openssl与数字证书的使用-阿里云开发者社区

开发者社区> usher.yue> 正文

openssl与数字证书的使用

简介: Openssl与数字证书的使用详解 数字证书这个概念大家应该并不陌生,比如我们在利用Nginx提供https服务的时候需要我们去CA申请一 个包含我们的公钥信息、身份信息、数字签名的证书,再比如我们在使用银行的U盾的时候也是在客户机器上安装了用户的数字证书,数字证书就好像我...
+关注继续查看

Openssl与数字证书的使用详解

数字证书这个概念大家应该并不陌生,比如我们在利用Nginx提供https服务的时候需要我们去CA申请一 个包含我们的公钥信息、身份信息、数字签名的证书,再比如我们在使用银行的U盾的时候也是在客户机器上安装了用户的数字证书,数字证书就好像我们的电子身份证一样,是对我们身份的唯一标识, 并且数字证书和身份证一样是有期限的,过期之后需要重新申请,上面所说的CA其实是一家第三方值得信赖的机构,我们的数字证书和数字签名均由该机构颁发,例如 Verisign、Thawte、GeoTrust

数字签名中几个概念

文件后缀名

  • csr: 证书签发请求(Certificate Signing Request)

  • CRT 扩展名CRT用于证书。证书可以是DER编码格式,也可以是PEM编码格式。扩展名CER和CRT基本上是一样的。

  • CER 扩展名CER。可以把CRT文件转换为CER文件(CRT和CER必须是相同编码的,DER或者PEM)。

  • .KEY 扩展名KEY用于PCSK#8的公钥和私钥。这些公钥和私钥可以是DER编码或者PEM编码。

证书编码格式

参考自 http://blog.csdn.net/zhuo_zhibin/article/details/7319926

  • .DER 扩展名DER用于二进制DER编码的证书。我们大多时候直接用.crt .cer作为证书文件后缀名。一个证书更准确的叫法应该是“DER编码的证 “,”PEM编码的证书”

  • .PEM 扩展名PEM用于ASCII(Base64)编码的各种X.509 v3 证书。文件开始由一行”—– BEGIN …“开始。

x509 是什么

X.509是一种非常通用的证书格式。所有的证书都符合ITU-T X.509国际标准,因此(理论上)为一种应用创建的证书可以用于任何其他符合X.509标准的应用。
在一份证书中,必须证明公钥及其所有者的姓名是一致的。对X.509证书来说,认证者总是CA或由CA指定的人,一份X.509证书是一些标准字段的集合,这些字段包含有关用户或设备及其相应公钥的信息。X.509标准定义了证书中应该包含哪些信息,并描述了这些信息是如何编码的(即数据格式)

所有的X.509证书包含以下数据:

  1. X.509版本号:指出该证书使用了哪种版本的X.509标准,版本号会影响证书中的一些特定信息。目前的版本是3。
  2. 证书持有人的公钥:包括证书持有人的公钥、算法(指明密钥属于哪种密码系统)的标识符和其他相关的密钥参数。
  3. 证书的序列号:由CA给予每一个证书分配的唯一的数字型编号,当证书被取消时,实际上是将此证书序列号放入由CA签发的CRL(Certificate
    Revocation List证书作废表,或证书黑名单表)中。这也是序列号唯一的原因。
  4. 主题信息:证书持有人唯一的标识符(或称DN-distinguished name)这个名字在 Internet上应该是唯一的。DN由许多部分组成,看起来象这样: CN=Bob Allen, OU=Total Network
    Security Division O=Network Associates, Inc. C=US
    这些信息指出该科目的通用名、组织单位、组织和国家或者证书持有人的姓名、服务处所等信息。
  5. 证书的有效期:证书起始日期和时间以及终止日期和时间;指明证书在这两个时间内有效。
  6. 认证机构:证书发布者,是签发该证书的实体唯一的CA的X.509名字。使用该证书意味着信任签发证书的实体。(注意:在某些情况下,比如根或顶级CA证书,发布者自己签发证书)

