OpenSSL多级证书的实践

简介

证书颁发机构（CA）是签署数字证书的实体。网站需要让客户知道连接的安全的，他们需要向国际信任的CA支付签署其域名证书的费用。

创建根证书

CA处理加密的私钥和公共证书。一般CA不直接签署服务器或者客户端的证书。根CA仅用于创建一个或者多个中间CA，根CA信任中间CA，由中间CA代表其签署证书。这样保证跟密钥的脱机和未使用，因为根密钥的任何损害都是灾难性的。
创建根证书的步骤如下所示

1. 准备目录

    mkdir /root/ca
    cd /root/ca
    mkdir certs crl newcerts private
    chmod 700 private
    touch index.txt
    echo 1000 > serial
   

2. 准备配置文件 /root/ca/openssl.cnf

3. 创建根key

    cd /root/ca
    ## 其中-aes256的方式进行加密，可以省略不添加密码
    openssl genrsa -aes256 -out private/ca.key.pem 4096
    chmod 400 private/ca.key.pem
   

4. 创建根证书

    # 使用req的命令必须使用-config指定openssl.cnf，如果没有指定会使用默认路径
    # 根证书一般的有效期设置的比较长，根证书失效后所有其签署的证书都不能正常工作
    cd /root/ca
    openssl req -config openssl.cnf \
        -key private/ca.key.pem \
        -new -x509 -days 7300 -sha256 -extensions v3_ca \
        -out certs/ca.cert.pem
    chmod 444 certs/ca.cert.pem