我们很高兴地告诉大家，EMQX Enterprise 4.4.11 版本正式发布！
最近，家里事情非常多，很长时间没上班了。偶尔会打开钉钉群看一下工作情况。结果今天下午打开钉钉一看，运营群炸锅了，很多人都在说：卧槽，又不能访问了，什么情况啊？断网了吗？系统崩溃了？快点联系研发解决下吧。
偶刷《长安十二时辰》，午睡时，梦到我穿越到了唐朝，在长安城中的靖安司，做了一天的靖安司司丞。当徐宾遇害消失的时候我不在司内，当时的情形我不得而知。
打算在公司IDC机房部署一套V**环境，经过考虑，最终决定采用Cisco下的开源技术AnyConnect。 AnyConnect的优势有： 1）长连接，待机不会断开； 2）速度快，稳定性好； 3）安全性好，全程加密；另外，支持freeradius认证功能； 4）能够下发路由表给客户端，这个功能是最激动人心的。因为如果长期连接，那么肯定是某些服务走V**，而国内的网站可以走自己的网络体验最好。 5）耗电量较低；
当用户使用客户端或其他的设备访问https网站时，需要先验证https证书，验证方式有两种：
阅读提示：全文较长，预计阅读时长：20分钟 各位使用百度、谷歌或淘宝的时候，有没有注意浏览器左上角已经全部出现了一把绿色锁，这把锁表明该网站已经使用了 HTTPS 进行保护。仔细观察，会发现这些网站已经全站使用 HTTPS。同时，iOS 9 系统默认把所有的 http 请求都改为 HTTPS 请求。随着互联网的发展，现代互联网正在逐渐进入全站 HTTPS 时代。 全站 HTTPS 能够带来怎样的优势？HTTPS 的原理又是什么？同时，阻碍 HTTPS 普及的困难是什么？ 综合参考多种资料并经过实践验证，探究
3月27日 Github 疑似遭受大规模攻击， desktop.github.com 、 pages.github.com 、 *.github.io 等多个站点均提示 "您的连接不是私密连接"，并且电信、移动、联通、教育网均可复现该问题。
踩过的坑，实在不想再踩了，记录记录。 CURL错误列表 curl_exec($ch);//执行curl if (curl_errno($ch)) { echo 'Curl error: ' . curl_error($ch);//出错输出错误 } curl_close($ch);//关闭curl 同理，像正则，Json，数据库这些出错时基本都会有提供有帮助的错误信息 CURL状态码列表 状态码 状态原因 解释 0 正常访问 1 错误的协议 未支持的协议。此版cURL 不支持这一协议。 2 初始
PKI（ Public Key Infrastructure，公钥基础设施）是一个利用公开密钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施。
这是本系列的最后一篇了，其实本篇的内容也跟前两篇TLS的握手和优化有关系。其实HTTPS的核心就是TLS的明文握手连接，前两篇我们花了很大的篇幅来聊这些，另外一个就是在TLS握手完成后的密闻传输部分了。
我们在进行网页访问的时候会跟各种各样的证书打交道，比如在访问https网页的时候，需要检测https网站的证书有效性。
最近大家在使用百度、谷歌或淘宝的时候，是不是注意浏览器左上角已经全部出现了一把绿色锁，这把锁表明该网站已经使用了 HTTPS 进行保护。仔细观察，会发现这些网站已经全站使用 HTTPS。同时，iOS 9 系统默认把所有的 http 请求都改为 HTTPS 请求。随着互联网的发展，现代互联网正在逐渐进入全站 HTTPS 时代。
11 月，EMQX 开源版和企业版分别发布了多个迭代版本，在安全性保障和生态集成方面又有了新的提升。
对于一个可信任的 CA 机构颁发的有效证书，在证书到期之前，只要 CA 没有将其吊销，那么这个证书就是有效可信任的。有时，由于某些特殊原因（比如私钥泄漏，证书信息有误，CA 有漏洞被黑客利用，颁发了其他域名的证书等等），需要吊销某些证书。那浏览器或者客户端如何知道当前使用的证书已经被吊销了呢，通常有两种方式：CRL（Certificate Revocation List，证书吊销列表）和 OCSP（Online Certificate Status Protocol，在线证书状态协议）
