新疆大学：《网络安全基础》课程教学资源（实验指导）实验1 PKI与数字证书.doc_大学文库

《网络安全基础》实验报告新疆大学信息科学与工程学院 “HTTP会话”“本机IP与同组主机P地址间的会话”，在端口会话中选择源或目的端口为80的会话，在右侧会话视图中选择名为“GET”的单次会话，并切换至“协议解析”视图。 age/gif,image/x 45 poverpoint,.app】 cat ion/maword, uage:sh-cn.UA- CPU:x86.Accept 图1-1-1TTP明文会话如图1-1-1所示，通过协议分析器对TTP会话的解析中可以确定，在无认证模式下，服务器与客户端的W© b通信过程是以明文实现的。 2。单向认证（仅服务器需要身份认证） (1)CA(主机A)安装证书服务主机A依次选择“开始”|“设置”|“控制面板”|“添加或刚除程序”|“添加/副除indows组件” 选中组件中的“证书服务”，此时出现“Microsof证书服务”提示信息，单击“是”，然后单击“下一步”。在接下来的安装过程中依次要确定如下信息： ·CA类型（选择独立根CA) ·CA的公用名称(userGXCA,.其中G为组编号(1-32)，X为主机编号(A-F),如第2组主机D,其使用的用户名应为user2D) 。证书数据库设置（默认）在确定上述信息后，系统会提示要暂停Intern©t信息服务，单击“是”，系统开始进行组件安装。安装过程中，在弹出的“所需文件”对话框中指定“文件复制来源”为D:\ExpNIC\CrypApD\Tools windowsCA\i36 即可（若安装过程中出现提示信息，请忽略该提示继续安装）。「注」若安装过程中出现“Windows文件保护”提示，单击“取消”按钮，选择“是”继续：在证书服务安装过程中若网络中存在主机重名，则安装过程会提示错误：安装证书服务之后，计算机将不能再重新命名。不能加入到某个域或从某个域中别除：要使用证书服务的b组件，需要先安装IIS(本系统中已安装IIS)。在启动“证书发机构”服务后，主机A便拥有了CA的角色。 (2)服务器（主机B)证书申请【注」服务器向CA进行证书申请时，要确保在当前时间CA已经成功拥有了自身的角色。提交服务器证书申请 318

《网络安全基础》实验报告新疆大学信息科学与工程学院 3 / 8 “HTTP 会话”｜“本机 IP 与同组主机 IP 地址间的会话”,在端口会话中选择源或目的端口为 80 的会话，在右侧会话视图中选择名为“GET”的单次会话，并切换至“协议解析”视图。图 1-1-1 HTTP 明文会话如图 1-1-1 所示，通过协议分析器对 HTTP 会话的解析中可以确定，在无认证模式下，服务器与客户端的 We b 通信过程是以明文实现的。 2．单向认证（仅服务器需要身份认证）（1）CA（主机 A）安装证书服务主机 A 依次选择“开始”|“设置”| “控制面板”|“添加或删除程序”|“添加/删除 Windows 组件”，选中组件中的“证书服务”，此时出现“Microsoft 证书服务”提示信息，单击“是”，然后单击“下一步”。在接下来的安装过程中依次要确定如下信息： • CA 类型（选择独立根 CA） • CA 的公用名称（userGXCA，其中 G 为组编号（1-32），X 为主机编号(A-F)，如第 2 组主机 D，其使用的用户名应为 user2D） • 证书数据库设置（默认）在确定上述信息后，系统会提示要暂停 Internet 信息服务，单击“是”，系统开始进行组件安装。安装过程中，在弹出的“所需文件”对话框中指定“文件复制来源”为 D:\ExpNIC\CrypApp\Tools\WindowsCA\i386 即可（若安装过程中出现提示信息，请忽略该提示继续安装）。「注」若安装过程中出现“Windows 文件保护”提示，单击“取消”按钮，选择“是”继续；在证书服务安装过程中若网络中存在主机重名，则安装过程会提示错误；安装证书服务之后，计算机将不能再重新命名，不能加入到某个域或从某个域中删除；要使用证书服务的 Web 组件，需要先安装 IIS（本系统中已安装 IIS）。在启动“证书颁发机构”服务后，主机 A 便拥有了 CA 的角色。（2）服务器（主机 B）证书申请「注」服务器向 CA 进行证书申请时，要确保在当前时间 CA 已经成功拥有了自身的角色。 • 提交服务器证书申请

