证书签发openssl

最新推荐文章于 2025-04-02 09:58:31 发布
最新推荐文章于 2025-04-02 09:58:31 发布
阅读量302 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： Debian 网络应用 算法 网络协议 脚本
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/iteye_10981/article/details/81927926
本文介绍如何使用OpenSSL建立私有证书颁发机构(CA)及签发证书的详细步骤，包括创建CA目录结构、生成CA密钥对、自签CA证书、生成用户证书请求及签发用户证书。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

基于 OpenSSL 的 CA 建立及证书签发

默认分类 2008-01-16 23:26:13 阅读4075 评论0   字号：大 中 小   订阅

版权所有，如需转载请注明出处

前段时间研究了一下 SSL/TLS ，看的是 Eric Rescorla 的 SSL and TLS - Designing and Building Secure Systems 的中文版（关于该中文版的恶劣程度，我在之前的一篇 Blog 中已做了严厉的批判）。本书的作者沿袭了 Stevens 在其神作 TCP/IP Illustrated 中的思想：使用网络嗅探进行协议演示。不同的是，作者并没有使用 tcpdump ，而是使用了自己编写的专用于嗅探 SSL/TLS 通讯的 ssldump 。为了对书中的一些内容进行试验确认，我决定使用 ssldump 进行一些实验。然而，进行 SSL/TLS 通讯，至少需要一份 CA 签发的证书才可以得以完成，仅仅是做个实验，我自然不会花天价去买个证书，所以决定自己建 CA 签发证书。

然而，到今天为止，我也没有能够成功地利用 ssldump 嗅探出一个 SSL/TLS 通讯包。为啥？只因为用 OpenSSL 建立 CA 签发证书的过程太麻烦了，以至于我忙活了好久才勉强建了个 CA ，之后又由于其他的事情，耽搁了 ssldump 的实验，于是就一直没有下文了。

什么？有免费的知名 CA 可以提供证书？咳……这个，我也是事后才知道的……不过，利用 OpenSSL 建立 CA 及自行签发证书的过程倒是很值得一写。 OpenSSL 的 ca 命令实在是难用，难怪 ca (1) 的 manpage 中这样写到：

WARNINGS

The ca command is quirky and at times downright unfriendly.

The ca utility was originally meant as an example of how to do things in a CA. It was not supposed to be used as a full blown CA itself: nevertheless some people are using it for this purpose.

The ca command is effectively a single user command: no locking is done on the various files and attempts to run more than one ca command on the same database can have unpredictable results.

看来，我们这些非要用 OpenSSL 来做 CA 的人本来就是自找麻烦。不过，虽然 OpenSSL 的用户界面让人望而却步，就其功能而言，恐怕是各个相关 FOSS 产品中最为完备的一款，加之获取方便，在 Debian 下直接 aptitude install openssl 便可以安装， Win32 下的话，也可以方便地从在 cygwin 官方镜像站上获取。况且，作为信息安全方面的新手，我对其他相关产品也是一无所知。所以，还是硬着头皮去啃 OpenSSL 的 man 手册。利用了两三天的闲暇时间，在 kghost 的帮助下，我终于掌握了要点。下文便详细记录了基于 OpenSSL 的 CA 建立及证书签发过程。

建立 CA

建立 CA 目录结构

按照 OpenSSL 的默认配置建立 CA ，需要在文件系统中建立相应的目录结构。相关的配置内容一般位于 /usr/ssl/openssl.cnf 内，详情可参见 config (1) 。在终端中使用如下命令建立目录结构：

$ mkdir -p ./demoCA/{private,newcerts}
$ touch ./demoCA/index.txt
$ echo 01 > ./demoCA/serial

产生的目录结构如下：

.
`-- demoCA/
    |-- index.txt
    |-- newcerts/
    |-- private/
    `-- serial

生成 CA 证书的 RSA 密钥对

首先，我们要为 CA 建立 RSA 密钥对。打开终端，使用如下命令生成 RSA 密钥对：

$ openssl genrsa -des3 -out ./demoCA/private/cakey.pem 2048

参数解释

genrsa

用于生成 RSA 密钥对的 OpenSSL 命令。

-des3

使用 3-DES 对称加密算法加密密钥对，该参数需要用户在密钥生成过程中输入一个口令用于加密。今后使用该密钥对时，需要输入相应的口令。如果不加该选项，则不对密钥进行加密。

