To:

Size: px

Start display at page:

Download "To:"

鸭祭危
5 years ago
Views:

1 教育部資料介接推廣專案 ( 大專校院學生學籍資料電子查驗服務 ) 版本 :1.8 中華民國 103 年 01 月

2 版本更新歷史版本日期撰寫人員描述備註 /10/25 客服團隊初版 /11/04 客服團隊 /12/3 客服團隊新增 CSR 產生程序新增介接自我驗測方式新增第 3. 章 SSL 憑證重要提醒 /12/06 客服團隊新增學號資料 /01/02 客服團隊 /01/09 客服團隊 /01/21 客服團隊 /01/24 客服團隊 /02/10 客服團隊新增第 2. 章回應內容 (Response) 資料新增第 2. 章回應內容 (Response) 資料修編第 2. 章回應內容 (Response) 資料新增第 2. 章情境測詴說明修編第 2. 章回應內容 (Response) 資料 i

3 目錄 1 概述文件目的系統介接架構與機制操作說明建立 WEB SERVER 選擇與安裝網頁程式語言建立資料交換介面提供大專校院學生學籍資料電子查驗服務資料介接應用程式查驗規則情境測詴說明如何產生 CSR 檔之程序 WINDOWS 2008 IIS 7 SSL 憑證請求檔 : IIS 6.0 伺服器憑證請求 APACHE 伺服器產生憑證請求檔 : 產生憑證請求檔將憑證請求檔存到儲存媒體, 完成製作憑證請求檔動作 WINDOWS 2000 SERVER + TOMCAT 5.5 版環境下之憑證請求檔產製程序確認 Tomcat server.xml 設定與 Java 版本如何產生金鑰對如何產製憑證請求檔 REDHAT ENTERPRISE 4 + ORACLE APPLICATION SERVER HTTP 介接自我驗測方式參考資料 ii

4 圖目錄圖 1-1: 系統介接架構圖... 1 圖 3-1: 開啟 INTERNET INFORMATION SERVICES (IIS) 管理員圖 3-2: 點選主機連線預設名稱 ( 預備申請與安裝 SSL 憑證的網站 ) 圖 3-3: 點選建立憑證要求圖 3-4: 輸入欄位資料圖 3-5: 選擇密碼編譯服務提供者圖 3-6: 指定檔案名稱與存放位置圖 3-7: 開啟 WINDOWS 2003 網際網路資訊服務 (IIS) 管理員圖 3-8: 選擇要製作憑證請求檔的網站圖 3-9: 切到目錄安全設定頁面圖 3-10: 開始製作 IIS 伺服器憑證請求檔圖 3-11: 以滑鼠點選建立新憑證圖 3-12: 以滑鼠點選準備要求, 但於稍後傳送圖 3-13: 名稱及安全設定圖 3-14: 公司資訊設定圖 3-15: 站台一般名稱設定圖 3-16: 地理資訊設定圖 3-17: 憑證要求檔案名稱設定圖 3-18: 檢視剛才各步驟所設定的值圖 3-19: 結束製作憑證請求檔動作圖 3-20:ENTER PEM PASS PHASE 圖 3-21: 輸入憑證主體資訊圖 3-22: 輸入憑證主體資訊圖 3-23: 指令檢視所產生的憑證請求檔 iii

5 圖 3-24: 產生金鑰對圖 3-25: 輸入上一個步驟所設定的密碼圖 3-26: 進入 BIN 資料夾圖 3-27: 找到 OWM 執行後開啟 ORACLE WALLET MANAGER 圖 3-28: 選擇新增 WALLET 或開啟舊有的 WALLET 圖 3-29: 新增憑證請求檔圖 3-30: 唯一識別資料填寫圖 3-31: 將憑證請求檔匯出以便申請憑證圖 3-32: 確認輸入資料是否有誤圖 3-33: 將憑證請求檔匯出圖 3-34: 選擇憑證請求檔之儲存路徑圖 3-35: 進行憑證匯入動作圖 3-36: 選擇要匯入的根憑證一圖 3-37: 選擇要匯入的根憑證二圖 3-38: 匯入中繼憑證一圖 3-39: 匯入中繼憑證二圖 3-40: 匯入中繼憑證三圖 3-41: 進行 SSL 憑證的匯入一圖 3-42: 進行 SSL 憑證的匯入二圖 3-43: 進行 SSL 憑證的匯入三圖 3-44: 憑證狀態為 READY 圖 3-45: 將整個憑證與私密金鑰打包圖 3-46: 請求新憑證包 iv

