt certificate SSL. Đây là server có thể truy cập được tại domain mà certificate SSL sẽ được cấp. Thông thường, đây sẽ là server Apache HTTP, Nginx, HAProxy hoặc Varnish. Nếu bạn cần trợ giúp cài đặt web server có thể truy cập được qua domain đã đăng ký của bạn , hãy làm theo các bước sau:
- Cài đặt một web server mà bạn chọn. Ví dụ: server LEMP (Nginx) hoặc LAMP (Apache) – hãy chắc chắn cấu hình phần mềm web server để sử dụng domain đã đăng ký của bạn
- Cấu hình domain của bạn để sử dụng server định danh thích hợp.Nếu web server của bạn được lưu trữ trên DigitalOcean, hướng dẫn này có thể giúp bạn cài đặt : Cách trỏ đến server tên của DigitalOcean từ các công ty đăng ký domain chung
- Thêm bản ghi DNS cho web server của bạn vào server định danh của bạn. Nếu bạn đang sử dụng server định danh của DigitalOcean, hãy làm theo hướng dẫn này để tìm hiểu cách thêm các bản ghi thích hợp: Cách cài đặt tên server với DigitalOcean
Chọn Tổ chức phát hành certificate của bạn
Nếu bạn không chắc mình sẽ sử dụng Tổ chức phát hành certificate nào, có một số yếu tố quan trọng cần xem xét. Ở mức độ tổng quan, điều quan trọng nhất là CA bạn chọn cung cấp các tính năng bạn muốn với mức giá mà bạn thấy phù hợp . Phần này sẽ tập trung nhiều hơn vào các tính năng mà hầu hết người mua certificate SSL nên biết, thay vì giá cả.
Thành viên chương trình certificate root
Điểm quan trọng nhất là CA mà bạn chọn là thành viên của chương trình certificate root của các hệ điều hành và trình duyệt web được sử dụng phổ biến nhất, tức là nó là CA “ tin cậy ” và certificate root của nó được các trình duyệt phổ biến và các trình duyệt khác tin cậy phần mềm. Nếu certificate SSL của trang web được ký bởi một "CA tin cậy , thì danh tính của nó được coi là hợp lệ bởi phần mềm tin cậy CA – điều này trái ngược với certificate SSL tự ký, certificate này cũng cung cấp khả năng mã hóa nhưng đi kèm với cảnh báo xác thực danh tính điều đó gây khó chịu cho hầu hết khách truy cập trang web.
Hầu hết các CA thương mại mà bạn gặp phải sẽ là thành viên của các chương trình CA root phổ biến và sẽ nói rằng chúng tương thích với 99% trình duyệt, nhưng bạn không cần phải kiểm tra trước khi mua certificate . Ví dụ: Apple cung cấp danh sách certificate root SSL tin cậy cho iOS8 tại đây .
Các loại certificate
Đảm bảo rằng bạn chọn một CA cung cấp loại certificate mà bạn yêu cầu. Nhiều CA cung cấp các biến thể của các loại certificate này dưới nhiều tên và cấu trúc định giá khác nhau, thường gây nhầm lẫn. Dưới đây là mô tả ngắn về từng loại:
- Tên domain đơn : Được sử dụng cho một domain , ví dụ:
example.com. Lưu ý các domain phụ bổ sung, chẳng hạn nhưwww.example.com, không được bao gồm - Ký tự đại diện : Được sử dụng cho một domain và bất kỳ domain phụ nào của domain đó. Ví dụ: certificate ký tự đại diện cho
*.example.comcũng được dùng chowww.example.comvàstore.example.com - Nhiều domain : Được biết đến như một certificate SAN hoặc UC, những certificate này được dùng với nhiều domain và domain phụ được thêm vào trường Tên Thay thế Chủ đề. Ví dụ: một certificate đa domain được dùng với
example.com,www.example.comvàexample.net
Ngoài các loại certificate nói trên, có các cấp độ xác thực khác nhau mà CA cung cấp. Ta sẽ đề cập đến chúng ở đây:
- Xác thực domain (DV): Chứng chỉ DV được cấp sau khi CA xác thực rằng người yêu cầu sở hữu hoặc kiểm soát domain được đề cập
- Xác thực tổ chức (OV) : Chứng chỉ OV chỉ có thể được cấp sau khi CA phát hành xác thực danh tính hợp lệ của người yêu cầu
- Xác thực mở rộng (EV) : Chứng chỉ EV chỉ có thể được cấp sau khi CA phát hành xác thực danh tính pháp lý, trong số những thứ khác, của người yêu cầu, theo một bộ nguyên tắc nghiêm ngặt.Mục đích của loại certificate này là cung cấp thêm sự đảm bảo về tính hợp lệ của danh tính tổ chức của bạn đối với khách truy cập trang web . Chứng chỉ EV có thể là một hoặc nhiều domain , nhưng không phải là ký tự đại diện
Hướng dẫn này sẽ chỉ cho bạn cách lấy certificate SSL một domain hoặc ký tự đại diện từ GoDaddy và RapidSSL, nhưng việc lấy các loại certificate khác rất giống nhau.
