笔者在加入VMware之前，做UNIX技术支持工作将近8年。由于UNIX服务器通常在数据中心内部，与外网隔离，因此用户身份认证通过比较简单。即密码验证。后来接触到VIEW产品，逐渐了解到多种的身份识别方式。加上前段时间研究了openStack，将学习的心得分享给大家。 广义上讲，用户身份认证并不仅限于领域。广义上的身份识别技术有如下几种：静态密码、动态密码（短信密码、动态口令牌）、令牌、USB KEY、数字证书、生物识别技术。 在以上几种认证方式中，我们IT人员在数据中心通常能够遇到的是：静态密码、动态口
瓦利[1]是一款开源的 DevOps 代码自动部署工具，目前官方有两个新旧版本，分别是基于 PHP2 和 Python。
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
trustStore是存储可信任的公钥，如6中红色字体中trustStore的生成过程就是把从keyStore导出的公钥证书导入到trustStore中。
无论是公共网站，Intranet流量还是Web应用程序的登台服务器，您都需要一个证书来保护您的数据并满足用户的安全需求。
在控制面板的安全性选项中，群晖提供了上传 SSL 证书的功能，以便于使用者通过互联网安全的访问 NAS。不过 reizhi 在使用中却发现，无论是替换自带的自签名证书，还是完全删除，在重启 NAS 后都会出现默认证书变为自签证书的问题。这样一来，访问时便会出现不信任的提示以及红色的 HTTPS 标识。 不过在网络上却并没能搜索到相关问题的报告和解决方案，于是 reizhi 决定自己研究解决。在控制面板几经尝试都没能成功后，最终通过更改文件权限解决了默认证书的问题，在此作为记录。 首先我们需要进入控制面板-终端机和 SNMP ，打开 SSH 功能以便后续操作。随后打开套件中心，点击设置，添加社区源：
机密计算联盟-Confidential Computing Consortium，CCC[1]是linux基金会的一个项目社区，致力于定义和加速机密计算的采用。联盟主要成员包括arm、谷歌、华为、英特尔、微软等巨头企业。目前CCC拥有11个项目，本文主要对其中的“机密计算认证框架（Certifier Framework for Confidential Computing）”这一项目进行介绍，该项目由VMWare公司启动，旨在通过提供简单的客户端信任管理，简化和统一了对多供应商机密计算平台上有关可信认证的编程和操作支持。若想了解更多可访问该项目github仓库[2]。
在公司内部网络研发过程中，是使用的内部服务器进行发布，因此访问的ip也是内部的ip。这时候如果想对应用采用https访问的话，就需要配置对应的证书，但是市面上的证书需要使用到域名，并且基本都是基于互联网进行的认证，这种场景，在实际内网环境下，就变得难受，既不方便切换https后的调试，也不方便验证是否https配置都能成功，基于上述的情况，想到在内部服务器上生成证书，并且证书的认证地址也指向到ip，经过查找相关资料，遇到同样问题的还不少，现给出经过实际验证可行的方法。
在Linux系统中使用动态iP服务器是一种常见的网络配置，可以帮助我们实现匿名访问、访问限制以及数据加密等功能。然而，有时候我们可能会遇到一些动态iP服务器错误，幸运的是，大多数问题都有解决方案。在本篇文章中，我将为您分享一些常见的动态iP服务器错误排查与解决方法，帮助您轻松应对这些问题。
需要设置全局变量，将本地默认代理设置为 burp 的代理服务地址和端口，可以使用如下命令：
创建自签名根根证书过程：生成CA私钥（.key）-->生成CA证书请求（.csr）-->自签名得到根证书（.crt）（CA给自已颁发的证书）
在证书验证、基于JWT(Json Web Token)的身份认证、IDP(身份提供商)、SP(服务提供商)等技术中，都有一个可信的第三方，可明明是用户对资源或者服务的访问，为啥还要个第三方？
PostgreSQL 有一个对使用 SSL 连接加密客户端/服务器通讯的本地支持，它可以增加安全性。这个特性要求在客户端和服务器端都安装 OpenSSL 并且在编译 PostgreSQL 的时候打开这个支持（见Chapter 16）。
输入mkcert-v1.4.3-windows-amd64.exe -install 命令 ，安装mkcert。将CA证书加入本地可信CA，使用此命令，就能帮助我们将mkcert使用的根证书加入了本地可信CA中，以后由该CA签发的证书在本地都是可信的。卸载命令 mkcert-v1.4.3-windows-amd64.exe -install