-out ./demoCA/private/cakey.pem

令生成的密钥对保存到文件 ./demoCA/private/cakey.pem 。

2048

RSA 模数位数，在一定程度上表征了密钥强度。

该命令输出如下，用户应输入自己的密钥口令并确认：

Generating RSA private key, 2048 bit long modulus
................................................+++
.........................+++
e is 65537 (0x10001)
Enter pass phrase for ./demoCA/private/cakey.pem:<enter your pass-phrase>

Verifying - Enter pass phrase for ./demoCA/private/cakey.pem:<re-enter your pass-phrase>

生成 CA 证书请求

为了获取一个 CA 根证书，我们需要先制作一份证书请求。先前生成的 CA 密钥对被用于对证书请求签名。

$ openssl req -new -days 365 -key ./demoCA/private/cakey.pem -out careq.pem

参数解释

req

用于生成证书请求的 OpenSSL 命令。

-new

生成一个新的证书请求。该参数将令 OpenSSL 在证书请求生成过程中要求用户填写一些相应的字段。

-days 365

从生成之时算起，证书时效为 365 天。

-key ./demoCA/private/cakey.pem

指定 ./demoCA/private/cakey.pem 为证书所使用的密钥对文件。

-out careq.pem

令生成的证书请求保存到文件 careq.pem 。

该命令将提示用户输入密钥口令并填写证书相关信息字段，输出如下：

Enter pass phrase for ./demoCA/private/cakey.pem:<enter you pass-phrase>
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:ZJ
Locality Name (eg, city) []:HZ
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Some Ltd. Corp.
Organizational Unit Name (eg, section) []:Some Unit
Common Name (eg, YOUR name) []:Someone
Email Address []:some@email.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

对 CA 证书请求进行签名

在实际应用中，用户可以通过向知名 CA 递交证书请求来申请证书。但是在这里，我们需要建立的是一个根 CA ，只能由我们自己来对证书请求进行签名。所以我们让 OpenSSL 使用证书请求中附带的密钥对对该请求进行签名，也就是所谓的“ self sign ”：

$ openssl ca -selfsign -in careq.pem -out cacert.pem

参数解释

ca

用于执行 CA 相关操作的 OpenSSL 命令。

-selfsign

使用对证书请求进行签名的密钥对来签发证书。

-in careq.pem

指定 careq.pem 为证书请求文件。

-out ./demoCA/cacert.pem

指定 ./demoCA/cacert.pem 为输出的证书。

该命令要求用户输入密钥口令并输出相关证书信息，请求用户确认：

Using configuration from /usr/lib/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:<enter your pass-phrase>
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 2 (0x2)
        Validity
            Not Before: Jan 16 13:05:09 2008 GMT
            Not After : Jan 15 13:05:09 2009 GMT
        Subject:
            countryName = CN
            stateOrProvinceName = ZJ
            organizationName = Some Ltd. Corp.
            organizationalUnitName = Some Unit
            commonName = Someone
            emailAddress = some@email.com
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                75:F5:3C:CC:C1:5E:6D:C3:8B:46:A8:08:E6:EA:29:E8:22:7E:70:03
            X509v3 Authority Key Identifier:
                keyid:75:F5:3C:CC:C1:5E:6D:C3:8B:46:A8:08:E6:EA:29:E8:22:7E:70:03

Certificate is to be certified until Jan 15 13:05:09 2009 GMT (365 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

一步完成 CA 证书请求生成及签名

以上两个步骤可以合二为一。利用 ca 命令的 -x509 参数，通过以下命令同时完成证书请求生成和签名从而生成 CA 根证书：

$ openssl req -new -x509 -days 365 -key ./demoCA/private/cakey.pem -out ./demoCA/cacert.pem