Tính năng bổ sung
Nhiều CA cung cấp nhiều tính năng “bonus” để tạo sự khác biệt với các nhà cung cấp cấp certificate SSL còn lại. Một số tính năng này có thể giúp bạn tiết kiệm tiền, vì vậy, điều quan trọng là bạn phải cân nhắc kỹ nhu cầu của bạn so với các dịch vụ trước khi mua hàng. Ví dụ về các tính năng cần lưu ý bao gồm phát hành lại certificate miễn phí hoặc một certificate theo giá domain duy nhất hoạt động cho www. và domain cơ sở, ví dụ: www.example.com với SAN là example.com
Tạo CSR và Khóa cá nhân
Sau khi bạn đã sắp xếp tất cả các yêu cầu của bạn và bạn biết loại certificate bạn muốn nhận, đã đến lúc tạo yêu cầu ký certificate (CSR) và private key .
Nếu bạn đang lên kế hoạch sử dụng Apache HTTP hoặc Nginx làm web server của bạn , hãy sử dụng openssl để tạo private key và CSR trên web server của bạn. Trong hướng dẫn này, ta sẽ chỉ giữ tất cả các file có liên quan trong folder chính của ta nhưng hãy lưu trữ chúng ở bất kỳ vị trí an toàn nào trên server của bạn:
cd ~ Để tạo private key , được gọi là example.com.key và CSR, được gọi là example.com.csr , hãy chạy lệnh này (thay thế example.com bằng domain của bạn):
openssl req -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr Đến đây, bạn sẽ được yêu cầu về một số dòng thông tin sẽ được đưa vào certificate request của bạn. Phần quan trọng nhất là trường Tên chung phải trùng với tên mà bạn muốn sử dụng certificate của bạn – ví dụ: example.com , www.example.com hoặc (đối với certificate request ký tự đại diện) *.example.com . Nếu bạn đang có kế hoạch lấy certificate OV hoặc EV, hãy đảm bảo tất cả các trường khác phản ánh chính xác thông tin chi tiết về tổ chức hoặc doanh nghiệp của bạn.
Ví dụ:
Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:New York Locality Name (eg, city) []:New York Organization Name (eg, company) [Internet Widgits Pty Ltd]:My Company Organizational Unit Name (eg, section) []: Common Name (e.g. server FQDN or YOUR name) []:example.com Email Address []:sammy@example.com Thao tác này sẽ tạo file .key và .csr . Tệp .key là private key của bạn và cần được giữ an toàn. Tệp .csr là những gì bạn sẽ gửi đến CA để certificate request SSL của bạn.
Bạn cần copy paste CSR của bạn khi gửi certificate request tới CA của bạn. Để in nội dung của CSR của bạn, hãy sử dụng lệnh này (thay thế tên file bằng tên của bạn ):
cat example.com.csr Bây giờ ta đã sẵn sàng mua certificate từ CA. Ta sẽ hiển thị hai ví dụ, GoDaddy và RapidSSL thông qua Namecheap, nhưng hãy lấy certificate từ bất kỳ nhà cung cấp nào khác.
Ví dụ CA 1: RapidSSL qua Namecheap
Namecheap cung cấp một cách để mua certificate SSL từ nhiều CA khác nhau. Ta sẽ hướng dẫn chi tiết quá trình lấy một certificate domain từ RapidSSL, nhưng bạn có thể đi chệch hướng nếu muốn một loại certificate khác.
Lưu ý: Nếu bạn yêu cầu một certificate domain từ RapidSSL cho domain phụ www domain của bạn (ví dụ: www.example.com ), họ sẽ cấp certificate với SAN của domain cơ sở của bạn. Ví dụ: nếu certificate request của bạn là cho www.example.com , thì certificate kết quả sẽ hoạt động cho cả www.example.com và example.com .
