OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 在前文<使用 OpenSSL 创建私有 CA:2 中间证书>中我们介绍了如何创建中间证书,并生成证书链.本文我们将介绍如何为应用生成用户证书(web 站点的 ssl 证书),并把证书部署到应用服务器上和客户端上.说明:本系列文章的演示环境为 Ubuntu 18.04,OpenSSL 的版本为 1.1.0g.…

OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 本文将在前文<使用 OpenSSL 创建私有 CA:1 根证书>的基础上介绍如何为私有 CA 创建中间证书.说明:本系列文章的演示环境为 Ubuntu 18.04,OpenSSL 的版本为 1.1.0g. 为什么要创建中间证书? 使用 CA 的根证书是可以直接签发用户证书的,那么为什么还还要创建中间证书呢?…

OpenSSL 创建私有 CA 三部曲:使用 OpenSSL 创建私有 CA:1 根证书使用 OpenSSL 创建私有 CA:2 中间证书使用 OpenSSL 创建私有 CA:3 用户证书 OpenSSL 是一个免费开源的库,它提供了一些处理数字证书的命令行工具.其中一些工具可以用作证书颁发机构(Certificate Authority 即 CA).证书颁发机构(CA)是签署数字证书的实体.许多网站需要让他们的客户知道连接是安全的,所以需要从一个被广泛信任的CA(例如VeriSign, Dig…

1.编辑/etc/pki/tls/openssl.cnf [ CA_default ] dir             = /etc/pki/CA           # 工作目录certs           = $dir/certs            # 客户端证书保存位置crl_dir         = $dir/crl              # 证书吊销列表database        = $dir/index.txt #证书列表new_certs_dir   = $dir/…

原文链接:http://guodayong.blog.51cto.com/263451/1181059 Openssl是SSL的开源实现(可以免费下载应用程序),是一种安全机密程序,主要用于提高远程登录访问的安全性.也是目前加密算法所使用的工具之一,功能很强大.        Openssl为网络通信提供安全及数据完整性的一种安全协议,包括了主要的密码算法.常用的密钥和证书封装管理功能(CA)以及SSL协议,并提供了丰富的应用程序供测试或其它目的使用,例如我们将会使用Openssl实现私有CA,…

自签名的证书无法被吊销,CA签名的证书可以被吊销 能不能吊销证书的区别在于,如果你的私钥被黑客获取,如果证书不能被吊销,则黑客可以伪装成你与用户进行通信   如果你的规划需要创建多个证书,那么使用私有CA的方法比较合适,因为只要给所有的客户端都安装了CA的证书,那么以该证书签名过的证书,客户端都是信任的,也就是安装一次就够了 如果你直接用自签名证书,你需要给所有的客户端安装该证书才会被信任,如果你需要第二个证书,则还的挨个给所有的客户端安装证书2才会被信任.       证书类型: x509的证…

加密解密基础 1. 对称加密: 加密和解密使用同一个密钥 常见的加密算法有:DES.3DES.AES.Blowfish.Twofish.IDEA.RC6.CAST5 特性: 1. 加密.解密使用同一个密钥 2.将原始数据分隔成固定大小的块,逐个进行加密 缺陷: 1. 密钥过多 2. 密钥分发困难 2. 公钥加密: 密钥是成对出现的 公钥:pubkey,公开给所有人 私钥:secret key, 自己留存,必须保证其私密性 常见的加密算法有: RSA.DSA(只能用于数字签名,不能用于数据加密),…

一.创建私有CA 1.创建所需要的文件 2.创建私有密钥 3.CA自签证书 -new: 生成新证书签署请求:               -x509: 专用于CA生成自签证书:不自签的时候不要加该选项               -key: 生成请求时用到的私钥文件;              -days n:证书的有效期限:              -out /PATH/TO/SOMECERTFILE: 证书的保存路径:     填写信息时,Common Name选项一定要与写成服务器名字,…