参数解释

req

用于生成证书请求的 OpenSSL 命令。

-new

生成一个新的证书请求。该参数将令 OpenSSL 在证书请求生成过程中要求用户填写一些相应的字段。

-x509

生成一份 X.509 证书。

-days 365

从生成之时算起，证书时效为 365 天。

-key ./demoCA/private/cakey.pem

指定 cakey.pem 为证书所使用的密钥对文件。

-out ./demoCA/cacert.pem

令生成的证书保存到文件 ./demoCA/cacert.pem 。

该命令输出如下，用户应输入相应的字段：

Enter pass phrase for ./demoCA/private/cakey.pem:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:ZJ
Locality Name (eg, city) []:HZ
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Some Ltd. Corp.
Organizational Unit Name (eg, section) []:Some Unit
Common Name (eg, YOUR name) []:Someone
Email Address []:some@email.com

至此，我们便已成功建立了一个私有根 CA 。在这个过程中，我们获得了一份 CA 密钥对文件 ./demoCA/private/cakey.pem 以及一份由此密钥对签名的 CA 根证书文件 ./demoCA/cacert.pem ，得到的 CA 目录结构如下：

.
|-- careq.pem
`-- demoCA/
    |-- cacert.pem
    |-- index.txt
    |-- index.txt.attr
    |-- index.txt.old
    |-- newcerts/
    |   `-- 01.pem
    |-- private/
    |   `-- cakey.pem
    |-- serial
    `-- serial.old

注：如果在 CA 建立过程中跳过证书请求生成的步骤，则不会产生 careq.pem 文件。

签发证书

下面我们就可以利用建立起来的 CA 进行证书签发了。

生成用户证书 RSA 密钥对

参照 CA 的 RSA 密钥对生成过程，使用如下命令生成新的密钥对：

$ openssl genrsa -des3 -out userkey.pem
Generating RSA private key, 512 bit long modulus
....++++++++++++
...++++++++++++
e is 65537 (0x10001)
Enter pass phrase for userkey.pem:<enter your pass-phrase>
Verifying - Enter pass phrase for userkey.pem:<re-enter your pass-phrase>

生成用户证书请求

参照 CA 的证书请求生成过程，使用如下命令生成新的证书请求：

$ openssl req -new -days 365 -key userkey.pem -out userreq.pem
Enter pass phrase for userkey.pem:<enter your pass-phrase>
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:ZJ
Locality Name (eg, city) []:HZ
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Some Ltd. Corp.
Organizational Unit Name (eg, section) []:Some Other Unit
Common Name (eg, YOUR name) []:Another
Email Address []:another@email.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

签发用户证书

现在，我们可以用先前建立的 CA 来对用户的证书请求进行签名来为用户签发证书了。使用如下命令：

$ openssl ca -in userreq.pem -out usercert.pem

参数解释

ca

用于执行 CA 相关操作的 OpenSSL 命令。

-in userreq.pem

指定用户证书请求文件为 userreq.pem 。

-out usercert.pem

指定输出的用户证书文件为 usercert.pem 。

该命令要求用户输入密钥口令并输出相关证书信息，请求用户确认：

Using configuration from /usr/lib/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:<enter your pass-phrase>
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 2 (0x2)
        Validity
            Not Before: Jan 16 14:50:22 2008 GMT
            Not After : Jan 15 14:50:22 2009 GMT
        Subject:
            countryName               = CN
            stateOrProvinceName       = ZJ
            organizationName          = Some Ltd. Corp.
            organizationalUnitName    = Some Other Unit
            commonName                = Another
            emailAddress              = another@email.com
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                97:E7:8E:84:B1:45:27:83:94:A0:DC:24:79:7B:83:97:99:0B:36:A9
            X509v3 Authority Key Identifier:
                keyid:D9:87:12:94:B2:20:C7:22:AB:D4:D5:DF:33:DB:84:F3:B0:4A:EC:A2

Certificate is to be certified until Jan 15 14:50:22 2009 GMT (365 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