6 表目錄表 2-1: 目前現在市面上最普遍的 WEB SERVER 列表... 2 表 2-2: 目前現在市面上最普遍的網頁程式語言列表... 3 表 2-3: 查詢條件 (REQUEST) 參數與值說明列表... 4 表 2-4: 回應內容 (REPONSE) 參數與值說明列表... 5 表 2-5: 常見的 HTTP 錯誤碼表... 7 v

7 1 概述 1.1 文件目的依據行政院研究發展考核委員會第四階段電子化政府之計畫案, 提供民眾有感便捷服務之目標, 辦理跨機關大專院校學生學籍資料電子查驗機制之建置, 簡化學籍查驗流程縮短作業時效, 並減少民眾重複提供學籍證明資料, 達到基層機關公務人員主動迅速的提供電子化政府網路便民服務, 創造全民參與社會運作機會, 完成政府與民眾最後一哩的服務連結目標為便利各機關有效運用各項重要基礎建設, 快速回應民眾需求, 擬推廣學籍資料電子查驗機制服務為協助學校建置時, 排解處理所遇到的問題, 故提供架構性操作步驟教學及提醒執行所需注意的相關事項等讓學校透過文件能更輕易理解建置介接機制, 順利完成元件建置與資訊提供 1.2 系統介接架構與機制學校與電子化政府服務平臺介接機制為學校建置 web-server( 以下簡稱 LS), 並將查驗機關所需查驗之學生最新就學狀態資料, 查驗規則由 SSL 連線方式傳輸, 資料格式則以 JSON 方式回傳至電子化政府服務平臺 ( 以下簡稱 LI) 圖 1-1: 系統介接架構圖 1

8 2 操作說明為結合行政院研究發展考核委員會電子化政府服務平臺, 提供行政院勞工委員會衛生福利部每月辦理大專院校學生學籍資料電子查驗作業, 將推動公私立大專校院與電子化政府服務平臺進行學生學籍資料查詢介接已針對學校機關提供介接服務之操作步驟概分建立 Web Server 安裝網頁程式語言及建立資料交換應用程式等三項, 以提供跨機關學生學籍資料電子查驗之服務 2.1 建立 Web Server Web Server ( 網站伺服器 ) 是 WWW 網路的基礎, 一個最簡單的 Web Server 之功能包含下列三個步驟 : 接收瀏覽器所傳來的網址取出相對應的檔案及將檔案內容傳回給瀏覽器然而, 在這個接收與傳回的過程中, 所有的資訊都必頇遵照固定的格式, 規範這個接收 / 傳送格式的協定, 本案需採用超文字傳輸安全協定 ( 縮寫 :HTTPS, 英語 :Hypertext Transfer Protocol Secure)[ 參考資料 1.] 超文字傳輸安全協定是超文字傳輸協定和 SSL/TLS 的組合, 用以提供加密通訊及對網路伺服器身份的鑒定 HTTPS 連線經常被用於全球資訊網上的交易支付和企業訊息系統中敏感訊息的傳輸 [ 參考資料 2.] 目前現在市面上最普遍的 Web Server 包含 Apache IIS Tomcat 等 ( 如表 2-1 所示 ) [ 參考資料 3.], 可依目前所屬單位既有或熟悉的 Web Server 進行架設即可表 2-1: 目前現在市面上最普遍的 Web Server 列表 Web Server 名稱 Apache HTTP 伺服器開發公司 / 單位 Apache 軟體基金會 Internet Information Server(IIS) Microsoft Google Web Server Google 2

9 Web Server 名稱 nginx lighttpd 開發公司 / 單位 nginx 公司 lighttpd 公司 2.2 選擇與安裝網頁程式語言網頁程式設計是指使用網頁設計程序語言設計互動式的網頁, 又稱動態網頁, 動態網頁是指網頁的內容是否可根據某種條件的改變而自動改變, 如計數器就是動態的, 當有人點擊我們的網頁時, 計數器的值會自動增加 [ 參考資料 4] 本案採用網頁 POST 方法進行資料傳遞, 故需選擇一種網頁程式語言進行安裝與使用常見的網頁程式語言有 ASP ASPNET CGI PHP JSP Ruby 等 ( 如表 2-2 所示 ) [ 參考資料 5.~9.], 可依目前所屬單位既有或熟悉的網頁程式語言進行安裝與使用即可表 2-2: 目前現在市面上最普遍的網頁程式語言列表網頁程式語言 ASP ASP.NET JSP CGI Perl PHP Python Ruby 建議搭配使用的 Web Server IIS IIS Tomcat Lighttpd Apache Apache Apache Apache 2.3 建立資料交換介面為推動公私立大專校院與電子化政府服務平臺進行學生學籍資料查詢介接,LS 端需建立 Web Service API 提供 LI 跨機關介接最新學生學籍資料學生學籍資料電子查驗機關業務共區分五項 : 低收入戶 ( 衛福部 ) 中低收入 3