《网络安全基黜》实验报告新疆大学信息科学与工程学院服务器在“开始”|“程序”“管理工具”中打开“Internet信息服务(IIS)管理器”，通过“Inte rnet信息服务(IIS)管理器”左侧树状结构中的“Internet信息服务”|“计算机名（本地计算机）”|“网站 |“默认网站”打开默认网站，然后右键单击“默认网站”，单击”属性”。在“默认网站属性”的“目录安全性”页签中单击“安全通信”中的“服务器证书”，此时出现“b 服务器证书向导”，单击“下一步”。在“选择此网站使用的方法”中，选择“新建证书”，单击“下一步” 选择“现在准备证书请求，但稍后发送”，单击“下一步”。填入有关证书申请的相关信息，单击“下一步” 在“证书请求文件名”中，指定证书请求文件的文件名和存储的位置（默认c:\certreq.txt)。单击“下一步”直到“完成”。 ·通过Web服务向CA申请证书服务器在IE测览器地址栏中输入“http:/CA的IP刊certsrv//”并确认. 服务器依次单击“申请一个证书”“高级证书申请”“使用baSe64编码.提交一个申请”进入“提交一个证书申请或续订申请”页面。打开证书请求文件cerr©q.txt,将其内容全部复制粘贴到提交证书申请页面的“保存的申诗”文本框中，然后单击“提交” ,并通告CA已提交证书申请，等待CA发证书。 ,CA为服务器颁发证书在服务器提交了证书申请后，C在“管理工具”“证书颁发机构”中单击左侧树状结构中的“挂起的申请”项，会看到服务器提交的证书申请。右键单击服务器提交的证书申请，选择“所有任务”|“顺发”，为服务器领发证书（这时“挂起的申请”日录中的申请立刻转移到“发的证书”目录中，双击查看为服务器领发的证书)，通告服务器查看证书。 (3)服务器（主机B)安装证书 ·服务器下载、安装由CA颁发的证书通过CA“证书服务主页”|“查看挂起的证书申请的状态”丨“保存的申请证书”，进入“证书已颁发” 页面，分别点击“下载证书”和“下载证书链”，将证书和证书链文件下载到本地。在“默认网站”【“属性”的“目录安全性”页签中单击“服务器证书”按钮，此时出现“b服务器证书向导”，单击“下一步” 选择“处理挂起的请求并安装证书”，单击“下一步”。在“路径和文件名”中选择存储到本地计算机的证书文件，单击“下一步” 在“SSL端口”文本框中填入“443”，单击“下一步”直到“完成”。此时服务器证书已安装完毕，可以单击“日录安全性”页签中单击“查看证书”按钮，查看证书的内容回答下面问题。证书信息描述：发者： 4/8