至此，我们便完成了 CA 的建立及用户证书签发的全部工作。 不妨把所有 shell 命令放到一起纵览一下：

# 建立 CA 目录结构
mkdir -p ./demoCA/{private,newcerts}
touch ./demoCA/index.txt
echo 01 > ./demoCA/serial

# 生成 CA 的 RSA 密钥对
openssl genrsa -des3 -out ./demoCA/private/cakey.pem 2048

# 生成 CA 证书请求
openssl req -new -days 365 -key ./demoCA/private/cakey.pem -out careq.pem

# 自签发 CA 证书
openssl ca -selfsign -in careq.pem -out ./demoCA/cacert.pem

# 以上两步可以合二为一
openssl req -new -x509 -days 365 -key ./demoCA/private/cakey.pem -out ./demoCA/cacert.pem

# 生成用户的 RSA 密钥对
openssl genrsa -des3 -out userkey.pem

# 生成用户证书请求
openssl req -new -days 365 -key userkey.pem -out userreq.pem

# 使用 CA 签发用户证书
openssl ca -in userreq.pem -out usercert.pem

了解了这些基础步骤之后，就可以通过脚本甚至 makefile 的方式来将这些工作自动化。 CA.pl 和 CA.sh 便是对 OpenSSL 的 CA 相关功能的简单封装，在 Debian 系统中，安装了 OpenSSL 后，可以在 /usr/lib/ssl/misc/ 目录下找到这两个文件。而 makefile 的解决方案则可以参考这里 。