发现了一篇图文并茂的超棒的  加密解密, CA, PKI, SSL 的基础文章, 链接如下:https://blog.csdn.net/lifetragedy/article/details/52238057 简要描述一下概念: PKI: Public Key Infrastructure, 公钥体系 包含, CA, RA, CRL,证书存取库 CA: 证书签发机构 RA: 证书注册机构 X.509是证书标准规范, 定义了证书的结构以及认证协议标准, 现在使用多为v3版本 SSL: Secure…

原文地址:http://xxrenzhe.blog.51cto.com/4036116/1370114 废话不多说,先上图 说明1:蓝色部分为主要流程,黄色箭头指向具体的操作步骤 什么是openssl 1. 为网络通信提供安全及数据完整性的一种安全协议,囊括了主要的密码算法.常用的密钥和证书封装管理功能以及SSL协议,并提供了丰富的应用程序供测试或其它目的使用: 2. openssl只是OpenSSL开源套件中的多功能命令工具: 3. OpenSSL套件的组成部分有: libcrypto:通用功…

转自:http://www.tuicool.com/articles/aURnim 随着网络技术的发展.internet的全球化,信息共享程度被进一步提高,各种基于互联网的应用如电子政务.电子商务日益增多并愈加被人们工作和 生活依赖.但是,由于互联网的开放性和通用性,网络上的信息是对所有人公开的,这就使网络上的数据传输过程中存在被窃听.篡改等安全隐患,并极有可能给用 户带来不可估量的损失.为此,各种保证数据在互联网上安全传输的机制纷纷出现,而OpenSSL(Sercure Socket Laye…

SSL是Security Socket Layer:安全的套接字层 他介于HTTP和TCP协议层之间 SSL是Netscape公司开发的,属于个人 TLS是标准委员会制定的 OpenSSL是SSL的开源实现 CA:证书颁发机构:Certification Authority 两台主机要通信,他们需要先建立链接,建立链接的时候又需要保证这个链接是安全的,那么如何保证安全呢? 这里就需要用到SSL来保证传输的安全性,SSL可以生成一对秘钥对,在建立安全链接的时候,客户端发出请求到服务器端,服务器端收…

目录 简介 搭建root CA 生成root CA 使用CRL 使用OSCP 总结 简介 一般情况下我们使用的证书都是由第三方权威机构来颁发的,如果我们有一个新的https网站,我们需要申请一个世界范围内都获得认可的证书,这样我们的网站才能被无障碍的访问. 如果在某些情况下,我们的网站或者系统并不是公开的,但是也需要使用tls协议的话,那么就需要自己搭建一个CA服务器.这样的CA服务器就叫做private CA. 熟悉证书的朋友可能会说了,为什么不使用自签名证书呢?也可以达到安全通信的目的. 这…

使用 OpenSSL 创建私有 CA:1 根证书 使用 OpenSSL 创建私有 CA:2 中间证书 使用 OpenSSL 创建私有 CA:3 用户证书 今天跟着上面的三部曲,做了一下openssl的CA体系. 下面是一些我自己的理解: 步骤是: 建立根证书, 建立中间证书, 建立用户证书. 每一级的大致建立流程基本无二至: 1. 准备CA的配置文件(其实这里用户证书也可以看成一种特殊的CA) 2. 创建一些准备文件: 存放私钥的地方,存放本CA的地方,db库,crl证书吊销的相关目录等.(用上…

1:使用openssl命令生成一个私钥,私钥必须放在/etc/pki/CA/private/目录下 (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)     2:通过创建的私钥提取一个公钥,再通过公钥生成的公钥自签证书, CA的自签证书保留在/etc/pki/CA/目录下 # 说明:-new表示创建一个新的证书,-x509表示创建的是自签证书,专用于创建私有CA时,-key表示私钥的路径,虽然需要提供公钥,但是…

