openssl 生成多级X.509 v3 ECC公钥证书链完整示例

原创

已于 2022-03-03 01:10:58 修改 · 2.4k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#pki #openssl

于 2022-02-28 00:54:44 首次发布

本文档详细介绍了如何使用OpenSSL工具生成ECC（椭圆曲线加密）根证书、次级CA证书以及应用证书的完整流程。涉及的操作包括生成ECC密钥对、创建CSR请求、自签名证书以及使用次级CA签发证书。同时，展示了查看ECC密钥参数的方法。整个过程对于理解SSL证书的签发和验证过程至关重要。

工具版本

本示例使用的openssl版本：LibreSSL 2.8.3

操作步骤

1. 生成ECC根密钥对，自签名生成根证书。命令中的openssl.cnf 用于证书版本及证书扩展，文件具体内容请参考文末的链接3。

# 生成根CA公钥
openssl ecparam -out EccRootCA.key -name prime256v1 -genkey

# 生成证书CSR请求
openssl req \
-subj "/C=CN/ST=Shenzhen/L=Guangdong/O=Test Ltd/OU=Software Department/CN=root.test.com/emailAddress=root@test.com" \   
-new \
-key EccRootCA.key \
-out EccRootCA.csr

# 用根私钥签名CSR请求，生成自签名公钥证书
openssl x509 \
-req \
-days 365 \
-in EccRootCA.csr \
-signkey EccRootCA.key \
-sha256 \
-extfile openssl.cnf -extensions v3_ca \
-out EccRootCA.crt

2. 生成ECC 次级CA密钥对，用根CA签发次级CA证书。注意CSR请求中的CN（Common Name）不能与给它签发证书的CA的一样。

# 生成次级CA ECC密钥对
openssl ecparam -out Ecc2ndCA.key -name prime256v1 -genkey

# 生成证书CSR请求
openssl req \
-subj "/C=CN/ST=Shenzhen/L=Guangdong/O=Test Ltd/OU=Software Department/CN=2nd.test.com/emailAddress=2nd@test.com" \
-new \
-key Ecc2ndCA.key \
-out Ecc2ndCA