iteye_10981
关注
使用OpenSSL生成/签发证书的原理、流程与示例
Laurence的技术博客
03-20 1万+
文章目录1 生成证书的步骤与原理2 标准的CA签发流程2.1 创建私钥（.key)2.2 基于私钥创建证书签名请求（.csr）2.3 （可选）直接同时生成私钥和证书签名请求2.4 将证书申请请求（.csr）提交给CA认证机构申请证书（.crt）2.5 CA机构生成CA证书链3 生成自签名证书3.1 创建私钥（.key）3.2 基于私钥（.key）创建证书签名请求（.csr）3.3 （可选）直接同时生成私钥（.key）和证书签名请求（.csr）3.4 使用自己的私钥（.key）签署自己的证书签名请求（.csr
OpenSSL 密码库实现证书签发流程详解_加密机证书签发
2301_76348171的博客
05-13 1319
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数Java工程师，想要提升技能，往往是自己摸索成长，自己不成体系的自学效果低效漫长且无助。因此收集整理了一份《2024年嵌入式&物联网开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上嵌入式&物联网开发知识点，真正体系化！
使用OpenSSL签发证书
We_code的博客
10-17 375
使用OpenSSL签发证书安装OpenSSL配置OpenSSL配置Path配置OPENSSL_CONF开始使用 安装OpenSSL OpenSSL下载地址：http://slproweb.com/products/Win32OpenSSL.html 安装完以后一路点下去即可。 配置OpenSSL 配置Path 将OpenSSL安装路径中的bin加入Path(我这里是安在C:\Program Files里面的) 配置OPENSSL_CONF 打开cmd 输入 set OPENSSL_CONF=安装路径\b
Openssl签发证书过程
2301_79187993的博客
10-24 1614
Openssl生成证书，包括生成根证书(CA)和使用自签名CA创建证书，后面还附带了签名过程(仅为示例，具体过程自己去网上查)
用openssl签发证书
吴东方的博客
12-28 6912
导言： 有时候，使用SSL协议是自己内部服务器使用的，这时可以不必去找第三方权威的CA机构做证书，可以做自签证书 使用openssl签发证书分为四个步骤：生成密钥对、生成证书请求、创建一个root CA、签发证书 一、生成密钥对 1、生成rsa密钥 （1）生成私钥 使用命令openssl genrsa： openssl genrsa -out private.key 2048 如果想为这个key值加密，可使用命令： openssl genrsa -aes128 -out private
OpenSSL自签发证书并实现浏览器的安全访问
xiaolong1155的博客
04-17 3605
前言 实现内网通过IP地址访问某系统，需要使用 https，而且不能有不安全的提示，如下图：不允许这样的情况存在，这就需要使用openssl进行自签解决。
数字证书实战经验-Openssl自建CA中心及签发证书
10-24
`root-ca.cnf`、`intermediate-ca.cnf`和`index.cnf`是配置文件，它们定义了证书签发的参数和策略。`root-ca.cnf`是根CA的配置，它是整个证书链的基础，具有最高的信任级别。根CA证书通常不对外分发，以保持其安全性...
使用Openssl签发SSL证书
qq_42533647的博客
12-17 2309
本文主要记述在Linux系统上使用Openssl创建SSL证书的流程，作为个人学习笔记。自签名证书分为自签名私有证书和自签名CA证书两种。自签名私有证书无法被吊销，自签名CA证书可以被吊销。 什么是openssl OpenSSL为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其它目的使用；openssl只是OpenSSL开源套件中的多功能命令工具； OpenSSL套件的组成部分有： 1.libcrypto：通用功
（二）openssl完成服务器证书签发
码者人生的技术博客
05-19 480
上操作流程 步骤 步骤描述如下： 1.生成根证书需要用到的秘钥文件； 2.从根证书秘钥生成根证书； 3.生成服务器证书要用到的秘钥文件； 4.用服务器秘钥文件生成证书请求CSR文件； 5.采用 第一步生成的根证书秘钥 和 第二步生成的根证书 对CSR文件进行签发证书； 6.得到服务器证书，这里服务器证书和服务器的秘钥是一一对应； 操作步骤的命令和配置 1. openssl genrsa -out caKey.pem 2048 2. openssl req -new -x509 -key ..
openssl证书签发流程详解
魏志标的博客
06-13 4719
openssl 是目前最流行的 SSL 密码库工具，其提供了一个通用、健壮、功能完备的工具套件，用以支持SSL/TLS 协议的实现。构成部分密码算法库密钥和证书封装管理功能SSL通信API接口用途建立 RSA、DH、DSA key 参数建立 X.509 证书、证书签名请求(CSR)和CRLs(证书回收列表)计算消息摘要使用各种 Cipher加密/解密SSL/TLS 客户端以及服务器的测试处理S/MIME 或者加密邮件数字证书标准X.509版本号。
根证书和用户证书的生产
04-17
1、里面包含了根证书的生成，我已弄成了bat文件，直接生产根证书即可。 2、还有一个类是根据根证书来生成用户证书的公共类，已整合出来了。 3、客户端的证书获取案例，可以在客户端判断是否安装了证书，及自动安装根证书和用户证书的demo。 以上基本包含了证书的知识，是非常不错的资源。最近做了CA证书这块进行整合的知识要点，希望对你们有作用
使用OpenSSL生成/签发证书步骤
xiejianweifdd的博客
08-27 6941
openssl 证书 自签名 私有CA
申请证书与签发证书
weixin_34122604的博客
08-01 148
一、申请证书 1、生成一组密钥 #openssl genrsa -out ***.key 1024 2、证书签发请求 #opensl req -new -key ***.key -out ***.csr (会要求填写信息 照做就行) 3、将请求提交给CA #scp ***.csr ca的地址 然后等待CA发证 ...
使用openssl自建CA完成证书签发和CRL管理
l13651203083的博客
04-02 2016
使用openssl自建多级私有CA，完成用户证书签发和撤销等操作。
OPENSSL签发证书CA流程