图解HTTPS建立过程: https://www.cnblogs.com/softidea/p/6958394.html
随着网络安全问题越来越被重视，HTTPS协议的使用已经逐渐主流化。目前的主流站点均已使用了HTTPS协议；比如：百度、淘宝、京东等一二线主站都已经迁移到HTTPS服务之上。而作为测试人员来讲，也要需时俱进对HTTPS协议要有一定的了解，这样就可以更好的帮助我们在工作完成任务和排查问题。
安全乐观主义点评：由cnbird鸟哥分享的一份介绍Google BeyondProd实现的ppt，笔者遗憾没有现场听到具体的内容，ppt下面的“安全乐观主义点评”字样为小编的发散思考，并不代表鸟哥大佬原始观点。 安全乐观主义点评：ppt分为四个章节，介绍了云原生环境下的安全风险、Google的基础信任机制、BeyondProd实践以及实现技术细节。 安全乐观主义点评：咦！攻守之势异也。攻防两端，当具备完成基础的技术能力之后，将由传统被动挨打转移到主动防御建设阶段。从防御的层层积累，到检测、溯源、审计手段的多
互联网应用的网络通信一般都是通过 HTTP，但 HTTP 是明文传输的，容易泄漏信息，所以大多数应用都会升级为 HTTPS。
CA是认证中心的英文Certification Authority的缩写。它为电子商务环境中各个实体颁发数字证书，以证明各实体身份的真实性，并负责在交易中检验和管理证书；它是电子商务和网上银行交易的权威性、可信赖性及公正性的第三方机构。
SSL证书是用于在WEB服务器与浏览器以及客户端之间建立加密链接的加密技术，通过配置和应用SSL证书来启用HTTPS协议，来保护互联网数据传输的安全，全球每天有数以亿计的网站都是通过HTTPS来确保数据安全，保护用户隐私。
有同学在知识星球和公众号粉丝群里面提到，希望我讲一讲 HTTPS 证书、为什么使用 Charles、Fiddler、MitmProxy 抓 HTTPS 的请求要安装证书、 requests 发送请求的时候，verify 参数除了 False/True 还能填写什么参数。今天我们就这几个问题来做一个简单的介绍。
原文链接：https://blog.spiritling.cn/posts/4cb12659/
用通俗易懂的语言来解释一下PKI（公钥基础设施）、CA（证书颁发机构）和证书之间的关系：
对于api服务器，我们不能让访问者先登录再进行访问这样不安全，也不友好。 http协议没有任何的加密以及身份验证的机制，即时是token认证，也非常容易遭遇窃听、劫持、篡改，因此会造成个人隐私泄露，恶意的流量劫持等严重的安全问题。
CA(Certification Authority)证书，指的是权威机构给我们颁发的证书。
kubernetes的安装有几种方式，不管是kube-admin还是社区贡献的部署方案都离不开这几种方式：
HTTP 是一个网络协议，是专门用来传输 Web 内容，大部分网站都是通过 HTTP 协议来传输 Web 页面、以及 Web 页面上包含的各种东东（图片、CSS 样式、JS 脚本）。
这个问题的场景是这样的：客户端通过浏览器向服务端发起 HTTPS 请求时，被「假基站」转发到了一个「中间人服务器」，于是客户端是和「中间人服务器」完成了 TLS 握手，然后这个「中间人服务器」再与真正的服务端完成 TLS 握手。
在《上篇》中，我们谈到了常用的认证方式：用户名/密码认证和Windows认证。在下篇中，我们着重来介绍另外一种重要的凭证类型：X.509证书，以及针对X.509证书的认证方式。不过为了让读者能够真正地全面地了解X.509证书，我们需要先了解一些关于非对称密码学的背景知识。 目录 一、非对称密码学（Asymmetric Cryptography） 消息加密（Encryption） 数字签名（Digital Signature） 二、数字证书
数字证书是一种重要的安全标准，它集成了多种密码学算法，以确保数据的安全性、完整性和可信度。在数字化信息传输中，
美军JIE（联合信息环境）的目标是实现“三个任意”的愿景——美军作战人员能够用任意设备、在任意时间、在任意地方获取经授权的所需信息，以满足联合作战的需求。