Chọn và mua certificate
Truy cập trang certificate SSL của Namecheap: https://www.namecheap.com/security/ssl-certificates.aspx .
Tại đây, bạn có thể bắt đầu chọn cấp độ xác thực, loại certificate (“Miền được bảo mật”) hoặc CA (“Thương hiệu”).
Đối với ví dụ của ta , ta sẽ nhấp vào nút So sánh Sản phẩm trong hộp “Xác thực domain ”. Sau đó, ta sẽ tìm thấy “RapidSSL” và nhấp vào nút Thêm vào giỏ hàng .
Đến đây, bạn phải đăng ký hoặc đăng nhập vào Namecheap. Sau đó kết thúc quá trình thanh toán.
Yêu cầu certificate
Sau khi thanh toán cho certificate bạn chọn, hãy truy cập liên kết Quản lý certificate SSL , trong phần “Xin chào Tên user ”.
Tại đây, bạn sẽ thấy danh sách tất cả các certificate SSL mà bạn đã mua thông qua Namecheap. Nhấp vào liên kết Kích hoạt ngay để có certificate mà bạn muốn sử dụng.
Bây giờ chọn phần mềm của web server của bạn. Điều này sẽ xác định định dạng của certificate mà Namecheap sẽ cung cấp cho bạn. Các tùy chọn thường được chọn là “Apache + MOD SSL”, “nginx” hoặc “Tomcat”.
Dán CSR của bạn vào hộp rồi nhấp vào nút Tiếp theo .
Bây giờ, bạn sẽ ở bước “Chọn người phê duyệt” trong quy trình, bước này sẽ gửi email yêu cầu xác thực đến một địa chỉ trong bản ghi WHOIS domain của bạn hoặc đến địa chỉ loại administrator của domain mà bạn đang nhận certificate . Chọn địa chỉ mà bạn muốn gửi email xác thực.
Cung cấp "Thông tin liên hệ quản trị". Nhấp vào nút Gửi đơn đặt hàng .
Xác thực domain
Đến đây, một email sẽ được gửi đến địa chỉ "người phê duyệt". Mở email và phê duyệt certificate request .
Download certificate
Sau khi phê duyệt certificate , certificate sẽ được gửi qua email cho Người liên hệ kỹ thuật . Chứng chỉ được cấp cho domain của bạn và certificate trung gian của CA sẽ nằm ở cuối email.
Sao chép và lưu chúng vào server của bạn ở cùng vị trí mà bạn đã tạo private key và CSR của bạn . Đặt tên certificate bằng domain và phần mở rộng .crt , ví dụ: example.com.crt và đặt tên certificate intermediate.crt .
Chứng chỉ hiện đã sẵn sàng để cài đặt trên web server của bạn.
Ví dụ CA 2: GoDaddy
GoDaddy là một CA phổ biến và có tất cả các loại certificate cơ bản. Ta sẽ hướng dẫn chi tiết quá trình lấy một certificate domain duy nhất, nhưng bạn có thể đi chệch hướng nếu bạn muốn một loại certificate khác.
Chọn và mua certificate
Truy cập trang certificate SSL của GoDaddy: https://www.godaddy.com/ssl/ssl-certificates.aspx .
Cuộn xuống và nhấp vào nút Bắt đầu .
Chọn loại certificate SSL mà bạn muốn từ menu thả xuống: một domain , đa domain (UCC) hoặc ký tự đại diện.
Sau đó, chọn loại gói của bạn: domain , tổ chức hoặc xác thực mở rộng.
Sau đó chọn thời hạn (thời hạn hiệu lực).
Sau đó nhấp vào nút Thêm vào giỏ hàng .
Xem lại đơn đặt hàng hiện tại của bạn, sau đó nhấp vào nút Tiến hành thanh toán .
Hoàn tất quá trình đăng ký và thanh toán.
Yêu cầu certificate
Sau khi bạn hoàn tất đơn đặt hàng, hãy nhấp vào nút Chứng chỉ SSL * (hoặc nhấp vào Tài khoản của tôi > Quản lý certificate SSL ở góc trên cùng bên phải).
Tìm certificate SSL mà bạn vừa mua và nhấp vào nút Cài đặt . Nếu bạn chưa sử dụng GoDaddy cho certificate SSL trước đây, bạn sẽ được yêu cầu cài đặt sản phẩm “Chứng chỉ SSL” và liên kết đơn đặt hàng certificate gần đây của bạn với sản phẩm (Nhấp vào nút Cài đặt màu xanh lục và đợi vài phút trước khi làm mới trình duyệt của bạn ).