证书类型 证书授权机构的证书 服务器 用户证书 获取证书两种方法 使用证书授权机构: 生成签名请求(csr ) 将csr发送给CA 从CA处接收签名 自签名的证书: 自已签发自己的公钥 openSSL工具可以满足我们创建CA和证书 1)PKI: Public Key Infrastructure 签证机构:CA (Certificate Authority),真正的颁发证件机构,相当于公安局 注册机构:RA,相当于派出所 证书吊销列表:CRL,相当于证件丢失时挂失的内容 证书存取库:当别人请求认…

          所谓的网站安全证书 是通过在客户端浏览器和Web服务器之间建立一条SSL安全通道保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否真实可靠. 大体步骤: 1)签名发送方(甲)对需要发送的明文使用杂凑算法,计算摘要: 2)甲使用其签名私钥对摘要进行加密,得到密文: 3)甲将密文.明文和签名证书发送给签名验证方(乙): 4)乙方验证签名证书的有效性,并一方面将甲发送的密文通过甲的签名证书解密得到摘要,另一方面将明文相同的杂凑算法计算出摘要: 5)乙对比两…

常用安全技术 3A: 认证:身份确认 授权:权限分配 审计:监控做了什么 安全通信 加密算法和协议 对称加密: 非对称加密 单向加密:哈希(hash)加密 认证协议 对称加密: 加密和解密使用的是同一个密钥 是通过将原始数据分割成若干块来逐个进行加密 特点:效率高.速度快 缺点:加密解密使用的密钥相同,需要提前把密钥发给别人且不能确定数据来自于发送方. 常见的对称加密算法: DES:56位加密,把数据切成56Bit一块来进行加密 3DES:DES的方式加密三次 AES:高级加密标准,密钥长度是可…

本文借助实验环境下创建的root CA私钥和证书进一步创建中间CA.为了便于区分,我们将创建中间CA(intermediate CA)的CA称为根CA(root CA). 关于如何使用OpenSSL创建root CA. 中间CA是root CA的代理,其证书由root CA签发,同时中间CA能够代表根CA签发用户证书,由此建立起信任链. 创建中间CA的好处是即使中间CA的私钥泄露,造成的影响也是可控的,我们只需要使用root CA撤销对应中间CA的证书即可.此外root CA的私钥可以脱机妥善保…

原创帖子地址:   https://blog.csdn.net/mr_rsq/article/details/71001810 Linux 创建一个简单的私有CA.发证.吊销证书 2017年04月30日 11:33:26 阅读数:2708 操作环境:Centos 6.RHEL 6 操作虚拟机:VMware 本实验基于OpenSSL实现,SSL是Secure Sockets Layer(安全套接层协议)的缩写,可以在Internet上提供秘密性传输. 实验流程: 1.以Centos 6系统作为CA…

如果想要建立自己的CA, OpenSSL已经包含了所有你需要的东西.所有的操作都通过纯命令行执行,虽然不那么友好,整个过程也比较长,但是这可以让你去思考每个细节. 我建议自己创建一套私有的 CA主要是出于教学的目的,不过还有一些别的原因.OpenSSL的CA天然满足个人或者小团体的需求,例如在开发环境使用一套CA比到处使用自签名的证书好得多.同时还可以通过客户端证书来提供双向验证,这可以极大地提高敏感Web应用的安全性. 运行私有CA最大的挑战不是设置问题,而是如何保证基础结构的安全.例如根密钥…

0x00 前言 互联网上的Web应用由于用户数目广泛,都是采用单向身份认证的,只需要客户端验证服务端的身份.但如果是企业内部的应用对接,客户端数量有限,可能就会要求对客户端也做身份验证,这时就需要一个双向认证方案.本文通过搭建私有CA,利用OpenSSL工具,实现服务端与客户端的双向身份认证.安全协议采用HTTPS,这里用到的HTTPS除了能够进行身份认证以外,还能保证通信的保密性和完整性. 0x01 组建方案 组建方案如下图所示: 整个方案包括一个私有CA.一个服务端.一个客户端,用于验证HT…