10 戶 ( 衛福部 ) 特殊境遇家庭各項扶助( 衛福部 ) 勞工保險失能及遺屬年金給付 ( 勞委會 ) 及國民年金保險遺屬年金給付 ( 勞委會 ) 學籍資料查驗內容為學生最新就學狀態資料, 查驗頻率則以每月為準 LS 端需先提供大專校院學生學籍資料電子查驗服務資料予 LI, 而後進行介接應用程式開發介接應用程式查驗規則則區分三類, 分別為查詢條件的說明回應內容的說明與錯誤代碼提供大專校院學生學籍資料電子查驗服務資料因介接資料之內容牽涉個人資料, 為確保傳遞資料之安全性,LI 端與 LS 端將設定 IP 白名單, 並以 SSL 加密傳輸協定方式進行資料介接 LS 端請依據教育部函文所附計畫書之附錄 3 大專校院學生學籍資料電子查驗服務檔案表進行填寫, 以傳送至 mei@mail.moe.gov.tw 信箱提供給 LI 進行設定介接應用程式查驗規則學生學籍資料電子查驗規則區分查詢條件回應內容及錯誤代碼三部分查詢條件為 LI 端送出相關參數給 LS 端查詢學籍資料, 而回應內容則為 LS 端將學籍資料回傳予 LI 端, 以完成電子查驗服務之介接查詢條件 (Request) LI 端將採用 Http Post Method 方式將參數值傳遞至 LS 端, 使用查詢方式及查詢鍵值兩參數進行查詢學生學籍資料, 查詢方式可使用本國或外籍兩值, 而查詢鍵值則可使用本國生身份證號及外籍生證號 ( 居留證號或護照號碼等 ) 兩種值, 如表 2-3 所示表 2-3: 查詢條件 (Request) 參數與值說明列表 4

11 參數名稱參數說明參數值域說明 queryby 查詢方式 ID 代表本國 MISC 代表外籍 key 查詢鍵值 queryby 若為 ID, 則代入本國身分證字號 queryby 若為 MISC, 則代入外籍生證號 ( 居留證號或護照號碼 ) 附註 : 參數名稱與參數值皆不區分大小寫回應內容 (Response) 當 LS 接收到 Http Post 值後, 將需依照查詢條件參數值的內容將正確的學籍資料回傳給 LI 回應方式為回傳一 JSON 格式資料,Content-type 顯示方式需設定為 json 格式, 編碼需使用 utf-8 [12] 例如於網頁程式語言中設定 'Content-Type: application/json; charset= utf-8' 參數包含查詢方式查詢鍵值學生最新就學狀態狀態日期四項參數之相關說明與值域, 如表 2-4 所示表 2-4: 回應內容 (Reponse) 參數與值說明列表參數名稱參數說明參數值域說明 queryby 查詢方式 ID 代表本國 MISC 代表外籍 key 查詢鍵值參數 queryby 若為 ID, 則代入本國身分證字號參數 queryby 若為 MISC, 則代入外籍生證號 ( 居留證號或護照號碼 ) results 查詢結果, 內學籍狀態資料 : 5

12 參數名稱參數說明參數值域說明含 1~N 組學籍狀態資料 "status": " 在學狀態 ", "studentid":" 學號 ", status 學生在學狀態 "date": " 狀態日期 " Active 代表在學復學 Suspend 代表休學 DropOut 代表退學轉學 Graduate 代表畢業 Keep 代表保留學籍 NotFound / NoFound 代表查無此人 studentid 學號學生學號資料 date 狀態日期格式採用 YYYYMMDD, Ex : 各在學狀態對應之日期如下 : Active: 入學日期 Suspend: 休學日期 Dropout: 退 ( 轉 ) 學日期 Graduate: 畢業日期 Keep: 空白 NotFound(NoFound): 空白附註 : 參數名稱與參數值皆不區分大小寫 JSON 格式符號需使用半形 6

13 範例格式如下 : { "queryby": " 查詢方式 ", "key": " 查詢鍵值 ", "results": [ { "status": " 在學狀態 ", "studentid": " 學號 ", "date": " 狀態日期 " }, { "status": " 在學狀態 ", "studentid": " 學號 ", "date": " 狀態日期 " } ] } 異常處理當 LS 端收到 LI 端之 Request 時, 若無法正常處理時, 需使用 HTTP Header 中的 Status Code 欄位回傳標準的 HTTP 錯誤碼, 如表 2-5 所示 [10] 400 (Bad Request) 代表當 LI 提供的 Request 格式不符規範時 ;500 (Internal Server Error) 代表當 LS 內部運作發生錯誤時表 2-5: 常見的 HTTP 錯誤碼表錯誤碼說明錯誤碼說明 400 Bad request 請求失敗 403 Forbidden 禁止瀏覽 7