由裸数据传输的 HTTP 协议转成加密数据传输的 HTTPS 协议，给应用数据套了个「保护伞」，提高安全性的同时也带来了性能消耗。
HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。 它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司(Netscape)进行，并内置于其浏览器Netscape Navigator中，提供了身份验证与加密通讯方法。
2.3.1.1 客户端越过负载均衡，直接访问服务器，客户端访问业务慢场景依然存在。
SSL（Secure Sockets Layer，安全套接层）协议最初是网景公司为了保障网上交易安全而开发的，SSL协议在直接位于TCP上一层的应用层被实现。SSL不会影响上层协议（HTTP），但能够保证上层协议的网络通信安全。
可以首先跑一遍exchange的升级程序来看都缺少哪些先决条件，解决先决条件后，再开始安装。
简介 HTTPS (Secure Hypertext Transfer Protocol)安全超文本传输协议，是一个安全通信通道，它基于HTTP开发用于在客户计算机和服务器之间交换信息。它使用安全套接字层(SSL)进行信息交换，简单来说它是HTTP的安全版,是使用TLS/SSL加密的HTTP协议。TLS/SSL具有身份验证、信息加密和完整性校验的功能，可以避免信息窃听、信息篡改和信息劫持的风险。 TLS/SSL全称安全传输层协议Transport Layer Security, 是介于TCP和HTTP之间的
1. 什么是X.509？ X.509标准是ITU-T设计的PKI标准，他是为了解决X.500目录中的身份鉴别和访问控制问题设计的。 2. 数字证书 数字证书的意义在于回答公钥属于谁的问题，以帮助用户安全地获得对方的公开密钥。证书中应对公钥和公钥私有者信息，并由可信任的CA签署，即CA对这些信息进行数字签名。一张数字证书由证书内容、签名算法和算法结果组成。 数字证书的结构如下： 版本号 version 序列号 serialNumber 签名算法 signature 有效日期 vaildity 主体 subje
1、CA系统各个设备众多，计算机网络中各主机和服务器等网络设备的时间基本处于无序的状态。随着计算机网络应用的不断涌现，计算机的时间同步问题成为愈来愈重要的事情。以Unix系统为例，时间的准确性几乎影响到所有的文件操作。 如果一台机器时间不准确，例如在从时间超前的机器上建立一个文件，用ls查看一下，以当前时间减去所显示的文件修改时间会得一个负值，这一问题对于网络文件服务器是一场灾难，文件的可靠性将不复存在。为避免产生本机错误，可从网络上获取时间，这个命令就是rdate，这样系统时钟便可与公共源同步了。但是一旦这一公共时间源出现差错就将产生多米诺效应，与其同步的所有机器的时间因此全都错误。
本节介绍HTTPS优化是一个不小的话题，关于优化的讨论是在其他软硬件合理配置的前提下进行的，而关于HTTPS，我们常常会想它肯定要比HTTP要慢，实际上一个优化良好的HTTPS有时候要比HTTP要快很多。
此文章翻译自haproxy官方文档：https://www.haproxy.com/blog/ssl-client-certificate-management-at-application-level/
sslscan用于扫描SSL/TLS证书并报告协议版本、密码套件、密钥交换、签名算法和证书详细信息等，帮助用户从安全角度加强数据传输安全性，同时，sslscan还可以将结果输出到XML文件中，以便外部程序使用。本文将详细介绍sslscan用法案例及其扫描原理。
