乐趣区

关于开源:Tengine-BabaSSL-让国密更易用

jiezi


文|杨洋（花名：凯申 )

蚂蚁团体高级技术专家

负责密码学工程能力建设、BabaSSL 开源社区建设

本文 2366 字 浏览 5 分钟

近日，国内驰名 Web 服务器和反向代理开源软件 TengineBabaSSL 实现了对 BabaSSL 的适配工作。

Tengine 对 BabaSSL 提供的非凡 API 进行了适配，并减少对 NTLS 相干能力的反对。

「具体 Pull Request 请见」：https://github.com/alibaba/tengine/pull/1595

至此，对我国明码行业相干平安通信协议，有应用需要的用户能够间接应用 Tengine + BabaSSL 的组合。而无需额定的 patch 或者代码改变，从用户应用的角度进一步晋升了便利性。

PART. 1 NTLS

目前，我国明码行业中有两个次要的通信协议相干的技术标准。一个是由信安标委于 2020 年公布的 TLCP 协定，即传输层明码协定；另外一个则是由密标委在 2012 年公布的 GM/T 0024《SSL VPN 技术规范》（以下简称 0024）。

TLCP 和 0024 的具体内容差异不大，均是从 TLS 协定倒退而来，他们的次要特点是将商用明码算法 SM2、SM3 和 SM4 利用到了 TLS 协定中，并应用 SM2 密钥替换机制替换掉了 TLS 协定原有的密钥替换流程。

TLCP 和 0024 另外一个显著的特点将 TLS 协定中应用的数字证书拆分成了加密和签名两种用处的证书，加密证书和签名证书以及对应私钥均须要进行配置应用，所以 TLCP 和 0024 也俗称“国密双证书”协定。

BabaSSL 对上述国密双证书协定进行了反对，并统称为 NTLS。

NTLS 的全名为 National TLS，即我国核准的传输层平安协定，所以也能够叫做国密 TLS。

由此可见，NTLS 并不是指某一种具体的合乎商用明码相干技术标准要求的网络协议，而是多个协定的统称。在 BabaSSL 中代指 TLCP 和 0024 国密双证书协定，因为 NTLS 和规范 TLS 协定存在工作形式的不同，因而 BabaSSL 中减少了一些新的 API 来对其进行反对。而应用程序若想应用 NTLS 性能，就须要调用这些新增 API，给现有基于 OpenSSL API 进行适配的应用程序带来了额定的开发工作量。

PART. 2 Tengine + BabaSSL

Tengine 是由淘宝网发动的 Web 服务器我的项目，它在 Nginx 的根底上，针对大访问量网站的需要，增加了很多高级性能和个性。

Tengine 的性能和稳定性曾经在大型的网站 (如淘宝网，天猫商城等) 失去了很好的测验。它的最终目标是打造一个高效、稳固、平安、易用的 Web 平台。

Tengine 作为国内出名的开源 Web 服务器软件，在各畛域均失去了宽泛的应用且享有很高的知名度。

BabaSSL 是一款笨重、灵便且靠谱的密码学和 TLS 协定工具集。BabaSSL 是蚂蚁团体和阿里团体的各次要业务中所应用的底层明码库，目前开源进去供业界应用。BabaSSL 宽泛的利用在包含网络、存储、挪动端 App 等场景中。

Tengine 来源于 Nginx，所以默认应用的是 OpenSSL。此次 Tengine 针对 BabaSSL 中的 NTLS 性能进行了适配，用户如果抉择应用 BabaSSL 作为 Tengine 的底层明码库来实现通信加密的能力，则能够无需对 Tengine 进行任何代码改变，原生开启 NTLS 能力。

PART. 3 Tengine 启用 NTLS

具体来说，此次在 Tengine 中减少了几个新的指令，对 NTLS 进行反对。

1. 下载 BabaSSL 和 Tengine

  • 返回 👇 下载 BabaSSL 的源代码包:

https://github.com/BabaSSL/BabaSSL/releases

  • 返回 👇 获取 Tengine 的最新代码:

「git clone」

https://github.com/alibaba/tengine.git

2. 编译 BabaSSL 和 Tengine

应用如下配置：

./configure --add-module=modules/ngx_openssl_ntls \
    --with-openssl=../path/to/BabaSSL \
    --with-openssl-opt="--strict-warnings enable-ntls" \
    --with-http_ssl_module --with-stream \
    --with-stream_ssl_module --with-stream_sni

3. 配置 Tengine 开启 NTLS

一个开启了 NTLS 的 Tengine 配置文件的例子：

worker_processes  1;
events {worker_connections  1024;}
http {
    include       mime.types;
    default_type  application/octet-stream;
    server {
        listen       443 ssl;
        server_name  localhost;
        enable_ntls  on;
        ssl_sign_certificate        server_sign.crt;
        ssl_sign_certificate_key    server_sign.key;
        ssl_enc_certificate         server_enc.crt;
        ssl_enc_certificate_key     server_enc.key;
        location / {return 200 "body $ssl_protocol:$ssl_cipher";}
    }
}
stream {
     server {
        listen       8443 ssl;
        enable_ntls  on;
        ssl_sign_certificate        server_sign.crt;
        ssl_sign_certificate_key    server_sign.key;
        ssl_enc_certificate         server_enc.crt;
        ssl_enc_certificate_key     server_enc.key;
        return "body $ssl_protocol:$ssl_cipher";
    }
}

4. 测试 NTLS

能够应用 BabaSSL 的 s_client 工具对开启了 NTLS 的 Tengine 进行测试。

「具体能够参考」：

https://babassl.readthedocs.io/zh/latest/Tutorial/SM/ntls/

PART. 4 总 结

随着互联网业务的倒退，在新期间下，数据成为了影响人们失常生存的外围因素。

因而数据安全和个人信息爱护等问题变得更加须要器重，国家近期也针对数据安全畛域进行了相干立法。

密码学技术作为整个信息安全畛域的根底技术能力，对数据安全也存在着很大的影响。同时明码行业是属于受到国家强监管的行业，其相干技术的利用和施行均有肯定的特殊性。

BabaSSL 作为一个开源的明码库，其外围指标之一就是为用户提供合规的技术能力，使得用户在符合要求的状况下能够更加便捷的将国家核定的技术标准利用起来。从而在满足技术合规的要求，也同时实现了对数据安全需要的达成。

Tengine 作为国内驰名的 Web 服务器和反向代理开源软件，在国内各行业的利用非常宽泛，同时也是网络通信畛域中实现对数据进行加密的要害开源软件。此次 Tengine 官网对 BabaSSL 进行适配和反对，让用户能够更加便捷的应用 BabaSSL 所提供的商用明码能力，也必将进一步的扩充各行业对商用明码算法的利用落地。

BabaSSL 在将来会继续在技术合规和前沿密码学等方向上继续演进，给宽广用户带来高效、易用、平安、稳固的密码学根底库。

BabaSSL 的代码目前托管在 Github 上：https://github.com/BabaSSL/BabaSSL

欢送宽广开发者积极参与到 BabaSSL 的建设中，为我国明码行业的发展壮大贡献力量！

本周举荐浏览

TLS 握手带宽直降 80%，BabaSSL 是怎么做到的

RFC8998+BabaSSL— 让国密驶向更远的星辰大海

还在为多集群治理懊恼吗？OCM 来啦！

一行升高 100000kg 碳排放量的代码！

退出移动版