《网络安全基础》实验报告新疆大学信息科学与工程学院 4 / 8 服务器在“开始”|“程序”｜“管理工具”中打开“Internet 信息服务（IIS）管理器”，通过“Inte rnet 信息服务（IIS）管理器”左侧树状结构中的“Internet 信息服务”|“计算机名（本地计算机）”|“网站” |“默认网站”打开默认网站，然后右键单击“默认网站”，单击”属性”。在“默认网站属性”的“目录安全性”页签中单击“安全通信”中的“服务器证书”，此时出现“Web 服务器证书向导”，单击“下一步”。在“选择此网站使用的方法”中，选择“新建证书”，单击“下一步”。选择“现在准备证书请求，但稍后发送”，单击“下一步”。填入有关证书申请的相关信息，单击“下一步”。在“证书请求文件名”中，指定证书请求文件的文件名和存储的位置（默认 c:\certreq.txt）。单击“下一步”直到“完成”。 • 通过 Web 服务向 CA 申请证书服务器在 IE 浏览器地址栏中输入“http://CA 的 IP/certsrv/”并确认。服务器依次单击“申请一个证书”|“高级证书申请”|“使用 base64 编码.提交一个申请”进入“提交一个证书申请或续订申请”页面。打开证书请求文件 certreq.txt，将其内容全部复制粘贴到提交证书申请页面的“保存的申请”文本框中，然后单击“提交”，并通告 CA 已提交证书申请，等待 CA 颁发证书。 • CA 为服务器颁发证书在服务器提交了证书申请后，CA 在“管理工具”｜“证书颁发机构”中单击左侧树状结构中的“挂起的申请”项，会看到服务器提交的证书申请。右键单击服务器提交的证书申请，选择“所有任务”｜“颁发”，为服务器颁发证书（这时“挂起的申请”目录中的申请立刻转移到“颁发的证书”目录中，双击查看为服务器颁发的证书）。通告服务器查看证书。（3）服务器（主机 B）安装证书 • 服务器下载、安装由 CA 颁发的证书通过 CA“证书服务主页”|“查看挂起的证书申请的状态”|“保存的申请证书”，进入“证书已颁发” 页面，分别点击“下载证书”和“下载证书链”，将证书和证书链文件下载到本地。在“默认网站”｜“属性”的“目录安全性”页签中单击“服务器证书”按钮，此时出现“Web 服务器证书向导”，单击“下一步”。选择“处理挂起的请求并安装证书”，单击“下一步”。在“路径和文件名”中选择存储到本地计算机的证书文件，单击“下一步”。在“SSL 端口”文本框中填入“443”，单击“下一步”直到“完成”。此时服务器证书已安装完毕，可以单击“目录安全性”页签中单击“查看证书”按钮，查看证书的内容，回答下面问题。证书信息描述：。颁发者：

《网络安全基黜》实验报告新疆大学信息科学与工程学院该页必须通过安全通道查看您试图访问的页面使用安全套接字层你5L)进行保护，请尝试以下操作 ·在您要访问的地址前键入ttps:/并按teP 证TP情误403.4-禁止访问：需委使用S3L查看该资源。 Internet信息服务S) 图1-1-3页而信息客户端启动协议分析器，设置过滤条件：仅捕获客户端与服务器间的会话通信，并开始捕获数据。客户端在E测览器地址栏中输入“httpsa:/务器P川"并确认，访问服务器b服务。此时会出现“安全警报”对话框提示“即将通过安全连接查看网页”，单击“确定”，又出现“安全警报”对话框询问“是否继续？”，单击“是”。此时客户端即可以访问服务器Wb页面了。访问成功后，停止协议分折器捕获，并在会话分类树中找到含有客户端与服务器1P地址的会话。在协议解析页面可观察到，服务器与客户端的©b通信过程是以密文实现的，如图1-1-4所示。 .j0.S.E. .U.k@-@.O .y.u.E.0x SYN ACKSYN ACK go(a· ,XRFEǒF 80:1216.0150 TCP DATA 2 TCP DATA 图1-1-4客户端与服务器间信息加密通信 3.双向认证（服务器和客户端均需身份认证） (1)服务器要求客户端身份认证服务器在“默认网站”〡“属性”的“目录安全性”页签中单击“编辑”按钮，选中“要求安全通道SS L”,并且“要求容户端证书”，单击“确定”按钮使设置生效。 (2)容户端访问服务器客户端在IE浏览器地址栏中输入“https:/服务器IP”访问服务器Web服务。此时弹出“安全警报” 对话框，提示“即将通过安全连接查看网页”，单击“确定”，又弹出“安全警报”对话框询问“是否继续” 单击“是”。出现“选择数字证书”对话框，但是没有数字证书可供选择。单击“确定”，页面出现提示“该页要求客户证书”。 6/8

