如何使用OpenSSL工具生成根证书与应用证书

一、步骤简记

  1. // 生成顶级CA的公钥证书和私钥文件,有效期10年(RSA 1024bits,默认)
  2. openssl req -new -x509 -days 3650 -keyout CARoot1024.key -out CARoot1024.crt
  3. // 为顶级CA的私钥文件去除保护口令
  4. openssl rsa -in CARoot1024.key -out CARoot1024.key
  5. // 生成顶级CA的公钥证书和私钥文件,有效期15年(RSA 2048bits,指定)
  6. openssl req -newkey rsa:2048 -x509 -days 5480 -keyout CARoot2048.key -out CARoot2048.crt
  7. // 为顶级CA的私钥文件去除保护口令
  8. openssl rsa -in CARoot2048.key -out CARoot2048.key
  9. // 为应用证书/中级证书生成私钥文件
  10. openssl genrsa -out app.key 2048
  11. // 根据私钥文件,为应用证书/中级证书生成 csr 文件(证书请求文件)
  12. openssl req -new -key app.key -out app.csr
  13. // 使用CA的公私钥文件给 csr 文件签名,生成应用证书,有效期5年
  14. openssl ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything
  15. // 使用CA的公私钥文件给 csr 文件签名,生成中级证书,有效期5年
  16. openssl ca -extensions v3_ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything

以上是生成根证书与应用证书过程中要用到的所有命令,根据生成目标不同,分为三组。其中,前面两组都用于生成自签名的顶级CA(区别只在于密钥长度不同),实际应用中只需根据需求选择一组即可。

最后一组用于生成非自签名的证书,包括中级证书与应用证书。所谓中级证书,是具有继续颁发下级证书权限的子CA,而本文中所说的应用证书,特指不能用来继续颁发下级证书,只能用来证明个体身份的证书。顶级CA在签发二者的时候,只是多少一个 -extensions v3_ca 选项的区别,这个选项赋予被签发的证书继续签发下级证书的权力。

二、各步详解

2.1 生成自签名根证书(即顶级CA)

典型示例:openssl req -new-x509 -days5480 -keyoutCA.key -outCA.crt

[1] 命令选项和参数解读

示例中,各选项(及参数)的意义如下:

  1. req             使用openssl的req子命令
  2. -new            生成新的证书请求
  3. -x509           生成自签名证书
  4. -days 5480      自签名证书的有效期5480天(15年)【仅当使用了 -x509 选项后有效】
  5. -keyout CA.key  私钥文件名指定为CA.key【若为运行前就已有的私钥文件且原名不是CA.key,则改名为CA.key;否则新生成的私钥文件命名为CA.key】
  6. -out CA.crt     指定输出所生成自签名证书的信息到文件,且文件名为CA.crt【建议不要省略】

其中,-days,-keyout 两个选项可以省略,省略的话使用默认值,有效期默认为 30 天【由程序内部在变量初始化的时候指定,与配置文件无关】,私钥文件名的默认值由配置文件 openssl.cnf 中相关条目指定,没改过的话为 privkey.pem。

选项 -out 若是省略的话,openssl不会以文件形式输出生成的 证书/证书请求,而是会默认将文件的信息直接打印到屏幕上,这在大多数情况下,是不符合我们要求的。所以建议这个选项最好不要省略!

req子命令可以通过 -key 选项为证书请求指定使用一个已存在的私钥文件。但在示例中的情况下,虽然使用了-new 和 -x509两个选项,但没有使用 -key 选项,这时,req子命令会自动为自签名证书生成一个RSA私钥,密钥长度的默认值由配置文件 openssl.cnf 中的相关条目指定,没改过的话为 1024 bits。

[2] 关于私钥文件加密口令的指定

运行中会提示输入加密口令,如下:

  1. writing new private key to 'CA.key'
  2. Enter PEM pass phrase:
  3. Verifying - Enter PEM pass phrase:

此口令用于加密私钥文件 CA.key 中的私钥信息,如果不想在运行过程中还要输入加密口令,则可以使用选项 -passout 在命令中直接指定。选项 -passout 的使用形式为:

-passoutarg

其中,arg是选项 -passout 的参数,其格式有多种,详参《OpenSSL官方文档》中关于"PASS_PHRASE_ARGUMENTS"的介绍。

本小节典型示例中的命令,可以用选项 -passout 改造如下:

openssl req -new-x509 -days5480 -keyoutCA.key -out CA.crt-passoutpass:1314

由于Linux系统中可以使用history命令查看历史指令记录,所以出于安全方面的考量,一般如非必要,不建议在命令中直接指定口令。这与MySQL登录的时候不在 -p 选项里直接指定登录口令的原因是一致的。

[3] 关于证书请求文件中的DN字段

运行中会提示输入一些 Distinguished Name fields,即证书的识别名信息字段,简称为DN字段,如下:

  1. You are about to be asked to enter information that will be incorporated into your certificate request.
  2. What you are about to enter is what is called a Distinguished Name or a DN.
  3. There are quite a few fields but you can leave some blank
  4. For some fields there will be a default value,
  5. If you enter '.', the field will be left blank.
  6. -----
  7. Country Name (2 letter code) [GB]:US
  8. State or Province Name (full name) [Berkshire]:California
  9. Locality Name (eg, city) [Newbury]:
  10. Organization Name (eg, company) [My Company Ltd]:GeoAuth Inc.
  11. Organizational Unit Name (eg, section) []:.
  12. Common Name (eg, your name or your server's hostname) []:Authentication Global Root
  13. Email Address []:.

这些DN字段大部分有默认值,默认值由配置文件 openssl.cnf中相关条目指定。如要在某一个DN字段使用默认值,则无需输入任何信息,直接点击"Enter"键;如果确实某个DN字段的值要置为空,则输入一个 '.' 后,点击"Enter"键。

这些DN字段主要是拿来识别证书持有者身份的,下表是关于它们的缩写、说明和一些填写说明。【此部分参考了互动百科的SSL条目】

DN字段名 缩写 说明 填写要求
Country Name C 证书持有者所在国家 要求填写国家代码,用2个字母表示
State or Province Name ST 证书持有者所在州或省份 填写全称,可省略不填
Locality Name L 证书持有者所在城市 可省略不填
Organization Name O 证书持有者所属组织或公司 最好还是填一下
Organizational Unit Name OU 证书持有者所属部门 可省略不填
Common Name CN 证书持有者的通用名 必填。
对于非应用证书,它应该在一定程度上具有惟一性;
对于应用证书,一般填写服务器域名或通配符样式的域名。
Email Address   证书持有者的通信邮箱 可省略不填

表2-1 DN字段的说明

:表中所谓,证书不是应用证书时,其持有者的通用名要有“唯一性”,是指其通用名不要与一般主机上常见的信任证书列表或撤销证书列表中的证书产生重复。

如果不想在运行过程中逐个输入这些DN字段的值,则可以使用 -subj 选项在命令中直接指定。选项 -subj 的使用形式为:

-subj arg

其中,arg是选项 -subj 的参数,其格式类似于:/type0=value0/type1=value1/type2=... 形式。每一个 /type=value 形式的单元,都对应了一个完整的DN字段。其中,

/ 是每一个DN字段的开始标志;type0、type1等等,就是表2-1中提到的DN字段名的缩写;=是DN字段的名和值之间的间隔符;
value0、value1等等,就是原本你要在运行过程中逐个输入的DN字段的值。

对于您要将值置为空的DN字段,您可以略去不写。本小节典型示例中的命令,可以用 -subj 选项改造如下【略去了 L 与 OU 两个DN字段】:

openssl req -new-x509 -days5480 -subj/C=US/ST=California/O=GeoAuth\ Inc./CN=Authentication\ Global\ Root -keyout CA.key -out CA.crt

需要特别注意的是,如果您设定的DN字段的值如果存在一些特殊字符【比如 (空格)、((半角左括号)、)(半角右括号)……】,必须经过\(反斜杆)转义。上例中已经给出了空格转义的情况。

