IIS7.0提升WWW服务安全
卢凤军 发表于:10年06月03日 11:31 [来稿] DOIT.com.cn
二、SSL安全
SSL安全功能可以通过对传输信息进行加密,实现WEB客户端与WEB服务器端的安全传输,避免数据被中途截获或篡改。对于安全性要求很高的、交互性的WEB网站,建议采用SSL加密方式。若欲实现SSL通信,WEB服务器必须拥有有效的服务器证书。
通常情况下,若想实现SSL(Security Socket Layer)安全机制,在Windows Server 2003 系统中,需要借助第三方证书颁发机构获取服务器证书,主要包括如下操作:
创建证书申请;
将证书申请文件提交到第三方证书颁发机构;
批准证书申请并颁发证书;
将证书应用到服务器
这样的操作过程对于实现SSL加密无疑是相当麻烦的。而在Windows Server 2008 系统中的IIS7.0中,可以创建WEB服务器的自签名证书,并用于WEB站点的SSL加密,而IIS6.0中则无此功能。
具体实现过程如下:
1、服务器端设置
要想为站点启用SSL安全保护,必须在服务器端创建用于SSL加密的证书和启用SSL设置。
(1)创建服务器证书
服务器证书包含关于服务器的信息,服务器在允许客户在共享敏感信息之前,对其加以积极识别,WWW服务器只有在安装有效服务器证书后,才拥有安全通信功能。
1)在“Internet信息服务(IIS)管理器”窗口中,选择使用SSL安全加密的站点,双击“服务器证书”图标,打开图2-1所示的“服务器证书”窗格。安装IIS7.0过程中,系统已经自动创建了一个服务器证书,管理员可以直接应用该证书,也可以导入已有证书,或者创建新的证书。整理单击“创建自签名证书”超链接。
图2-1
2)在右侧“操作”栏中,单击“创建自签名证书”超链接,打开图2-2所示的“创建自签名证书”对话框。在“为证书指定一个好记的名称”文本框中,输入服务器证书的文件名。
图2-2
3)单击“确定”按钮,创建自签名证书完成,新创建的证书即可显示在列表中,选中创建成功的自签名服务器证书coolpen-lxh,单击查看“超链接”,打开图2-3所示的“证书”对话框,在这里可以查看该证书的名称、颁发者、接受者、有效起始日期等详细信息。
4)在“Internet信息服务(IIS)管理器”窗口的“coolpen主页”窗口中,右击希望应用此证书的站点(注意,必须是HTTPS站点),选择快捷键菜单中的“编辑绑定”选项,如图2-4所示,打开“网站绑定”对话框。
图2-4
5)选中HTTPS站点并单击“编辑”按钮打开 “编辑网站绑定对话框”,“IP地址”和“端口”设置保持默认即可。在“SSL证书”下拉列表中,选择刚刚创建的自签名证书coolpen-lxh。
6)单击“确定”按钮,返回“网站绑定”对话框。单击“关闭”按钮保存设置并退出。
(2)启用SSL设置
在“Internet信息服务(IIS)管理器”窗口中,单击需要启用SSL设置的站点,并在主窗口中双击“SSL设置”图标,打开图6所示的“SSL设置”窗格。
图2-5
选中“要求SSL”复选框,以启用40位数据加密方法,该方法可以用来帮助确保服务器与客户端之间传输的安全性。该选项设置既可以用于Intranet环境,也可用于Internet环境。如果选中“需要128位SSL”复选框,则安全性更高,不过传输加密数据所需的带宽也将随之增加。
在“客户证书”选项框中选中“接受”单选按钮,即可启用服务器端的SSL设置,接受客户端证书(若提供)在允许客户端获得内容访问权限之前验证客户端身份。系统默认选中“忽略”单选按钮,即如果提供客户端证书,则该设置不会接受,因此该设置的安全性最低。如果选中“必要”单选按钮,则在接受用户访问之前要求提供对应证书验证客户端身份的有效性。
设置完成后,在“操作”栏中单击“应用”超链接即可应用设置。
2、客户端设置
用户访问使用SSL协议加密的站点或网页,与访问普通站点略有不同。首先,使用加密传输的站点使用HTTPS://开头的URL;其次,用户必须连接到站点指定的证书服务器,获取相关数字证书并安装。具体实现过程,此处不再说明。