14 401 Unauthorized 未經過認 404 資源找不到證 500 Server 內部發生錯誤 504 閘道逾時 2.4 情境測詴說明客服團隊將會發送不同的測詴資料至校方系統, 以便檢測校方回傳資料是否正確情境測示範例與校方應回傳結果, 詳如表 2-6 所示藍色字體的部分為不區分大小寫測詴, 紅色字體部分為參數名稱與參數值錯誤測詴表 2-6: 情境測示說明表項目測詴 1 測詴 2 測詴 3 範例 queryby'=>"id",'key'=>"t " queryby'=>"id", 'key'=>"t " queryby'=>"misc", 'key'=>"t " http status code 測詴 4 queryby'=>"misc", 'key'=>"t " 200 測詴 5 'queryby'=>"xx", 'key'=>"t " 400 測詴 6 'QueryBy'=>"ID", 'Key'=>"T " 200 測詴 7 'queryby'=>"id", 'XXX'=>"T " 400 測詴 8 'queryby'=>"xxx", 'XXX'=>"T " 400 測詴 9 'XXXX'=>"MISC", 'key'=>"t " 400 測詴 10 'queryby'=>"id", 'key'=>"" 400 測詴 11 'queryby'=>"misc", 'key'=>"" 400 測詴 12 'queryby'=>"", 'key'=>"" 400 測詴 13 'queryby'=>"", 400 json string 依文件規範依文件規範依文件規範依文件規範依文件規範 content type application/json; charset=utf-8 application/json; charset=utf-8 application/json; charset=utf-8 application/json; charset=utf-8 application/json; charset=utf-8 8

15 項目範例 'key'=>"t " http status code json string content type 測詴 1 測詴 3 為正常測詴, 應回傳正確的 json string 結果 ex: { "queryby":"id", "key":"t ", "results": [ { "status":" 在學狀態 ", "studentid":"", "date":"" } ] } 測詴 2 測詴 4 測詴 6 為參數名稱與參數值不區分大小寫測詴, 應回傳正確的 json string 結果 ex: { "queryby":"id", "key":"t ", "results": [ { "status":" 在學狀態 ", "studentid":"", "date":"" } ] } 測詴 5 測詴 7 測詴 8 測詴 9 為參數名稱與參數值不符規定, 請回傳 http status code :400 不應回傳 json string content type 測詴 10 測詴 11 測詴 12 測詴 13 為參數值空值測詴, 請回傳 http status code :400 不應回傳 json string content type 9

16 3 如何產生 CSR 檔之程序 1 以下為相關伺服器憑證請求檔產生說明 [11], 請參考 3.1 Windows 2008 IIS 7 SSL 憑證請求檔 : 1 點選開始系統管理工具 Internet Information Services (IIS) 管理員, 如圖 3-1 所示 : 圖 3-1: 開啟 Internet Information Services (IIS) 管理員 10

17 2 點選主機連線預設名稱 ( 預備申請與安裝 SSL 憑證的網站 ), 再點選畫面右邊伺服器憑證, 如圖 3-2 所示 : 圖 3-2: 點選主機連線預設名稱 ( 預備申請與安裝 SSL 憑證的網站 ) 3 點選建立憑證要求, 如圖 3-3 所示 : 圖 3-3: 點選建立憑證要求 4 輸入以下所有欄位資料, 輸入完成後點點選下一步, 如圖 3-4 所示 : 11

18 圖 3-4: 輸入欄位資料 5 選擇密碼編譯服務提供者 Microsoft RSA SChannel Cryptographic Provider, 金鑰長度選擇 2048 位元請注意依照國際密碼學趨勢, 請使用 2048 位元 ( 含 ) 以上金鑰長度, 如圖 3-5 所示 : 圖 3-5: 選擇密碼編譯服務提供者 12

19 6 指定要儲存憑證請求檔檔案名稱與存放位置, 確認後點選完成, 如圖 3-6 所示 : 圖 3-6: 指定檔案名稱與存放位置 7 此時憑證請求檔 (certreq.txt) 製作完成, 使用憑證請求檔至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證 8 若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 13

20 3.2 IIS 6.0 伺服器憑證請求 1 開啟 Windows 2003 網際網路資訊服務 (IIS) 管理員開始所有程式網際網路資訊服務 (IIS) 管理員, 如圖 3-7 所示 : 圖 3-7: 開啟 Windows 2003 網際網路資訊服務 (IIS) 管理員 14