随着云原生技术的发展，基于微服务架构的应用不断涌现。这种分布式的架构为应用的开发，业务的扩容提供了便捷，同时也对应用的安全防护提出了新的要求。其中一项就是需要设计安全有效的API安全防护机制，以保障外部对应用入口的API访问与应用内部服务之间的API调用的安全。2017年5月，Google、IBM、Lyft联合发布了开源项目Istio[1], 为服务间API访问控制和认证机制的配置提供了平台。利用Istio这个平台，运维人员可以通过创建Service Account、ServiceRole、ServiceRoleBinding对微服务API按照所制定的策略进行安全部署。一种比较直接的策略是借鉴“零信任”的理念，对微服务应用的每个API都进行统一防护。不过在实际环境中，对每个API都施加访问控制会对应用的性能造成影响。而且服务间存在着依赖关系和信任关系，可以利用这些关系对服务的API进行区域化管理。基于这种区域化的思想，CA Technologies在2018年2月提出了微服务架构下的基于区域层次结构的访问控制机制[2]（以下简称DHARMA），通过区域划分的方式为微服务架构下的API建立了安全防护机制。
Apache kafka允许客户端通过SSL进行连接。默认情况下SSL是禁止状态，可以根据需要开启。本文就是浪尖亲测，开启SSL认证。 1，为每一个kafka Broker创建SSL key和证书 第一步，部署HTTPS需要为在集群中的每台Broker创建key和证书。可以使用java的keytool完成这个任务。我们最初会将密钥生成到一个临时密钥库，以便我们稍后可以导出和签名。 keytool -keystore server.keystore.jks -alias localhost -validity
上面就是利用认证机构Trent进行公钥密码通信的流程。其中1、2、3这几个步骤仅在注册新公钥时才会进行，并不是每次通信都需要。此外，步骤 4 仅在Alice第一次用公钥密码向Bob发送消息时才需要进行，只要Alice将Bob的公钥保存在电脑中，在以后的通信中就可以直接使用了。
我们在用NSURLConnection或者NSURLSession进行HTTP请求时，有些URL因为需要授权认证而返回401，因此客户端需要在HTTP的请求头中带上用户和密码进行授权认证(具体查看这里)；或者当我们使用HTTPS协议时，一旦服务器提供的证书不被默认信任则需要客户端人为确认是否信任此服务器证书；或者用HTTPS协议时服务端也需要客户端提供证书进行双向认证时；或者我们是通过代理服务器来请求数据时客户端需要提供代理服务器的用户和密码进行认证。我们称这些情况为服务端要求客户端接收认证挑战(AuthenticationChallenge)。
HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。 它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司(Netscape)进行，并内置于其浏览器Netscape Navigator中，提供了身份验证与加密通讯方法。
在接下来的系列文章中我们正是讨论关于身份认证的主题。在前面我们已经谈到了，WCF中的认证属于“双向认证”，既包括服务对客户端的认证（以下简称客户端认证），也包括客户端对服务的认证（以下简称服务认证）。客户端认证和服务认证从本质上并没有什么不同，无非都是被认证一方提供相应的用户凭证供对方对自己的身份进行验证。我们先来讨论服务认证，客户端认证放在后续的文章中。 在《从两种安全模式谈起》中，我们对TLS/SSL进行了简单的介绍。我们知道，客户端和服务在为建立安全上下文而进行的协商过程中会验证服务端的X.509证书
在上一篇文章《写给开发人员的实用密码学 - 数字证书》中介绍了数字证书，但要让用户信任颁发的数字证书，这里就需要引入 CA 中心。
导语 在 WWDC 16 中，Apple 表示, 从 2017年1月1日起（最新消息, 实施时间已延期），所有新提交的 App 使用系统组件进行的 HTTP 网络请求都需要是 HTTPS 加密的，否则会导致请求失败而无法通过审核。 精神哥对 HTTPS 的验证过程有一些了解，但对于在iOS中如何实现 HTTPS 验证却不是很清楚，在内网搜索到李晴同学写的这篇文章，阅读后收获不小，分享给大家。 正文 本文的目的：一是简要分析下对服务器身份验证的完整握手过程，二是证书链的验证，三是探索下iOS中原生库NSUR
精明的用户在上网的时候会更喜欢一些有 SSL 证书保护的网站。另一方面，如果你的网站没受到足够等级的 SSL 证书的保护，那么网站的访客就会碰到很多问题，乃至让网民对网站产生不信任。
单向认证，说的是浏览器验证服务器的真实性，双向认证是服务器也验证浏览器用户的真实性。 1、使用keytool生成keystore，命令如下：
默认是不信任的，所以需要在钥匙串中进行信任。如果要抓取线上产品的包，还需要安装对应产品的证书并且信任