[4] 如何指定自签名证书的密钥长度和类型

如前所述,示例只能生成密钥长度为1024bits的RSA公私钥对。如果要生成密钥长度不为1024bits的RSA公私钥对,或是其他类型的【比如DSA、EC】公私钥对,则必须使用选项 -newkey 来代替 -new 。选项 -newkey 的用法比较复杂,如需详细了解,请参看《OpenSSL官方文档》的相关页面。本小节典型示例中的命令等效于以下命令:

openssl req -newkeyrsa:1024 -x509 -days5480-keyoutCA.key -outCA.crt

要生成一个密钥长度为2048bits的RSA公私钥对,命令为:

openssl req -newkeyrsa:2048 -x509 -days5480-keyoutCA2048.key -outCA2048.crt

2.2 为顶级CA的私钥文件去除加密保护

上节提到,顶级CA的私钥文件是经过加密保护的,以后每当需读取 CA.key 文件中的私钥信息时,都需输入解密口令。这种做法适合有安全需求的场合,但如果觉得不方便,也可以去除这个口令。

典型示例:openssl rsa -inCA.key -outCA.key

[1] 命令选项和参数解读

示例中,各选项/参数的意义如下:

  1. rsa         使用openssl的rsa子命令
  2. -in CA.key  经加密保护的私钥文件
  3. -out CA.key 解除加密保护后的私钥文件【可以改名】

[2] 关于私钥文件解密口令的指定

运行中会提示输入解密口令,如下:,

  1. Enter pass phrase for CA.key:
  2. writing RSA key

如果不想在运行过程中还要输入解密口令,则可以使用选项 -passin 在命令中直接指定。选项 -passin 的使用形式为:

-passinarg

其中,arg是选项 -passin 的参数,其格式同选项 -passout 的参数,详参《OpenSSL官方文档》中关于"PASS_PHRASE_ARGUMENTS"的介绍。

本小节典型示例中的命令,可以用选项 -passin 改造如下:

openssl rsa -inCA.key -out CA.key -passin pass:1314

基于同选项 -passout 一样的考量,一般不建议直接在命令中指定解密口令。

[3] rsa子命令的实际功能

rsa子命令的功能,更完整来说,应该是RSA密钥的管理。除了此处用到的去除加密保护,还可以用来:更换加解密口令,更换加解密算法【DES、三重DES、IDEA(官方文档上提到过,但是有些版本好像不支持,比如说我安装的)、AES(官方文档上没提到,我安装的版本支持)】,更换密钥文件的编码方式,等等。

2.3 为应用证书/中级证书生成私钥文件

典型示例:openssl genrsa-outapp.key 2048

[1] 命令选项和参数解读

示例中,各选项/参数的意义如下:

  1. genrsa       使用openssl的genrsa子命令
  2. -out app.key 指定输出生成的私钥信息到文件,且文件名为app.key【建议别省略】
  3. 2048         指定所生成私钥的比特长度【务必放在最后一个】

其中,选项 -out 若是省略的话,openssl不会以文件形式输出生成的 私钥信息,而是会默认将私钥的信息直接打印到屏幕上,这不符合我们的要求。所以建议这个选项不要省略!

genrsa子命令还可以有其他一些选项及参数,但不论还有多少选项,都必须把指定私钥长度的参数放在最后一个。【如果指定私钥长度的参数不是最后一个,则其后的参数好像会被舍弃。】

[2] 私钥文件的加密保护

本小节典型示例所给出的命令,生成的是未经任何加密保护的私钥文件。这种方式用起来比较方便,但非常不安全。如果要为私钥文件附加加密保护,则有两种方式:

A.在生成私钥文件的同时就指定输出前要用某种加密算法加密保护;

B.生成明文的私钥文件后用 rsa 子命令附加某种加密算法的加密保护。

我计算机上安装的openssl版本,在两种方式下都支持这些加密算法选项:-des,-des3,-aes128,-aes192,-aes256。以加密选用192位的AES算法为例,命令如下:

  1. // 在生成私钥文件的同时就指定输出前要用192位的AES算法加密保护
  2. openssl genrsa -aes192 -out app.key 1024
  3. // 生成明文的私钥文件后用 rsa 子命令附加192位的AES算法加密保护
  4. openssl rsa -aes192 -in app.key -out app.key

上例中的两个命令,都会要求在运行中输入加密口令。同样的,虽然不建议,但是openssl依然支持在命令中使用选项 -passout 指定加密口令,选项 -passout 的用法参考2.1小节。唯一需要额外注意的是,对于genrsa子命令,选项 -passout 应放在 指定密钥长度的参数 前面。

2.4 为应用证书/中级证书生成 csr 文件【证书请求文件】

典型示例:openssl req -keyapp.key -out app.csr

[1] 命令选项和参数解读

示例中,各选项/参数的意义如下:

  1. req           使用openssl的req子命令
  2. -new          生成新的证书请求
  3. -key app.key  指定是为app.key文件中的私钥生成证书请求
  4. -out app.csr  指定输出所生成证书请求的信息到文件,且文件名为app.csr

这和2.1节使用的是openssl的同一个子命令,所以参数的意义很多具有共通性。命令运行中也会要求输入一些DN字段的值,参看本文2.1 [3] 中的相关介绍。同样的,可以使用-subj选项在命令中直接指定这些DN字段的值。

2.5 为 csr 文件签名,生成应用证书/中级证书

典型示例:openssl ca-inapp.csr -outapp.crt -certCA.crt -keyfileCA.key -days1826 -policypolicy_anything

[1] 命令选项和参数解读

示例中,各选项/参数的意义如下:

  1. ca                        使用openssl的ca子命令
  2. -in app.csr               指定待签发证书的 CSR文件为 app.csr
  3. -out app.crt              指定输出所签发证书的信息到文件,且文件名为app.crt【建议不要省略】
  4. -cert CA.crt              指定为应用/中级证书签名的CA的公钥证书为CA.crt【用到CA证书的持有者信息】
  5. -keyfile CA.key           指定为应用/中级证书签名的CA的私钥文件为CA.key【用CA私钥实际执行签名】
  6. -days 1826                指定所签发证书的有效期为1826天(5年)
  7. -policy policy_anything   指定签发策略为 policy_anything 【即,允许所签发证书的持有者信息和颁发者信息之间不遵守任何匹配策略】

其中,选项 -out 若是省略的话,openssl不会以文件形式输出生成的 应用证书/中级证书信息,而是会默认将证书的信息直接打印到屏幕上,这一般不符合我们的要求。所以建议这个选项不要省略!

[2] 关于签发策略

留待下次补充。先参看这这篇吧,http://hi.baidu.com/mars208/item/3b3022ec95a9d704570f1d49

[3] 关于签发中级证书(二级/三级CA,子CA)

留待下次补充。先参看这这篇吧,http://blog.chinaunix.NET/uid-311680-id-2973653.html

如何使用OpenSSL工具生成根证书与应用证书的更多相关文章

  1. 使用openssl工具生成证书

    第一步. 生成rsa私钥文件 :\> openssl genrsa -out bexio.pem 1024 : 若要加密生成的rsa私钥文件(des3加密) :\> openssl gen ...

  2. 使用openssl工具生成密钥

    下载Openssl工具 进入OpenSSL工具,输入以下命令. OpenSSL> genrsa - #生成私钥 OpenSSL> pkcs8 -topk8 -inform PEM -in ...

  3. 使用OpenSSL工具制作X.509证书的方法及其注意事项总结

    版权声明:本文为博主原创文章.转载请注明出处. https://blog.csdn.net/Ping_Fani07/article/details/21622545 怎样使用OpenSSL工具生成根证 ...

  4. Openssl生成根证书、服务器证书并签核证书

    1.修改Openssl配置文件CA目录: cat /etc/pki/tls/openssl.cnf dir = /etc/pki/CA 2.生成根证书及私钥: #http://www.haiyun.m ...