21 2 選擇將申請與安裝 SSL 憑證的網站, 進行產生憑證請求檔相關步驟選擇您要製作憑證請求檔的網站, 按滑鼠右鍵選內容, 如圖 3-8 所示 : 圖 3-8: 選擇要製作憑證請求檔的網站 3 切到目錄安全設定頁面, 以滑鼠按下伺服器憑證按鈕, 如圖 3-9 圖 3-9: 切到目錄安全設定頁面 15

22 4 接著畫面會到歡迎使用網頁伺服器憑證精靈視窗, 以滑鼠按下下一步按鈕, 開始製作 IIS 伺服器憑證請求檔, 如圖 3-10 圖 3-10: 開始製作 IIS 伺服器憑證請求檔 5 接著畫面會到伺服器憑證視窗, 以滑鼠點選建立新憑證, 接著以滑鼠按下下一步按鈕, 如圖 3-11 圖 3-11: 以滑鼠點選建立新憑證 16

名稱 (M) 欄位後並輸入網站名稱, 接著以滑鼠點選位元長度 (H) 為 2048 後, 接著以滑鼠按下下一步按鈕

23 6 接著畫面會到延遲或立即要求視窗, 以滑鼠點選準備要求, 但於稍後傳送 (P), 接著以滑鼠按下下一步按鈕, 如圖 3-12 圖 3-12: 以滑鼠點選準備要求, 但於稍後傳送 7 接著畫面會到名稱及安全設定視窗, 以滑鼠點選名稱 (M) 欄位後並輸入網站名稱, 接著以滑鼠點選位元長度 (H) 為 2048 後, 接著以滑鼠按下下一步按鈕請注意依照國際密碼學趨勢, 請使用 2048 位元 ( 含 ) 以上金鑰長度, 如圖 3-13 圖 3-13: 名稱及安全設定 17

公司資訊設定 9 接著畫面會到您站台的一般名稱視窗, 以滑鼠點選一般名稱 (C) 欄位後, 並輸入公用名稱

24 8 接著畫面會到公司資訊視窗, 以滑鼠點選公司 (O) 欄位後並輸入組織名稱或公司名稱, 接著以滑鼠點選單位 (U) 欄位後並輸入組織或公司的單位名稱, 接著以滑鼠按下下一步按鈕, 如圖 3-14 圖 3-14: 公司資訊設定 9 接著畫面會到您站台的一般名稱視窗, 以滑鼠點選一般名稱 (C) 欄位後, 並輸入公用名稱 ( 即站台的網站名稱 ), 接著以滑鼠按下下一步按鈕, 如圖 3-15 圖 3-15: 站台一般名稱設定 18

接著以滑鼠按下下一步按鈕, 如圖 3-16 圖 3-16: 地理資訊設定 11 接著畫面會到憑證要求檔案名稱視窗, 接著以滑鼠點選檔案名稱 (F)

25 10 接著畫面會到地理資訊視窗, 接著以滑鼠點選國家 ( 地區 )(C), 以滑鼠點選 TW( 台灣 ), 接著以滑鼠點選州 / 省 (S) 欄位後依照所在地輸入正確的省名稱, 如圖為輸入台灣省, 接著以滑鼠點選城市 / 位置 (L) 欄位後依照所在地輸入正確的城市名稱, 如圖為輸入台北市, 接著以滑鼠按下下一步按鈕, 如圖 3-16 圖 3-16: 地理資訊設定 11 接著畫面會到憑證要求檔案名稱視窗, 接著以滑鼠點選檔案名稱 (F) 欄位後並輸入路徑及要存的檔案名稱, 如下圖所示, 通常都是依照如下圖之預設值路徑及檔案名稱存放, 接著以滑鼠按下下一步按鈕, 如圖 3-17 圖 3-17: 憑證要求檔案名稱設定 19

26 12 接著畫面會到要求的檔案摘要視窗, 檢視剛才各步驟所設定的值是否無誤, 如果沒有問題, 接著以滑鼠按下下一步按鈕, 如圖 3-18 圖 3-18: 檢視剛才各步驟所設定的值 13 接著畫面會到正在完成網頁伺服器憑證精靈視窗, 按下完成後, 結束製作憑證請求檔動作, 如圖 3-19 圖 3-19: 結束製作憑證請求檔動作 20

14 請使用憑證請求檔 (certreq.txt) 至中華電信通用憑證管理中心網站 (http://publicca.hinet.net/) 依照網頁說明申請 SSL 憑證 15 若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3.