Sau khi Sản phẩm “Chứng chỉ SSL” được thêm vào account GoDaddy của bạn, bạn sẽ thấy “Chứng chỉ mới” và nút “ Chạy ”. Nhấp vào nút Chạy bên cạnh certificate mới của bạn.
Cung cấp CSR của bạn bằng cách dán nó vào hộp. Thuật toán SHA-2 sẽ được sử dụng theo mặc định.
Đánh dấu vào hộp kiểm Tôi đồng ý và nhấp vào nút Yêu cầu Chứng chỉ .
Xác thực domain
Bây giờ, bạn sẽ phải xác minh bạn có quyền kiểm soát domain và cung cấp cho GoDaddy một vài tài liệu. GoDaddy sẽ gửi email xác minh quyền sở hữu domain tới địa chỉ có trong profile WHOIS domain của bạn. Làm theo hướng dẫn trong email mà bạn được gửi cho bạn và cho phép cấp certificate .
Download certificate
Sau khi xác minh với GoDaddy rằng bạn kiểm soát domain , hãy kiểm tra email của bạn (email mà bạn đã đăng ký với GoDaddy) để tìm thông báo cho biết certificate SSL của bạn đã được cấp. Mở nó và nhấp vào liên kết download certificate (hoặc nhấp vào nút Chạy bên cạnh certificate SSL của bạn trong console GoDaddy).
Bây giờ hãy nhấp vào nút Download .
Chọn phần mềm server mà bạn đang sử dụng từ menu thả xuống Loại server – nếu bạn đang sử dụng Apache HTTP hoặc Nginx, hãy chọn “Apache” – sau đó nhấp vào nút Download file Zip .
Extract repository ZIP. Nó phải chứa hai file .crt ; certificate SSL của bạn (phải có tên ngẫu nhiên) và gói certificate trung gian của GoDaddy ( gd_bundle-g2-1.crt ). Sao chép cả hai web server của bạn. Đổi tên certificate thành domain có phần mở rộng .crt , ví dụ: example.com.crt và đổi tên gói certificate intermediate.crt .
Chứng chỉ hiện đã sẵn sàng để cài đặt trên web server của bạn.
Cài đặt certificate trên web server
Sau khi có được certificate từ CA mà bạn chọn, bạn phải cài đặt nó trên web server của bạn . Điều này liên quan đến việc thêm một vài dòng liên quan đến SSL vào cấu hình phần mềm web server của bạn.
Ta sẽ đề cập đến các cấu hình HTTP Nginx và Apache cơ bản trên Ubuntu 14.04 trong phần này.
Ta sẽ giả định những điều sau:
- Khóa cá nhân, certificate SSL và, nếu có, các certificate trung gian của CA được đặt trong folder chính tại
/home/sammy - Khóa riêng được gọi là
example.com.key - Chứng chỉ SSL được gọi là
example.com.crt - (Các) certificate trung gian CA nằm trong một file có tên là
intermediate.crt - Nếu bạn đã bật firewall , hãy đảm bảo nó cho phép cổng 443 (HTTPS)
Lưu ý: Trong môi trường thực, các file này nên được lưu trữ ở đâu đó mà chỉ user chạy quy trình chủ của web server (thường là root ) mới có thể truy cập.Khóa cá nhân phải được giữ an toàn.
Nginx
Nếu bạn muốn sử dụng certificate của bạn với Nginx trên Ubuntu 14.04, hãy làm theo phần này.
Với Nginx, nếu CA của bạn bao gồm certificate trung gian, bạn phải tạo một file certificate “chuỗi” duy nhất chứa certificate của bạn và các certificate trung gian của CA.
