OpenSSL - 利用OpenSSL自签证书和CA颁发证书

秘钥操作

这个命令会生成一个1024/2048位的密钥，包含私钥和公钥。

openssl genrsa -out private.key 1024/2038                     (with out password protected)

openssl genrsa -des3 -out private.key 1024/2048    (password protected)

这个命令可以利用private.key文件生成公钥。

openssl rsa -in private.key -pubout -out public.key

查看私钥命令

openssl rsa -noout -text -in public.key

证书请求

openssl req -new -key private.key -out cert.csr (-config openssl.cnf)

openssl req -new -nodes -key private.key -out cert.csr (-config openssl.cnf)

这个命令将会生成一个证书请求，当然，用到了前面生成的密钥private.key文件
这里将生成一个新的文件cert.csr，即一个证书请求文件，你可以拿着这个文件去数字证书颁发机构（即CA）申请一个数字证书。CA会给你一个新的文件cacert.pem，那才是包含公钥给对方用的数字证书。

查看证书请求

openssl req -noout -text -in cert.csr

生成证书

自签名证书，用于自己测试，不需要CA签发
openssl req -new -x509 -key private.key -out cacert.pem -days 1095 (-config openssl.cnf)

CA签发证书：

CA是专门签发证书的权威机构，处于证书的最顶端。自签是用自己的私钥给证书签名，CA签发则是用CA的私钥给自己的证书签名来保证证书的可靠性，

利用OpenSSL可以自己作为CA进行证书签发，当然这并不权威。

CA签发证书生成的cacert.pem 见“建立CA颁发证书”

有了private.key和cacert.pem文件后就可以在自己的程序中使用了，比如做一个加密通讯的服务器

从证书中提取公钥

openssl x509 -in cacert.pem -pubkey >> public.key

查看证书信息

openssl x509 -noout -text -in cacert.pem

建立CA颁发证书

(1) 环境准备

首先，需要准备一个目录放置CA文件，包括颁发的证书和CRL(Certificate Revoke List)。
mkdir ./CA

(2) 创建配置文件

之前生成秘钥和证书可以进行命令行配置，但是在创建CA的时候必须使用配置文件，因为做证书颁发的时候只能使用配置文件。

创建配置文件如下：vi openssl.cnf

     ################################################################
     # openssl example configuration file.
     # This is mostly used for generation of certificate requests.
     #################################################################
     [ ca ]
     default_ca= CA_default          # The default ca section
     ################################################################# 

     [ CA_default ] 

     dir=/opt/iona/OrbixSSL1.0c/certs # Where everything is kept
     certs=$dir                       # Where the issued certs are kept
     crl_dir= $dir/crl                # Where the issued crl are kept
     database= $dir/index.txt         # database index file
     new_certs_dir= $dir/new_certs    # default place for new certs
     certificate=$dir/CA/OrbixCA      # The CA certificate
     serial= $dir/serial              # The current serial number
     crl= $dir/crl.pem                # The current CRL
     private_key= $dir/CA/OrbixCA.pk  # The private key
     RANDFILE= $dir/.rand             # private random number file
     default_days=                 # how long to certify for
     default_crl_days=              # how long before next CRL
     default_md= md5                  # which message digest to use
     preserve= no                     # keep passed DN ordering 

     # A few different ways of specifying how closely the request should
     # conform to the details of the CA 

     policy= policy_match            # For the CA policy 

     [ policy_match ]
     countryName= match
     stateOrProvinceName= match
     organizationName= match
     organizationalUnitName= optional
     commonName= supplied
     emailAddress= optional 

     # For the `anything' policy
     # At this point in time, you must list all acceptable `object'
     # types 

     [ policy_anything ]
     countryName = optional
     stateOrProvinceName= optional
     localityName= optional
     organizationName = optional
     organizationalUnitName = optional
     commonName= supplied
     emailAddress= optional 

     [ req ]
     default_bits =
     default_keyfile= privkey.pem
     distinguished_name = req_distinguished_name
     attributes = req_attributes 

     [ req_distinguished_name ]
     countryName= Country Name ( letter code)
     countryName_min=
     countryName_max =
     stateOrProvinceName= State or Province Name (full name)
     localityName = Locality Name (eg, city)
     organizationName = Organization Name (eg, company)
     organizationalUnitName  = Organizational Unit Name (eg, section)
     commonName = Common Name (eg. YOUR name)
     commonName_max =
     emailAddress = Email Address
     emailAddress_max =  

     [ req_attributes ]
     challengePassword = A challenge password
     challengePassword_min =
     challengePassword_max =
     unstructuredName= An optional company name 

根据配置文件。创建以下三个文件：

touch index.txt

touch index.txt.attr

touch serial 内容为01

(3) 生成CA私钥和证书

openssl genrsa -out ca.key 1024

openssl req -new -x509 -key ca.key -out ca.pem -days 365 -config openssl.cnf   (CA只能自签名证书，注意信息与要颁发的证书信息一致)

(4) 颁发证书

颁发证书就是用CA的秘钥给其他人签名证书，输入需要证书请求，CA的私钥及CA的证书，输出的是签名好的还给用户的证书

这里用户的证书请求信息填写的国家省份等需要与CA配置一致，否则颁发的证书将会无效。

openssl ca -in ../cert.csr -out cacert.pem -cert ca.pem -keyfile ca.key -config openssl.cnf

对比CA颁发的证书提取公钥和私钥导出的公钥是否一致：

同时产生01.pem，这个是CA的备份保留，与生成发送给请求证书的内容一致，serial内序号自动+1。