江苏龙网

  1. 主页 > 生活百科 > >

Linux环境下使用openssl生成https证书

https证书

要生成证书的目录下建立几个文件和文件夹，有
./demoCA/ ./demoCA/newcerts/ ./demoCA/private/ ./demoCA/index.txt (空文件，生成证书时会将数据记录写入) ./demoCA/serial （在serial文件中写入第一个序列号“01”，在生成证书时会以此递增) 概念：首先要有一个根证书，然后用根证书来签发用户证书 。
用户进行证书申请：一般先生成一个私钥，然后用私钥生成证书请求(证书请求里应含有公钥信息)，再利用证书服务器的根证书来签发证书 。
特别说明:
（1）自签名证书(一般用于顶级证书、根证书): 证书的名称和认证机构的名称相同.
（2）根证书：根证书是CA认证中心给自己颁发的证书,是信任链的起始点 。安装根证书意味着对这个CA认证中心的信任
数字证书则是由证书认证机构（CA）对证书申请者真实身份验证之后，用CA的根证书对申请人的一些基本信息以及申请人的公钥进行签名（相当于加盖发证书机构的公章）后形成的一个数字文件 。数字证书包含证书中所标识的实体的公钥（就是说你的证书里有你的公钥），由于证书将公钥与特定的个人匹配，并且该证书的真实性由颁发机构保证（就是说可以让大家相信你的证书是真的），因此，数字证书为如何找到用户的公钥并知道它是否有效这一问题提供了解决方案 。
openssl中有如下后缀名的文件
.key格式：私有的密钥
.csr格式：证书签名请求（证书请求文件），含有公钥信息，certificate signing request的缩写
.crt格式：证书文件，certificate的缩写
.crl格式：证书吊销列表，Certificate Revocation List的缩写
.pem格式：用于导出，导入证书时候的证书的格式，有证书开头，结尾的格式
常用证书协议
x509v3: IETF的证书标准
x.500:目录的标准
SCEP: 简单证书申请协议，用http来进行申请，数据有PKCS#7封装，数据其实格式也是PKCS#10的
PKCS#7: 是封装数据的标准，可以放置证书和一些请求信息
PKCS#10: 用于离线证书申请的证书申请的数据格式，注意数据包是使用PKCS#7封装这个数据
PKCS#12: 用于一个单一文件中交换公共和私有对象，就是公钥，私钥和证书，这些信息进行打包，加密放在存储目录中，CISCO放在NVRAM中，用户可以导出，以防证书服务器挂掉可以进行相应恢复 。思科是.p12,微软是.pfx
再说步骤：
生成CA私钥--》生成CA证书请求--》自签名得到根证书（CA给自已颁发的证书）
生成私钥--》生成证书请求--》通过CA签名得到证书
----------------------------------------------------------------------------------------
1.生成X509格式的CA自签名证书
$openssl req -new -x509 -keyout ca.key -out ca.crt $openssl rsa -in ca.key -out ca.key.unsecure //生成一个不需要口令保护的私钥,不推荐,可以于去除密码 * 对已生成csr请求的证书进行自签名的无交互全自动命令： $openssl -x509 -req -in csr/ca.csr -out newcerts/ca-cert.pem -signkey private/ca-key.pem -passin pass:999999 -days 3650 2.生成服务端的私钥(key文件)及csr 文件
$openssl genrsa -des3 -out server.key 1024 [无交互全自动：$openssl genrsa -des3 -passout pass:111111 -out server.key 1024] $openssl req -new -key server.key -out server.csr [无交互全自动：$openssl req -new -passin pass:111111 -key server.key -out server.csr -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=atco company/OU=IT/CN=it.atco.com/emailAddress=atco@163.com"] 3.生成客户端的私钥(key文件)及csr文件
$openssl genrsa -des3 -out client.key 1024 [无交互全自动：$openssl genrsa -des3 -passout pass:111111 -out client.key 1024] $openssl req -new -key client.key -out client.csr [无交互全自动：$openssl req -new -passin pass:111111 -key client.key -out client.csr -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=atco company/OU=IT/CN=it.atco.com/emailAddress=atco@163.com"] 4.用生成的CA的证书为刚才生成的server.csr,client.csr文件签名
$openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key $openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key [无交互全自动:$openssl ca -key 999999 -in client.csr -out client.crt -config confopenssl.cnf -batch] (说明:ca私钥及证书位置在confopenssl.cnf中指定,设置好了可不带-config参数,-key为ca私钥密码,-in为待签名证书申请文件,-out为输出证书文件,-batch表示输出无需人工干预，注意一个证书不可被签名多次，因为index文件中有记录，在此生成的.crt也可换成其它如.pem格式证书）
*进行CA签名获取证书时，需要注意国家、省、单位需要与CA证书相同，否则会报：
The countryName field needed to be the same in the CA certificate (cn) and the request (sh)


推荐阅读


上一篇：静态路由配置案例

下一篇：70种网络故障及解决办法