使用SSL / PKI保护Web服务

Question

我的要求是保护REST Web服务。经过一番讨论决定与PKI一起讨论oauth。实现将使用Java。

现在我有以下问题吗？

1. 如果我在刚刚实施PKI基础架构的Web服务器中启用SSL？

2. 如果我实现this guide中提到的任何内容，那将会处理所有加密和解密？如何在服务器之间传递的原始消息被加密/解密？或者本指南只谈到授权客户端而没有与传递的消息有关？

3. 如果我的上述假设是错误的，您能否理解我，我需要了解的有关实施此基础设施的所有信息？

Answer 1

1. 不，不是。公钥基础结构是关于证书（持有公钥）和私钥的处理。您需要处理证书交换，证书生命周期，证书撤销等。当然，大多数这些都是由Verizon等证书颁发机构接管的。即便如此，您还需要保护和备份您正在使用的私钥，并确保它符合您的服务器名称，并在您的证书耗尽时更新您的证书。

2. 是的，SSL / TLS协议负责确保在“传输级别”保护所有传递的消息。您当然可以在应用程序级别要求额外的安全性（例如，在服务器上安全地发送消息）。通常，SSL / TLS就足够了，实现可以解决所有问题。但是，您应该决定要启用哪些SSL密码套件。

3. 嗯，我建议你阅读关于PKI的文章和书籍，以及可能来自CA的一些howto。这个问题（实际上是另外两个问题）是stackoverflow的主题。用几句话来回答这个问题是不可能的。

Answer 2

1. PKI（公钥基础结构）处理证书的生命周期，证书颁发机构（内部或外部），证书策略以及如何使用这些证书。
2. 在Web服务器上启用SSL / TLS可以建立安全的http连接（https），而不是普通的http。通过启用HTTPS，可以保护通过加密在客户端和服务器之间传输的数据。
3. 请注意，要启用ssl / tls，您需要服务器证书以及该基础结构应如何获取的证书。我们可以配置MS PKI或使用openssl工具生成用于内部目的的证书，也可以从诸如Verisign，DigiCert等的CA购买。
4. 实施SSL / TLS将确保传输过程中的数据安全，而最终用户仍然需要身份验证和授权。