19、Stunnel与OpenSSL使用指南

Stunnel与OpenSSL使用指南

1. 证书创建

在不同场景下，证书的创建方式有所不同。当CA管理员和服务器管理员为同一人时，可按常规流程创建证书。但如果组织的CA由一人负责，而需要CA签名服务器证书的服务器由其他人管理，服务器管理员应遵循以下步骤：
1. 在将使用证书的服务器上创建新的签名请求和密钥，而非在CA本身。
2. 将签名请求副本（而非密钥）交给CA管理员，让其进行签名。
3. 按照之前的步骤，将密钥和签名证书格式化为适合Stunnel使用的格式，并将它们合并为一个文件。

如果没有迫切或预期的客户端证书认证需求，也可以选择创建自签名证书。具体步骤如下：
1. 将工作目录更改为打算安装证书的位置，例如 /etc/stunnel 。
2. 使用以下命令创建一个包含密钥和证书的单一文件：

openssl req -x509 -newkey rsa:1024 -days 365 -keyout stunnel.pem -out stunnel.pem

3. 这里唯一的新标志是 -x509 ，它指定新证书应采用X.509格式（自签名证书与Stunnel配合使用时需要此格式，但CA签名证书不需要）。确保新证书具有适当的文件系统权限（0600，即 -rw------- ），至此就完成了自签名证书的创建。

2. 无密码短语证书的风险

许多安全专家认为，在几乎任何情