  5. nginx反向代理cas-server之2:生成证书,centOS下使用openssl生成CA证书(根证书、server证书、client证书)

    前些天搭好了cas系统,这几天一致再搞nginx和cas的反向代理,一直不成功,但是走http还是测试通过的,最终确定是ssl认证证书这一块的问题,原本我在cas服务端里的tomcat已经配置了证书, ...

  6. https学习笔记三----OpenSSL生成root CA及签发证书

    在https学习笔记二,已经弄清了数字证书的概念,组成和在https连接过程中,客户端是如何验证服务器端的证书的.这一章,主要介绍下如何使用openssl库来创建key file,以及生成root C ...

  7. OpenSSL生成root CA及签发证书

    一.openssl 简介 openssl 是目前最流行的 SSL 密码库工具,其提供了一个通用.健壮.功能完备的工具套件,用以支持SSL/TLS 协议的实现.官网:https://www.openss ...

  8. 使用OpenSsl自己CA根证书,二级根证书和颁发证书(亲测步骤)

    ---恢复内容开始--- 一.介绍 企业自用, 到证书机构签发证书的费用和时间等都可以省下..... SSl证书的背景功用.......(省略万字,不废话) 可以参考: SSL证书_百度百科 X509 ...

  9. openssl req(生成证书请求和自建CA)

    伪命令req大致有3个功能:生成证书请求文件.验证证书请求文件和创建根CA.由于openssl req命令选项较多,所以先各举几个例子,再集中给出openssl req的选项说明.若已熟悉openss ...

随机推荐

  1. correlation filters in object tracking

    http://www.cnblogs.com/hanhuili/p/4266990.html Correlation Filter in Visual Tracking系列一:Visual Objec ...

  2. Unity3d程序运行的时候在unity3d标志哪里进不去的原因

    我那个去,居然是有两个error..我郁闷了,unity编译器有error居然也能打包能apk.我真是醉了.搞了我几个小时.

  3. 解决ng界面长表达式(ui-set)

    本文来自网友sun shine的问题,问题如下: 您好, 我想求教一个问题. 在$scope中我的对象名字写的特别深, 在 html中我又多次用到了同一个对象, 对不对在 html中让它绑定到一个临时 ...

  4. 【stm32】实现STM32的串口数据发送和printf函数重定向

    在调试电机驱动程序的时候,是不能随便利用中断来进行一些寄存器或数据的查看的,不然你在运行的时候突然来一下,如果占空比大的话那可能直接就把MOS管给烧了,所以我们很多情况下只能使用USART(串口)来进 ...

  5. 卷积神经网络(CNN)反向传播算法

    在卷积神经网络(CNN)前向传播算法中,我们对CNN的前向传播算法做了总结,基于CNN前向传播算法的基础,我们下面就对CNN的反向传播算法做一个总结.在阅读本文前,建议先研究DNN的反向传播算法:深度 ...

  6. UVALive 3177 Beijing Guards

    题目大意:给定一个环,每个人要得到Needi种物品,相邻的人之间不能得到相同的,问至少需要几种. 首先把n=1特判掉. 然后在n为偶数的时候,答案就是max(Needi+Needi+1)(包括(1,n ...

  7. 【线程系列四】[转]监听器-java同步的基本思想

    转自:http://ifeve.com/think-in-java-monitor/ 如果你在大学学习过操作系统,你可能还记得监听器在操作系统中是很重要的概念.同样监听器在java同步机制中也有使用, ...

  8. Helm - Kubernetes服务编排的利器

    Helm介绍 在Kubernetes中部署容器云应用(容器或微服务编排)是一项有挑战性的工作,Helm就是为了简化在Kubernetes中安装部署容器云应用的一个客户端工具.通过Helm能够帮助开发者 ...

  9. MySQL 报错 1055

    具体报错 of SELECT list is not in GROUP BY clause and contains nonaggregated column 'exer.student.sid' w ...

  10. Ethzasl MSF源码阅读(2):百川汇海

    这里有个感觉,就是百川汇海.即IMU数据和相机的消息数据都汇集到msf_core进行处理.接上一篇, 1. 查看IMUHandler_ROS::IMUCallback和IMUHandler_ROS:: ...