在AF框架中，AFSecurityPolicy类只做了一件事，就是完成HTTPS认证。作为单向认证证书是否合法。 先来看看HTTP协议，超文本传输协议。目前使用最广泛的HTTP协议版本为1.1。在请求报文中，使用持久连接connection:keep-alive，默认不关闭连接，可以被多个请求复用。使用管道机制，复用一个tcp可以发送多个请求，但同时带来的问题客户端同时发送多个请求之后，服务端的响应只能是依次执行。 在HTTP2.0版本中，首先解决1.1版本中存在的问题，服务端的响应不再依次执行。所有HTTP2.0 通信都在一个TCP连接上完成， 这个连接可以承载任意数量的双向数据流Stream。 相应地， 每个数据流以 消息的形式发送， 而消息由一或多个帧组成， 这些帧可以乱序发送， 然后根据每个帧首部的流标识符重新组装。也就是多工功能。 其次是2.0协议对请求头部内容的压缩。HTTP 1.x每一次通信（请求/响应）都会携带首部信息用于描述资源属性。HTTP 2.0在客户端和服务端之间使用“首部表”来跟踪和存储之前发送的键-值对。首部表在连接过程中始终存在，新增的键-值对会更新到表尾，因此，不需要每次通信都需要再携带首部。 第三，HTTP2.0协议中可以实现服务端自推送功能。服务端可以根据客户端的请求，提前返回多个响应，推送额外的资源给客户端。 HTTP2.0原理参考文章连接 HTTP的缺点也很明显。明文传输，内容会被窃听；而且没有验证通信方的身份，就会遭遇信息伪装；无法验证报文的完整性，就可能会遇到中间人攻击遭遇信息的篡改。这时，就需要使用HTTPS协议来弥补HTTP协议中的缺陷。 在HTTPS协议中，首先对通讯进行加密，建议安全的通信线路，同时还会提供SSL证书确保通讯内容安全。 HTTPS协议包含了HTTP协议、SSL加密、证书认证以及完整性保护。 SSL证书分为两种：CA证书(certificate authority)，受信任的；自签证书，不受信任。 HTTPS协议中的加密是用共享密钥加密与公开密钥加密的混合加密。共享密钥加密，加解密使用同一个密钥，即对称加密；公开密钥加密，分为公钥与私钥，公钥加密公开使用，而私钥则用于解密。HTTPS协议在交换密钥时使用公开密钥加密，在通信报文交换的过程中使用共享密钥。首先使用公开密钥加密的方式安全地交换将在稍后的共享密钥加密中要使用的密钥，在确保交换的密钥时安全的前提下，再使用共享密钥加密方式进行通讯交互。 既然AFSecurityPolicy类是用单向认证，使用一张图来更直观地表示交互过程。
作者 | 李俊 责编 | 贾维娣 自有人类协作以来，信任一直是我们在经济、金融、社会协作，甚至人的生活当中，为之付出最大成本的协作因素。去中心化的区块链如何解决信任问题？本文尝试简要的描述信任的来源及其背后的机制、技术和体系，把信任分为三个维度来描述：技术信任、法制信任、社群信任。 昨天的文章中，我们为大家详解了区块链生态中的技术信任，今天我们接着剖析后两部分：法治信任和社群信任。【在公众号后台回复“技术信任”，查看上篇文章】 1 法制信任 1.1 法律+制度 法律和制度，一直是人类形成政治体系以来重要的信
安全体系一直都是公司需要完成基础设施的支撑。安全包括了数据安全、通信安全、操作安全、代码安全等功能。有的组织则提供了一套标准的安全规范和技术标准比如PKI。而操作系统层面则苹果公司通过其提供的Security.framework而android则通过com.java.security框架来提供安全的支撑。
在了解SSL证书对于政府与金融行业网站的重要性之前，我们先来了解一下SSL证书是什么？
站在消息交换的角度，密码学就是帮助我们实现对整个消息或者对消息的某个部分进行数字签名和加密的理论和方法
SPIRE 的容量是有限的，随着工作负载强度的不同，需要有不同的规模。一套 SPIRE 中的 Server 部分，可能由一或多个共享数据存储的 SPIRE Server 组成；还可以是同一信任域的多个 SPIRE Server；至少有一个 SPIRE Agent，当然，多数时候是多个 Agent。 部署规模和负载规模相关。单个 SPIRE Server 能够承载一定数量的 Agent 和注册项。SPIRE Server 负责管理和签发注册项的身份，因此它的内存和 CPU 消耗是随着负载注册条目的数量线性增长的。单一的 SPIRE Server 部署还可能导致单点失败。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