本文介绍了如何创建自己的证书颁发机构以及如何创建由该证书颁发机构签名的SSL证书。 尽管有许多文章讨论如何创建自己的SSL证书，但在大多数情况下，它们描述了如何创建自签名证书。这比较简单，但是无法验证或跟踪那些证书。 我个人更喜欢先创建个人证书颁发机构（CA），然后再从该证书颁发机构颁发证书。这种方法的主要优点是，你可以将CA的证书导入浏览器或手机中，并且当你访问自己的网站或连接到SMTP/IMAP服务器时，不会再收到任何警告。现在被认为是值得信赖的。如果你为自己的项目创建证书层次结构，并且希望成为唯一可以为用户颁发证书的人员，则这也是必要的。
转载请注明出处 安全知识 网络安全问题 数据机密性 在网络传输数据信息时，对数据的加密是至关重要的，否则所有传输的数据都是可以随时被第三方看到，完全没有机密性可言。 数据机密性解决问题思路 利用算法 为了保证数据的机密性，首先可以采用的方法就是将数据通过相应算法，转换为其它的数据信息，然后再通过相应算法反推出真正的数据是什么，这样一来就保证了数据在网络传输过程中安全性，不会被其它人轻易的看到传输过程中的数据信息。数据加密前的信息称为明文数据(plaintext),经过加密算法转换后进行传输的信息称为密文数据
继 EMQX 5.0.0-rc.4 发布之后，v5.0 的开发工作已经接近尾声。除了继续优化 Dashboard 的 UI/UX 以提升使用体验，和测试并修复各项 Bug 以提升软件稳定性以外，EMQX 团队也在对用户文档进行全面的改进和更新，不久后即将为用户带来一个更加强大易用的 EMQX 5.0。
1、场景，由于同事在家需要远程支撑工作，但是公司的服务只对公司的公网宽带开了白名单，所以同志们在家无法访问，需要拨号到公司的公网地址才可以访问。
在本节中，将介绍如何在 Linux（如 Ubuntu 和 CentOS）中创建私有证书和配置服务器。 私有证书是指私人签发的服务器证书，并由 Cybertrust 和 VeriSign 等可信第三方证书机构签发的服务器证书通知。
作为一名 DBA 碰到过升级出问题需要回退么？碰到过回退还解决不了问题么？我有幸遇到了一次凶险的升级“血案”。
对称加密算法在加密和解密时，使用同一密钥。非对称加密算法需要两个密钥，即公开密钥和私有密钥，公开密钥和私有密钥是一对。用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；用私有密钥对数据进行加密，只有用对应的公开密钥才能解密。因为加密和解密使用两个不同的密钥，所以这类算法叫非对称加密算法。
线上生产环境，出于安全考虑，有些服务器是不需要公网IP，但是平常运维人员管理起来又不太方便。
选择支持AES-NI特性的CPU，该CPU在指令级别优化了AES算法，加速了数据的加解密过程。
无论是公共网站，Intranet流量还是Web应用程序的登台服务器，您都需要一个证书来保护您的数据并满足用户的安全需求。
X.509：定义了证书的结构和认证协议的标准。包括版本号、序列号、签名算法、颁发者、有效期限、主体名称、主体公钥、CRL分发点、扩展信息、发行者签名等
1.1 网络安全知识 1.1.1 网结安全出现背景 网络就是实现不同主机之间的通讯，网络出现之初利用TCP/IP协议簇的相关协议概念，已经满足了互连两台主机之间可以进行通汛的目的，虽然看似简简单单几句话，就描述了网络概念与网络出现的目的，但是为了真正实现两台主机之间的稳定可靠通讯，其实是一件非常困难的事情了，如果还要再通讯的基础上保证数据传输的安全性，可想而知，绝对是难上加难，因此，网络发明之初，并没有太关注TCP/IP互联协议中的安全问题。 对于默认的两台主机而言，早期传输数据信息并没有通过加密方式传输数
面向服务的体系结构（SOA）引入了一种设计范式，该技术讨论了高度分离的服务部署，其中服务间通过标准化的消息格式在网络上通信，而不关心服务的实现技术和实现方式。每个服务都有一个明确的，公开的服务描述或服务接口。实际上，消息格式是通过SOAP进行标准化的，SOAP是2000年初由W3C引入的标准，它也基于XML--服务描述通过WSDL标准化，另一个W3C标准和服务发现通过UDDI标准化--另一个W3C标准。所有这些都是基于SOAP的Web服务的基础，进一步说，Web服务成为SOA的代名词 - 并导致其失去作为一种架构模式的本义。SOA的基本原则开始淡化。WS- *栈（WS-Security，WS-Policy，WS-Security Policy，WS-Trust，WS-Federation，WS-Secure Conversation，WS-Reliable Messaging，WS-Atomic Transactions，WS-BPEL等）通过OASIS，进一步使SOA足够复杂，以至于普通开发人员会发现很难消化。