27 14 請使用憑證請求檔 (certreq.txt) 至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證 15 若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3.3 Apache 伺服器產生憑證請求檔 : 產生憑證請求檔產生憑證請求檔需使用 openssl 工具, 此工具通常安裝在 /usr/local/ssl/bin 目錄下 ( 可以使用 $ find / -name openssl print 指令找到您安裝的目錄, 請確定您已經安裝成功再執行下列指令 ) 產生以 3-DES 加密,PEM 格式的私密金鑰 ( 長度需為 2048 位元 ) 執行 openssl 程式如下 : $ openssl genrsa -des3 -out server.key 執行完畢後會產生私密金鑰檔案, 檔名為 server.key, 請您將此檔案備份, 執行過程會要求您輸入密碼 (pass phrase) Enter PEM pass phase: 一定要牢記此密碼, 日後每次啟動 SSL 通訊模式時均會用到, 如圖 3-20: 圖 3-20:Enter PEM pass phase 21

3.3.1.3 產生憑證請求檔 $openssl req -new -key server.key -out certreq.txt 執行過程會要求輸入密碼, 完畢後會產生憑證請求檔, 檔名為 certreq.

28 產生憑證請求檔 $openssl req -new -key server.key -out certreq.txt 執行過程會要求輸入密碼, 完畢後會產生憑證請求檔, 檔名為 certreq.txt 請輸入憑證主體資訊放入憑證申請檔中, 不過 PublicCA 網站 SSL 憑證申請頁面將擷取您憑證請求檔的公開金鑰數值, 以下憑證主體資訊仍以 PublicA 網頁投單所填資訊進行身分審驗, 如圖 3-21 圖 3-22 Country Name:TW State or Province Name: Locality Name: 城市 ( 如 :Taipei) Organization Name: 組織名稱 ( 如 :CHT) Organizational Unit Name: 單位名稱 ( 如 :Information) Common name: 網站名稱 ( 如 : address: 伺服器管理者電子郵件 ( 如 :abc@abc.com.tw) challenge password: 不需輸入, 按 enter 鍵略過 optional company name: 不需輸入, 按 enter 鍵略過圖 3-21: 輸入憑證主體資訊圖 3-22: 輸入憑證主體資訊 22

29 檢視憑證請求檔您可使用下面指令檢視所產生的憑證請求檔 : $openssl req -noout -text -in certreq.txt 請求檔內容範例如圖 3-23: 圖 3-23: 指令檢視所產生的憑證請求檔 23

30 3.3.2 將憑證請求檔存到儲存媒體, 完成製作憑證請求檔動作請持憑證請求檔至中華電信通用憑證管理中心網站 (http: //publicca.hinet.net/) 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請持憑證請求檔從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3.4 Windows 2000 Server + Tomcat 5.5 版環境下之憑證請求檔產製程序整個程序包含三個部份 : 一確認 Tomcat server.xml 設定與 Java 版本二如何產生金鑰對三如何產製憑證請求檔確認 Tomcat server.xml 設定與 Java 版本啟動 Tomcat SSL 通訊, 要確認再 tomcat_home\conf\server.xml 中, 是否有把 SSL PORT 打開確認 https 是否為 true 由於 Tomcat 的底層是 Java, 如果其所使用的 Java(JDK) 版本是 1.5 版以前的版本, 將無法安裝 eca 憑證, 因為舊版的 Java 最多只支援 2048 bits 的金鑰長度, 這將造成 Java Keystore 不會將 eca 憑證 PublicCA 憑證及 SSL 憑證視為一個憑證串鏈, 結果在 SSL Handshake 中,PublicCA 憑證就不會被送到 Client 端請使用最新版本的 Java(JDK) 版本如何產生金鑰對由開始執行輸出 cmd 確認在 tomcat_home\bin 目錄下, 執行 keytool -genkey -alias tomcat -keyalg RSA -keysize 2048 請注意依照國際密碼學趨勢, 請使用 2048 位元 ( 含 ) 以上金鑰長度出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入一個密碼, 用以保護此儲存庫出現您的名字與姓氏為何? : 請填入欲申請的網站名稱 ex: 出現您的組織單位名稱為何? : 請填入公司單位名稱出現您的組織名稱為何? : 請填入公司名稱出現您所在的城市或地區名稱為何? : 請填入公司所在地出現您所在的州及省份名稱為何? : 可以不用輸入, 按 Enter 跳過出現此單位的兩個字母國別代碼為何? : 請填入 TW 檢查所輸入的資料是否正確, 若正確, 請輸入 Y 出現輸入 <tomcat> 的金鑰密碼 : 請輸入一個密碼, 用以保護金鑰密碼, 如圖