  7. 发布者的数字签名:这是使用发布者私钥生成的签名,以确保这个证书在发放之后没有被撰改过。

  8. 签名算法标识符:用来指定CA签署证书时所使用的签名算法。算法标识符用来指定CA签发证书时所使用的公开密钥算法和HASH算法。

PKCS介绍

引用: 百度百科

The Public-Key Cryptography Standards (PKCS)是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准,其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。
到1999年底,PKCS已经公布了以下标准:
PKCS#1:定义RSA公开密钥算法加密和签名机制,主要用于组织PKCS#7中所描述的数字签名和数字信封[22]。
PKCS#3:定义Diffie-Hellman密钥交换协议[23]。
PKCS#5:描述一种利用从口令派生出来的安全密钥加密字符串的方法。使用MD2或MD5 从口令中派生密钥,并采用DES-CBC模式加密。主要用于加密从一个计算机传送到另一个计算机的私人密钥,不能用于加密消息[24]。
PKCS#6:描述了公钥证书的标准语法,主要描述X.509证书的扩展格式[25]。
PKCS#7:定义一种通用的消息语法,包括数字签名和加密等用于增强的加密机制,PKCS#7与PEM兼容,所以不需其他密码操作,就可以将加密的消息转换成PEM消息[26]。
PKCS#8:描述私有密钥信息格式,该信息包括公开密钥算法的私有密钥以及可选的属性集等[27]。
PKCS#9:定义一些用于PKCS#6证书扩展、PKCS#7数字签名和PKCS#8私钥加密信息的属性类型[28]。
PKCS#10:描述证书请求语法[29]。
PKCS#11:称为Cyptoki,定义了一套独立于技术的程序设计接口,用于智能卡和PCMCIA卡之类的加密设备[30]。
PKCS#12:描述个人信息交换语法标准。描述了将用户公钥、私钥、证书和其他相关信息打包的语法[31]。
PKCS#13:椭圆曲线密码体制标准[32]。
PKCS#14:伪随机数生成标准。
PKCS#15:密码令牌信息格式标准[33]。

openssl

openssl创建自签名证书

创建根证书私钥长度为2048

openssl genrsa -out ca.key 2048
利用私钥创建根证书按照提示一路输入:

openssl req -new -x509 -days 36500 -key ca.key -out ca.crt

创建长度为2048的SSL证书私匙
openssl genrsa -out server.key 2048位

利用刚才的私匙建立SSL证书请求一路向下:

openssl req -new -key server.key -out server.csr

当前文件夹下运行如下命令创建所需目录:
mkdir dir demoCA &&cd demoCA&&mkdir newcerts&&echo 'xx' > serial &&touch index.txt&&cd ..
用CA根证书签署SSL自建证书:
openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key
接下来目录下会生成SSL证书及相关文件,分别是server.crt和server.key,接下来就可以利用它们配置https服务了。。

要注意的一点是我们生成的自签名证书是不受客户端浏览器信任的,会在我们打开自签名证书配置的https网站的时候,我使用自己写的ActivedRouter 配置的https服务,证书用的是自签名证书,于是浏览器出现一个如下图的提示
这里写图片描述

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
14 个使用 jQuery 开发的模拟、数字时钟
1. CoolClock in jQuery CoolClock 是一个可定制的 jQuery 模拟时钟,使用 SVG 绘制,提供多种外观选择,同时支持数字时钟。 Read More Demo 2.Analog JQuery clock 在该教程中,通过使用 jQuery 和一个名为 jQueryRotata 插件绘制一个模拟时钟。
799 0
define关键字的使用,以及宏函数的定义
 define关键的作用是预定义 好处是:预定义的值只要改变了,程序中只要是使用了预定义的部分就可以一改全改。 截图如下: 上面的部分程序仍然可以正常输出。 3、关于宏函数 #include<stdio.h> #defineFOO(str)printf("%s",str); #defineFUN
753 0
使用openSSL构造一个支持https的nodejs服务器
首先通过下面的链接下载openSSLhttps://slproweb.com/products/Win32OpenSSL.html 下载完毕后,执行openssl进入交互式界面: 使用命令生成privatekey.pem 1024意思是1024位长度。
774 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
3966 0
android 数字键盘使用
在android中,如果想调出键盘是数字的话,注意点。 一、只能输入1234567890的键盘integer只有数字输入,但是按回车键是没有任何反应的,不会跳到下一个输入框 二、decimal 此时,只能输入1234567890. 十位数字和一位小数点,如下图所示 但是按回车键是没有任何反应的,不会跳到下一个输入框 三、signed 此时输入法只能输入十位数字和一个负号“-” 小数点是不能输入的。
822 0
sizeof()的使用及各种数据类型的字节大小
1、什么是sizeof   首先看一下sizeof在msdn上的定义:    The sizeof keyword gives the amount of storage, in bytes, associated with a variable or a type (including aggregate types). This keyword returns a value of type size_t.   看到return这个字眼,是不是想到了函数?错 了,sizeof不是一个函数,你见过给一个函数传参数,而不加括号的吗?sizeof可以,所以sizeof不是函数。
957 0
+关注
usher.yue
算法相关技术专家
431
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载