一般情况下我们使用的证书都是由第三方权威机构来颁发的，如果我们有一个新的https网站，我们需要申请一个世界范围内都获得认可的证书，这样我们的网站才能被无障碍的访问。
指定服务器在哪些 TCP/IP 地址上监听客户端连接。值的形式是一个逗号分隔的主机名和/或数字 IP 地址列表。特殊项*对应所有可用 IP 接口。项0.0.0.0允许监听所有 IPv4 地址并且::允许监听所有 IPv6 地址。如果列表为空，服务器将根本不会监听任何 IP 接口，在这种情况中只能使用 Unix 域套接字来连接它。默认值是localhost，它只允许建立本地 TCP/IP “环回”连接。虽然客户端认证（Chapter 20）允许细粒度地控制谁能访问服务器，listen_addresses控制哪些接口接受连接尝试，这能帮助在不安全网络接口上阻止重复的恶意连接请求。这个参数只能在服务器启动时设置。
EV证书(Extended Validation Certificate)是一种根据一系列特定标准颁发的X.509电子证书，根据要求，在颁发证书之前，证书颁发机构(CA)必须验证申请者的身份。不同机构根据证书标准发行的扩展验证证书并无太大差异，但是有时候根据一些具体的要求，特定机构发行的证书可以被特定的软件识别
描述:certutil用于备份证书服务下载查看缓存,管理Windows命令通过文件生成并显示加密哈希生成Hashfile，MD5,SHA1,SHA256，并且可以校验文件MD5/SHA1值等 更多操作说明见https://technet.microsoft.com/zh-cn/library/cc755341(v=ws.10).aspx
众所周知， HTTP协议是没有安全加密的协议，因为使用明文传输，所以使用HTTP协议的站点很容易会被窃听、篡改，劫持；而伴随着互联网的发展，网络上承载了越来越多也越来越重要的数据，金融，商业，支付，机密数据等等，数据安全的重要性越来越凸显，越来越多的网站通过启用HTTPS来保障web数据传输的安全性。此外，HTTP2.0 作为新一代的WEB协议，以重量级的新特性带来更好，性能更高的web服务体验。本文基于运维视角在阐述解析HTTP2.0协议相比较HTTP1.1的优点的同时讲述HTTPS协议的原理，并结合实际业务场景作为案例，目的是可以通过本文掌握HTTP2.0及HTTPS协议，了解原理，具备定位排查问题，调优的能力。
这是一个系列文章，将会通过七篇内容和大家一起聊聊 Kubernetes 中的证书管理。
HTTPS（Hyper Text Transfer Protocol over SecureSocket Layer），建立在SSL协议之上的HTTP协议
这里记录如何使用这个程序校验文件，网上很多资源的下载很多都会提供文件的md5，SHA256等等之类的哈希值，便于下载者校验文件是否存在被修改，破坏等改变文件内容的操作
响应头相关的配置也和我们之前在 FastCGI 系列学过的响应头配置是类似的，这一块也比较简单。而另一部分则是 Proxy 模块另一个特有的功能，SSL 相关的配置。不过这一块吧，一是配置比较麻烦，二是平常使用到的也比较少，所以我也是以学习了解的状态来进行的，偷个懒，不会进行相应的配置测试。有兴趣的小伙伴可以自己配一配哦。
上篇顺利完成了Active Directory 域服务和 DNS 服务器迁移，此篇讲一下集成在域服务器上的证书颁发机构的迁移。
增强密钥用法： OpenSSL 增强密钥用法:
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