$3.4.3 如何產製憑證請求檔圖 3-24: 產生金鑰對在 tomcat_home\bin 下, 執行下列程式 : 如圖 3-25 keytool -certreq -alias tomcat file certreq.txt 圖 3-25: 輸入上一個步驟所設定的密碼出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入上一個步驟所設定的密碼產生的憑證請求檔 (certreq.$

31 3.4.3 如何產製憑證請求檔圖 3-24: 產生金鑰對在 tomcat_home\bin 下, 執行下列程式 : 如圖 3-25 keytool -certreq -alias tomcat file certreq.txt 圖 3-25: 輸入上一個步驟所設定的密碼出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入上一個步驟所設定的密碼產生的憑證請求檔 (certreq.txt) 在 tomcat_home\bin 目錄下, 使用憑證請求檔至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請持憑證請求檔從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3.5 Redhat Enterprise 4 + Oracle Application Server HTTP 2.0 進入安裝 Oracle Applications Server 的路徑, 進入 bin 資料夾, 找到 owm 執行後開啟 Oracle Wallet Manager ( 圖 ) 25

32 圖 3-26: 進入 bin 資料夾圖 3-27: 找到 owm 執行後開啟 Oracle Wallet Manager 可以從左邊的 ICON 選擇新增 Wallet 或開啟舊有的 Wallet, 此說明以新增一個 New Wallet 說明 ( 圖 3-28) 圖 3-28: 選擇新增 Wallet 或開啟舊有的 Wallet 26

新增 Wallet 後, 會問要不要順便產製一個新的憑證請求檔 ( 一種包含伺服器公鑰與基本資訊, 以利進行憑證申請的檔案 ), 也可稍候在圖形介面上方的 Function Bar > Operations 去新增憑證請求檔 ( 圖 3-29) 圖 3-29: 新增憑證請求檔進行 Wallet 所要求的 SSL 憑證申請的唯一識別資料填寫 PublicCA SSL

33 新增 Wallet 後, 會問要不要順便產製一個新的憑證請求檔 ( 一種包含伺服器公鑰與基本資訊, 以利進行憑證申請的檔案 ), 也可稍候在圖形介面上方的 Function Bar > Operations 去新增憑證請求檔 ( 圖 3-29) 圖 3-29: 新增憑證請求檔進行 Wallet 所要求的 SSL 憑證申請的唯一識別資料填寫 PublicCA SSL 憑證會採用憑證請求檔之公鑰資訊, 但不會使用下圖所填寫之資訊 ( 例如 Common Name Organizational Unit Organization Locality/City) 於所簽發之 SSL 憑證的資訊欄位中, 憑證註記之唯一識別資訊是以要於 PublicCA 網站之申請介面填寫並經過認證的資訊為主此介面右下方之金鑰長度 (key size) 可選取 1024 位元 2048 位元或 4096 位元, 請選取目前安全性較佳且符合各大瀏覽器或作業系統建議之 2048 位元 ( 含 ) 以上的金鑰長度 ( 圖 3-30) 圖 3-30: 唯一識別資料填寫 27

34 資料輸入完畢後, 請點選 OK, 系統會提示可以將憑證請求檔匯出以便申請憑證 ( 圖 3-31) 圖 3-31: 將憑證請求檔匯出以便申請憑證您可以點一下左邊的樹狀圖中 Certficate:[Requested] 確認一下剛才輸入的資料是否有誤 :( 圖 3-32) 圖 3-32: 確認輸入資料是否有誤點選上方 Operations > Export Certificate Request, 將憑證請求檔匯出 ( 圖 3-33) 28

35 圖 3-33: 將憑證請求檔匯出選擇憑證請求檔之儲存路徑, 在 Enter file name 的欄位打上匯出檔名 <filename>.csr( 圖 3-34) 圖 3-34: 選擇憑證請求檔之儲存路徑請將申請到的 SSL 伺服器憑證根憑證 (Root CA Certificate) 中繼憑證 (Intermedi CA Certificate) 存到任一目錄, 進行憑證匯入動作首先進行根憑證中繼憑證的匯入, 點選上方的 Operations > Import Trusted Certificate( 圖 3-35) 29

36 圖 3-35: 進行憑證匯入動作選擇要匯入的根憑證, 本操作範例之根憑證為 epki Root CA 憑證 (eca 自簽憑證 ): epkib64.cer( 隨核發憑證之電子郵件一同附在 ZIP 檔內 ), 或直接由 PublicCA 網站之儲存庫下載為 ROOT eca.cer( 圖 ) 圖 3-36: 選擇要匯入的根憑證一 30