三日沐水
11-19 714
$# First off,generate our own  certificate authority certificate and key  $openssl req -new -x509 -days 365 -extensions v3_ca -keyout my-ca.key -out my-ca.crt $# Now generate a private key for use...
在Linux上使用openssl生成CA认证文件并为服务器和客户端颁发CA签名证书
热门推荐
树下一少年的博客
01-07 1万+
该文档详细介绍了使用OpenSSL工具实现证书认证的完整流程。主要内容包括：1)创建CA机构（生成公私钥和自签名证书）；2)服务器端证书生成（创建私钥、证书申请文件，并由CA机构签发证书）；3)客户端证书生成（类似服务器端流程）。文档提供了具体的OpenSSL命令及参数说明，如genrsa生成私钥、req生成证书请求、x509签发证书等操作，并强调了文件存放管理的重要性。整个过程模拟了实际PKI体系中证书的申请、签发和验证机制。
使用Openssl生成根证书CA以及签发子证书
technologyleader的专栏
12-17 5258
openssl是当前非常流行的SSL密码库工具，如果服务器或者网站需要使用https协议，就需要使用openssl工具生成证书。 之前在Windows上有用Perl编译过OpenSSL，这次项目上要搭一个https server需要用它来生成自签名证书，其中我的配置文件在openssl/apps/openssl.cnf，编译后openssl.exe在openssl/out32dll文件夹中。 准备工作： 需要在系统系统配置文件中配置openssl.cnf的路径，后面生成证书时会用到。 下面.
PKI详解与openssl实现私有CA证书签发
weixin_42098322的博客
06-08 2583
参考文章：加密解密：PKI详解 加密解密技术基础 在看这篇文章之前，首先需要有加密解密的技术基础： 安全目标： 保密性：确保通信信息不被任何无关的人看到 完整性：实现通信双方的报文不丢失、数据完整性、系统完整性 可用性：通信任何一方产生的信息应当对授权实体可用 攻击类型： 威胁保密性的攻击：窃听、通信量分析 威胁完整性的攻击：更改、伪装、重放、否认 重放：攻击者能解惑双方通信的报文、并开始一遍遍发送 否认：通信双方的某一方发送的，下了订单却说没下 威胁可用性的攻击：拒绝服务（Dos） 解决方案 技术：加
linux 生成 csr,CSR生成工具，证书签发请求生成工具，证书请求生成工具 - Certificate Signing Request, CSR...
weixin_39683025的博客
05-13 430
CSR(Certificate Signing Request)证书签发请求是生成证书的第一步。证书签发请求包括证书的公钥、签名、DV证书所需要的备用域名(SAN)和通用名称(CN)。因此证书签发请求CSR的生成包括证书密钥生成和CSR签名以及生成。在请求Let's Encrypt的DV SSL证书时，需要提供CSR。本工具用于方便地生成CSR请求和密钥。Windows使用方法：gencsr -k...
使用OpenSSL命令行模拟证书签发
最新发布
07-24
<think>我们正在模拟证书签发过程，使用OpenSSL命令行工具。证书签发通常涉及以下步骤： 1. 生成根证书的私钥 2. 创建自签名的根证书（CA证书） 3. 生成服务器（或用户）证书的私钥 4. 创建服务器证书的证书签名请求（CSR） 5. 使用根证书的私钥对服务器证书的CSR进行签名，生成服务器证书 下面我们逐步进行： ### 步骤1: 生成根证书的私钥 使用以下命令生成一个RSA私钥（例如，2048位）： ```bash openssl genrsa -out ca.key 2048 ``` ### 步骤2: 创建自签名的根证书 使用上一步生成的私钥创建自签名的根证书（CA证书）。在生成证书时，需要提供一些信息（如国家、组织等）： ```bash openssl req -new -x509 -days 3650 -key ca.key -out ca.crt ``` 执行此命令后，会提示输入一些信息，这些信息将被嵌入到根证书中。 ### 步骤3: 生成服务器证书的私钥 同样，生成一个用于服务器证书的私钥： ```bash openssl genrsa -out server.key 2048 ``` ### 步骤4: 创建服务器证书的证书签名请求（CSR） 使用服务器私钥生成证书签名请求（CSR）： ```bash openssl req -new -key server.key -out server.csr ``` 同样，需要输入一些信息（注意：这些信息不必与根证书相同，但通常一些字段如国家、组织等需要符合一定的规则）。 ### 步骤5: 使用根证书签发服务器证书 使用根证书的私钥和根证书对服务器证书的CSR进行签名： ```bash openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt ``` 这里： - `-CA` 指定根证书 - `-CAkey` 指定根证书的私钥 - `-CAcreateserial` 选项会生成一个序列号文件（ca.srl），用于记录下一个可用的序列号 ### 验证证书 我们可以验证服务器证书是否由根证书签发： ```bash openssl verify -CAfile ca.crt server.crt ``` ### 示例 假设我们模拟一个简单的CA和服务器证书的签发过程，具体命令如下： 1. 生成CA私钥： ```bash openssl genrsa -out ca.key 2048 ``` 2. 生成自签名CA证书（有效期10年）： ```bash openssl req -new -x509 -days 3650 -key ca.key -out ca.crt # 输入信息示例： # Country Name (2 letter code) []:CN # State or Province Name (full name) []:Beijing # Locality Name (eg, city) []:Beijing # Organization Name (eg, company) []:My CA # Organizational Unit Name (eg, section) []:Root CA # Common Name (eg, fully qualified host name) []:My CA # Email Address []:ca@example.com ``` 3. 