《网铬安全基础》实验报告新疆大学信息科学与工程学院 (3)客户端（主机C)证书申请「注」客户端向CA进行证书申请时，要确保在当前时间CA已经成功拥有了自身的角色。 ·登录CA服务主页而客户端在确认CA已经启动了“证书颁发机构”服务后，通过IE浏览器访问http:/CA的IP certsrv/ 可以看到CA证书服务的主页面。客户端提交证书申请在主页面“选择一个任务”中单击“申请一个证书”，进入下一页面。在证书类型页面中选择“W浏览器证书”，进入下一页面。在“b浏览器证书-识别信息”页面中按信息项目填写自已的相关信息，下表是一个填写实例。信息填写内容姓名 userGr其中G为组编号1-32)，X为主机编号-F),如第2组主机F,其使用的用户名为user2F 电子邮件 userGAeCServer.Netlab 公司 Netlab 部门 PKI 市/县 Changchun 省 Jilin 国家（地址） CN 上述信息填写完毕后，单击“提交”按钮提交识别信息，当页面显示“证书挂起”倍息时，说明C已经收到用户的证书申请，但是用户必须等待管理员颁发证书。单击页面右上角的“主页”回到证书服务主页面。在“选择一个任务”中单击“查看挂起的证书申请的状态”进入下一页面，会看到“Wb浏览器证书（提交申请时间）”。单击自己的证书申请，这时会看到证书的状态依然是挂起状态。接下来请CA为客户端颁发证书， ·CA为客户端颁发证书通告客户端查看证书， ·客户端下载、安装证书链攻户端重新访问CA证书服务主页面，单击“查看挂起的证书申请的状态”，然后单击自己的证书申请，此时页面显示“证书已发”。单击“安装此证书”，对于弹出的“安全性警告”对话框选择“是”，这时页面显示信息“您的新证书已经成功安装”。 (4)客户端查看顾发证书 718

《网络安全基础》实验报告新疆大学信息科学与工程学院 7 / 8 （3）客户端（主机 C）证书申请「注」客户端向 CA 进行证书申请时，要确保在当前时间 CA 已经成功拥有了自身的角色。 • 登录 CA 服务主页面客户端在确认 CA 已经启动了“证书颁发机构”服务后，通过 IE 浏览器访问 http://CA 的 IP/certsrv/，可以看到 CA 证书服务的主页面。 • 客户端提交证书申请在主页面“选择一个任务”中单击“申请一个证书”，进入下一页面。在证书类型页面中选择“Web 浏览器证书”，进入下一页面。在“Web 浏览器证书 - 识别信息”页面中按信息项目填写自己的相关信息，下表是一个填写实例。信息填写内容姓名 userGX,其中 G 为组编号(1-32),X 为主机编号(A-F)，如第 2 组主机 F，其使用的用户名为 user2F 电子邮件 userGX@CServer.Netlab 公司 Netlab 部门 PKI 市/县 Changchun 省 Jilin 国家（地址） CN 上述信息填写完毕后，单击“提交”按钮提交识别信息，当页面显示“证书挂起”信息时，说明 CA 已经收到用户的证书申请，但是用户必须等待管理员颁发证书。单击页面右上角的“主页”回到证书服务主页面。在“选择一个任务”中单击“查看挂起的证书申请的状态”进入下一页面，会看到“Web 浏览器证书(提交申请时间)”。单击自己的证书申请，这时会看到证书的状态依然是挂起状态。接下来请 CA 为客户端颁发证书。 • CA 为客户端颁发证书通告客户端查看证书。 • 客户端下载、安装证书链客户端重新访问 CA 证书服务主页面，单击“查看挂起的证书申请的状态”，然后单击自己的证书申请。此时页面显示“证书已颁发”。单击“安装此证书”，对于弹出的“安全性警告”对话框选择“是”，这时页面显示信息“您的新证书已经成功安装”。（4）客户端查看颁发证书