37 圖 3-37: 選擇要匯入的根憑證二再次重複上述動作匯入中繼憑證, 本操作範例之中繼憑證為中華電信通用憑證管理中心的 CA 憑證, 檔名為 pubcab64.cer( 隨核發憑證一同附在 ZIP 檔內 ) 或直接由 PublicCA 網站之儲存庫下載為 PublicCA.cer( 圖 ) 圖 3-38: 匯入中繼憑證一 31

38 圖 3-39: 匯入中繼憑證二圖 3-40: 匯入中繼憑證三當根憑證與中繼憑證都匯入後, 請點選 Operations > Import User Certificate 進行 SSL 憑證的匯入, 此說明的憑證檔名為 CHT.cer( 圖 ) 32

39 圖 3-41: 進行 SSL 憑證的匯入一圖 3-42: 進行 SSL 憑證的匯入二 33

Certification Authority )( 圖 3-44) 圖 3-44: 憑證狀態為 Ready 請點選 Wallet >

40 圖 3-43: 進行 SSL 憑證的匯入三完成後可以看到憑證狀態為 Ready, 信任憑證區也多了一個剛剛匯入的根憑證 ( 如下圖顯示為 epki Root Certification Authority ) 與中繼憑證 ( 如下圖顯示為 Public Certification Authority )( 圖 3-44) 圖 3-44: 憑證狀態為 Ready 請點選 Wallet > Save, 將整個憑證與私密金鑰打包成 PKCS #12 格式的檔案, 存到您所設定原本擺放 wallet.p12 的目錄覆蓋之 ( 圖 3-45) 34

sso 的檔案存放在 Oracle Wallet Manager 的預設路徑 ( 以本範例來說存放於 /etc/oracel/wallets/oracle, 將該目錄下的 cwallet.sso 與 ewallet.

41 圖 3-45: 將整個憑證與私密金鑰打包若查驗發覺依舊為舊有憑證, 請再次透過 Oracle WalletManager 開啟剛剛存放 Wallet 的路徑叫出剛剛的憑證包, 點選 Wallet > Save in System Default( 圖 3-46) 圖 3-46: 請求新憑證包會發現有個 cwallet.sso 的檔案存放在 Oracle Wallet Manager 的預設路徑 ( 以本範例來說存放於 /etc/oracel/wallets/oracle, 將該目錄下的 cwallet.sso 與 ewallet.p12 複製後存放於您系統設定的 SSL 路徑 ( 以本範例來說存放於 /home/oracle/product/ /companioncdhome_1/ohs/conf/ssl.wlt/default 本範例的 SSL 設定檔位置於 /home/oracle/product/ /companioncdhome_1/ohs/conf/ssl.conf 35

42 4 介接自我驗測方式實作一個 form 表單,method 為 post,queryby key 為帶入要驗測程式的參數,api_file_name 放置要驗測的程式檔名, 即可自我驗測範例如下 : <form id="apifrom" name="apifrom" method="post" action = "api_file_name"> <font style="font-size:12px"> 查詢方式 :</font> <select id="queryby" name="queryby"> <option value ="ID" selected >ID</option> <option value ="MISC" > MISC </option> </select> <font style="font-size:12px">( 查詢方式有 ID/MISC 可選擇, 預設為 ID;ID 代表本國國人 ;MISC 代表可識別之外籍人士 )</font> <br><br> <font style="font-size:12px"> 查詢鍵值 :</font> <input name="key" id="key" type="text" value="t " > <font style="font-size:12px">( 根據上方查詢方式來輸入內容, 若查詢方式選擇 ID, 此欄位請輸入 10 碼身分證號 ; 若選擇 MISC, 此欄位可任意輸入, 無格式限制 )</font> <br><br> <input type="submit" name="button" value=" 查詢 " /> </form> 36

43 5 參考資料 1. 如何設計簡單的 WebServer?, 2. 維基百科, 3. 維基百科, BA%E6%9C%8D%E5%99%A8 4. 維基百科, E5%BC%8F%E8%A8%AD%E8%A8%88 5. 維基百科, 6. 維基百科, 7. 維基百科, 8. Ruby on Rails 實戰聖經, 9. Step by Step 建立線上書籤, HTTP 錯誤碼, 中華電信通用憑證管理中心, 12.JSON 與 JavaScript 的 Header Content-Type, 37

SSL 數位憑證 OpenVPN 安裝說明

SSL 數位憑證 OpenVPN 安裝說明目錄一產生憑證請求檔... 1 二憑證安裝... 3 1. 安裝憑證 - Server 端... 3 [ CentOS or RedHat ]... 3 [ Windows ]... 3 2. 安裝憑證 - Client 端... 4 [ CentOS or RedHat ]... 4 [ Windows ]... 4 三憑證匯出 ( 伺服器憑證匯出