生成服务器私钥： ```bash openssl genrsa -out server.key 2048 ``` 4. 生成服务器CSR： ```bash openssl req -new -key server.key -out server.csr # 输入信息示例（注意Common Name是服务器的域名，例如：www.example.com）： # ... 其他信息可以不同，但Common Name要写服务器域名 ``` 5. 用CA证书签名服务器CSR： ```bash openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt ``` 6. 验证： ```bash openssl verify -CAfile ca.crt server.crt ``` 这样，我们就得到了： - `ca.key`: CA私钥 - `ca.crt`: CA证书（根证书） - `server.key`: 服务器私钥 - `server.csr`: 服务器证书签名请求（可保留或删除） - `server.crt`: 服务器证书（由CA签发） ### 注意事项 - 在实际应用中，CA的私钥必须严格保护，因为泄露CA私钥意味着可以签发任意证书。 - 上述过程是简化版，实际中可能还会涉及扩展项（如主题备用名称SAN）等，可以通过配置文件添加。 ### 添加扩展项（可选） 如果需要为服务器证书添加扩展项（例如subjectAltName），可以创建一个配置文件（如`server.ext`）： ``` authorityKeyIdentifier=keyid,issuer basicConstraints=CA:FALSE keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment subjectAltName = @alt_names [alt_names] DNS.1 = www.example.com DNS.2 = example.com ``` 然后在签名时使用该配置文件： ```bash openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -extfile server.ext ``` 这样生成的服务器证书就包含了SAN扩展。 §§相关问题§§ 1. 如何为OpenSSL生成的证书添加主题备用名称（SAN）？ 2. 如何使用OpenSSL创建中间CA并签发证书？ 3. 如何将根证书安装到系统信任库中？ 4. OpenSSL命令中，`-CAcreateserial`参数的作用是什么？ 5. 如何查看证书的详细信息（如有效期、颁发者、主题等）？</think>### OpenSSL命令行模拟证书签发过程 OpenSSL命令行工具模拟证书签发过程主要包括以下步骤： #### 1. 生成根证书（CA证书） ```bash # 生成CA私钥 openssl genrsa -out ca.key 2048 # 创建自签名根证书（有效期10年） openssl req -new -x509 -days 3650 -key ca.key -out ca.crt ``` 执行后会提示输入证书信息（国家/组织/通用名等），通用名建议使用`My Root CA`。 #### 2. 生成服务器证书请求（CSR） ```bash # 生成服务器私钥 openssl genrsa -out server.key 2048 # 创建证书签名请求（CSR） openssl req -new -key server.key -out server.csr ``` 在通用名（Common Name）处输入服务器域名（如`www.example.com`）。 #### 3. 签发服务器证书 ```bash # 使用CA证书签发服务器证书 openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt ``` 参数说明： - `-CAcreateserial`：生成唯一的序列号文件（`ca.srl`） - `-days 365`：证书有效期1年 - 输出`server.crt`为最终签发的证书 #### 4. 验证证书链 ```bash # 验证证书是否由CA签发 openssl verify -CAfile ca.crt server.crt # 查看证书详细信息 openssl x509 -in server.crt -text -noout ``` #### 完整流程示例 ```bash # 生成CA openssl genrsa -out ca.key 2048 openssl req -new -x509 -days 3650 -key ca.key -out ca.crt # 生成服务器证书 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt # 验证 openssl verify -CAfile ca.crt server.crt ``` #### 关键文件说明： | 文件 | 作用 | |------|------| | `ca.key` | CA私钥（需严格保密） | | `ca.crt` | 根证书（需分发给客户端） | | `server.key` | 服务器私钥 | | `server.csr` | 证书签名请求（可删除） | | `server.crt` | 最终服务器证书 | ### 常见问题解决 1. **证书验证失败**： ```bash # 添加CA信任链 cat ca.crt >> /etc/ssl/certs/ca-certificates.crt ``` 2. **缺少扩展属性**： 使用配置文件添加扩展（创建`ext.cnf`）： ```ini [ req ] req_extensions = v3_req [ v3_req ] subjectAltName = @alt_names [ alt_names ] DNS.1 = www.example.com ``` 签发时添加：`-extfile ext.cnf -extensions v3_req` 3. **密钥格式转换**（如需要PKCS#12格式）： ```bash openssl pkcs12 -export -out server.p12 -inkey server.key -in server.crt ``` > 注意：生产环境应使用更安全的椭圆曲线密钥（如`openssl ecparam -genkey -name prime256v1`），并设置合理的证书有效期[^1]。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值