在密码学中,CA(Certificate Authority,认证机构)是指一个被多个用户信任的机构,该机构能够创建和指派公钥证书. 为规范起见,我们先介绍本文可能涉及的术语, asymmetric cryptography: 非对称密码学(或公开密钥加密,公钥加密),密钥涉及公钥和私钥组成的密钥对: key pair: 密钥对,非对称密码学中的一对公/私密钥: private key: 私钥,只应该有所有者才知道的那个密钥: public key: 公钥(公开密钥),在非对称加密体系中公开给其…

关于SSL/TLS介绍见文章 SSL/TLS原理详解.关于证书授权中心CA以及数字证书等概念,请移步 OpenSSL 与 SSL 数字证书概念贴 . openssl是一个开源程序的套件.这个套件有三个部分组成:一是libcryto,这是一个具有通用功能的加密库,里面实现了众多的加密库:二是libssl,这个是实现ssl机制的,它是用于实现TLS/SSL的功能:三是openssl,是个多功能命令行工具,它可以实现加密解密,甚至还可以当CA来用,可以让你创建证书.吊销证书. 默认情况ubuntu和C…

Linux操作系统安全-局域网私有CA(Certificate Authority)证书服务器实战篇 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 一.试验架构说明 node101.yinzhengjie.org.cn: CA服务器 node108.yinzhengjie.org.cn: CA客户端 [root@node101.yinzhengjie.org.cn ~]# uname -r -.el7.x86_64 [root@node101.yinzhengjie.org.…

一.实验目的 搭建私有CA并使其可以实现公司内部的的签名服务. 二.实验环境: 系统架构:Centos7(服务器).Centos6(需要申请证书的服务器)需要的软件包:openssl.openssl-libs.libssl 三.配置文件解析 搭建CA需要/etc/pki/tls/openssl.cnf文件,该配置文件 由openssl-libs生成 该配置文件中我们主要关注一下这些选项,我只列出了需要关注的,源配置文件不关注的不要修改 [ ca ] default_ca = CA_default…

一.CA简介 CA是什么?CA是Certificate Authority的简写,从字面意思翻译过来是凭证管理中心,认证授权.它有点类似我们生活中的身份证颁发机构,这里的CA就相当于生活中颁发身份证的机构.不同于生活中的颁发机构,这里的CA是给服务器颁发证书.颁发证书的目的同生活中的办理身份证的目的类似,都是为了证明一件事,生活中的身份证可以证明我们是一个合法的公民,而服务器颁发证书的目的也是证明我们服务是一个合法的服务器,换句话说就是有了证书我们就可以清楚知道我们访问的服务器到底是不是我们真正…

一.搭建私有CA服务器 1.安装包 # yum -y install openssl 2.生成密钥对儿 # cd /etc/pki/CA # (umask 077;openssl genrsa -out private/cakey.pem 2048) 说明:()表示为子shell中执行,直接生成权限600的文件,666-077 3.生成CA自签证书(CA的根证书): # openssl req -new -x509 -key private/cakey.pem -out cacert.pem -…

概要 本文讲解三个部分:1. 创建自签名证书2. 创建自己的证书颁发机构3. 以及如何配置IIS 创建自签名证书 首先,创建一个私钥文件: openssl genrsa -out myselfsigned.key 2048 然后利用私钥创建自签名证书: openssl req -new -x509 -key myselfsigned.key -out myselfsigned.cer -days 36500 执行上面的两个操作之后会提示输入以下几个内容(为了显示正常尽量使用英文): Countr…

一.系统环境说明 Linux & OpenSSL Linux localhost -.el5 # SMP Tue Mar :: EDT x86_64 x86_64 x86_64 GNU/Linux [root@localhost /home/study]#openssl version OpenSSL Jul Windows & IIS Windows 7 X64 , IIS 7, 默认网站 二.创建密钥链 注意:请先看一下最后的注意事项,避免走弯路. 1. 创建根证书(自签名证书) ec…