Thay đổi thành folder chứa private key , certificate và certificate trung gian CA của bạn (trong file intermediate.crt ). Ta sẽ giả định chúng có trong folder chính của bạn, ví dụ:
cd ~ Giả sử file certificate của bạn được gọi là example.com.crt , hãy sử dụng lệnh này để tạo file kết hợp có tên example.com.chained.crt (thay thế phần được đánh dấu bằng domain của bạn ):
cat example.com.crt intermediate.crt > example.com.chained.crt Bây giờ hãy chuyển đến folder cấu hình khối server Nginx của bạn. Giả sử nó được đặt tại /etc/nginx/sites-enabled , hãy sử dụng lệnh này để thay đổi nó:
cd /etc/nginx/sites-enabled Giả sử muốn thêm SSL vào file khối server default của bạn, hãy mở file để chỉnh sửa:
sudo vi default Tìm và sửa đổi chỉ thị listen và sửa đổi nó để nó trông giống như sau:
listen 443 ssl; Sau đó, tìm chỉ thị server_name và đảm bảo giá trị của nó trùng với tên chung của certificate của bạn. Ngoài ra, thêm ssl_certificate và ssl_certificate_key chỉ thị để xác định con đường của certificate của bạn và các file private key (thay thế các phần đánh dấu bằng con đường thực tế các file của bạn):
server_name example.com; ssl_certificate /home/sammy/example.com.chained.crt; ssl_certificate_key /home/sammy/example.com.key; Để chỉ cho phép các giao thức và mật mã SSL an toàn nhất, hãy thêm các dòng sau vào file :
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_prefer_server_ciphers on; ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH'; Nếu bạn muốn lưu lượng truy cập HTTP chuyển hướng đến HTTPS, bạn có thể thêm khối server bổ sung này ở đầu file (thay thế các phần được đánh dấu bằng thông tin của bạn ):
server { listen 80; server_name example.com; rewrite ^/(.*) https://example.com/$1 permanent; } Sau đó lưu và thoát.
Bây giờ hãy khởi động lại Nginx để tải cấu hình mới và bật TLS / SSL qua HTTPS!
sudo service nginx restart Kiểm tra bằng cách truy cập trang web qua HTTPS, ví dụ: https://example.com .
Apache
Nếu muốn sử dụng certificate của bạn với Apache trên Ubuntu 14.04, hãy làm theo phần này.
Backup file cấu hình của bạn bằng cách sao chép nó. Giả sử server của bạn đang chạy trên file cấu hình server ảo mặc định, /etc/apache2/sites-available/000-default.conf , hãy sử dụng các lệnh sau để tạo bản sao:
cd /etc/apache2/sites-available cp 000-default.conf 000-default.conf.orig Sau đó, mở file để chỉnh sửa:
sudo vi 000-default.conf Tìm mục nhập <VirtualHost *:80> và sửa đổi nó để web server của bạn sẽ lắng nghe trên cổng 443 :
<VirtualHost *:443> Sau đó, thêm chỉ thị ServerName , nếu nó chưa tồn tại (thay thế domain của bạn tại đây):
ServerName example.com Sau đó, thêm các dòng sau để chỉ định certificate và đường dẫn khóa của bạn (thay thế đường dẫn thực của bạn tại đây):
SSLEngine on SSLCertificateFile /home/sammy/example.com.crt SSLCertificateKeyFile /home/sammy/example.com.key Nếu bạn đang sử dụng Apache 2.4.8 trở lên , hãy chỉ định gói trung gian CA bằng cách thêm dòng này (thay thế đường dẫn):
SSLCACertificateFile /home/sammy/intermediate.crt Nếu bạn đang sử dụng version Apache cũ hơn, hãy chỉ định gói trung gian CA bằng dòng này (thay thế đường dẫn):
SSLCertificateChainFile /home/sammy/intermediate.crt Đến đây, server của bạn được cấu hình để chỉ nghe trên HTTPS (cổng 443), vì vậy các yêu cầu tới HTTP (cổng 80) sẽ không được phục vụ. Để chuyển hướng các yêu cầu HTTP đến HTTPS, hãy thêm phần sau vào đầu file (thay thế tên ở cả hai vị trí):
<VirtualHost *:80> ServerName example.com Redirect permanent / https://example.com/ </VirtualHost> Lưu và thoát.
Kích hoạt module Apache SSL bằng cách chạy lệnh này:
sudo a2enmod ssl Bây giờ khởi động lại Apache để tải cấu hình mới và bật TLS / SSL qua HTTPS!
sudo service apache2 restart Kiểm tra bằng cách truy cập trang web qua HTTPS, ví dụ: https://example.com . Bạn cũng cần thử kết nối qua HTTP, ví dụ: http://example.com đảm bảo rằng chuyển hướng đang hoạt động bình thường!
Kết luận
Đến đây bạn nên biết cách thêm certificate SSL tin cậy để bảo mật web server của bạn . Hãy chắc chắn mua một chiếc CA mà bạn hài lòng!
Các tin liên quan
