开发者社区> yaohong> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

SSL证书生成流程

简介: SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socketlayer(SSL),SSL安全协议主要用来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;确保数据在传送中不被改变,即数据的完整性,现已成为该领域中全球化的标准。
+关注继续查看

SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socketlayer(SSL),SSL安全协议主要用来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;确保数据在传送中不被改变,即数据的完整性,现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中,因此,仅需安装服务器证书就可以激活该功能了)。即通过它可以激活SSL协议,实现数据信息在客户端和服务器之间的加密传输,可以防止数据信息的泄露。保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。
    SSL网站不同于一般的Web站点,它使用的是“HTTPS”协议,而不是普通的“HTTP”协议。因此它的URL(统一资源定位器)格式为“https://www.baidu.com”。

一:什么是x509证书链

x509证书一般会用到三类文件,key,csr,crt。
Key是私用密钥,openssl格式,通常是rsa算法。
csr是证书请求文件,用于申请证书。在制作csr文件的时候,必须使用自己的私钥来签署申请,还可以设定一个密钥。
crt是CA认证后的证书文件(windows下面的csr,其实是crt),签署人用自己的key给你签署的凭证。

二:概念

    首先要有一个CA根证书,然后用CA根证书来签发用户证书。
    用户进行证书申请:一般先生成一个私钥,然后用私钥生成证书请求(证书请求里应含有公钥信息),再利用证书服务器的CA根证书来签发证书。
    特别说明:
(1)自签名证书(一般用于顶级证书、根证书): 证书的名称和认证机构的名称相同.
(2)根证书:根证书是CA认证中心给自己颁发的证书,是信任链的起始点。任何安装CA根证书的服务器都意味着对这个CA认证中心是信任的。
    数字证书则是由证书认证机构(CA)对证书申请者真实身份验证之后,用CA的根证书对申请人的一些基本信息以及申请人的公钥进行签名(相当于加盖发证书机构的公章)后形成的一个数字文件。数字证书包含证书中所标识的实体的公钥(就是说你的证书里有你的公钥),由于证书将公钥与特定的个人匹配,并且该证书的真实性由颁发机构保证(就是说可以让大家相信你的证书是真的),因此,数字证书为如何找到用户的公钥并知道它是否有效这一问题提供了解决方案。

三:openssl中有如下后缀名的文件

.key格式:私有的密钥
.csr格式:证书签名请求(证书请求文件),含有公钥信息,certificate signing request的缩写
.crt格式:证书文件,certificate的缩写
.crl格式:证书吊销列表,Certificate Revocation List的缩写
.pem格式:用于导出,导入证书时候的证书的格式,有证书开头,结尾的格式

四:下载SSL证书生成生成包

链接:http://pan.baidu.com/s/1qYUIP2k

密码:zn9z

五:CA根证书的生成步骤

生成CA私钥(.key)-->生成CA证书请求(.csr)-->自签名得到根证书(.crt)(CA给自已颁发的证书)。

解压安装包

#unzip openssl-1.0.0e.zip

当前目录及目录下所有的文件赋予可读可写可执行权限

#chmod 777 -R openssl-1.0.0e

# cd openssl-1.0.0e/

将你要安装的程序装到目录/home/blave/openssl

#./config --prefix=/home/blave/openssl     

生成服务器端的私钥 (key 文件)

#openssl genrsa -out server.key 1024

生成服务器端证书签名请求文件 (csr 文件)

#openssl req -new -key server.key -out server.csr

自定义区域

Country Name (2 letter code) [XX]:CN----------------------------------- 证书持有者所在国家

State or Province Name (full name) []:BJ------------------------------- 证书持有者所在州或省份(可省略不填)

Locality Name (eg, city) []:BJ----------------------------------------- 证书持有者所在城市(可省略不填)

Organization Name (eg, company) []:NH---------------------------------- 证书持有者所属组织或公司Organizational Unit Name (eg, section) []:.---------------------------- 证书持有者所属部门(可省略不填)

Common Name (eg, your name or your server's hostname) []:ceshi.com----- 域名

Email Address []:------------------------------------------------------ 邮箱(可省略不填)

challenge password:............................................................自定义密码

An optional company name.............................................可选公司名称

生成证书文件 (crt 文件)

# openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

执行完后查看openssl-1.0.0e发现有server.crtserver.key 两个文件

 

在实际的软件开发工作中,往往服务器就采用这种自签名的方式,因为毕竟找第三方签名机构是要给钱的,也是需要花时间的。

六:用户证书的生成步骤

生成私钥(.key)-->生成证书请求(.csr)-->用CA根证书签名得到证书(.crt)
服务器端用户证书:

  1. # private key  
    $openssl genrsa -des3 -out server.key 1024   
    # generate csr  
    $openssl req -new -key server.key -out server.csr  
    # generate certificate  
    $openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key  

     

客户端用户证书:

  1. $openssl genrsa -des3 -out client.key 1024   
    $openssl req -new -key client.key -out client.csr  
    $openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key  

生成pem格式证书: 
有时需要用到pem格式的证书,可以用以下方式合并证书文件(crt)和私钥文件(key)来生成 

$cat client.crt client.key> client.pem 

$cat server.crt server.key > server.pem

 

七:结果:

服务端证书:ca.crt, server.key, server.crt, server.pem

客户端证书:ca.crt, client.key, client.crt, client.pem

 

注意:

在执行$openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key时可能会出错:

Using configuration from /usr/share/ssl/openssl.cfg I am unable to access the ./demoCA/newcerts directory ./demoCA/newcerts: No such file or directory 

解决方法:

1)mkdir -p ./demoCA/newcerts 
2)touch demoCA/index.txt 
3)touch demoCA/serial 
4)echo 01 > demoCA/serial

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
SSL证书区别对比和选择总结
SSL证书按照证书类型来分可分为 DV SSL 、OV SSL 、EV SSL 证书。也称为域名型、企业型、增强型证书。 本文对DV、OV、EV型SSL证书的区别对比进行总结。
13 0
网络安全保护,需要国密SSL证书
近年来国家有关机关和监管机构站在国家安全和长远战略的高度提出了推动国密算法应用实施、加强行业安全可控的要求。摆脱对国外技术和产品的过度依赖,建设行业网络安全环境,增强我国行业信息系统的“安全可控”能力显得尤为必要和迫切。
89 0
通过脚本实现 SSL 证书到期监控
通过脚本实现 SSL 证书到期监控
85 0
为什么推荐使用国密SSL证书?
国密SSL证书采用了我国自主研发的SM2公钥算法体系,支持SM2、SM3、SM4等国产密码算法及国密SSL安全协议。
2615 0
通配符证书和单域名SSL证书的区别
  通配符证书和单域名SSL证书有什么区别?首先,我们先来了解通配符证书和单域名SSL证书的定义:    通配符证书:通配符SSL证书又叫泛域名SSL证书,可保护一个域名以及该域名所有下一级域名,不限制下级域名数量。
4373 0
SSL证书价格为多少?
SSL译为安全套接层,主要运用于对互联网的加密措施,对消费者的权益起一定的保护性,防止数据的丢失。所以SSL还是在使用互联网的过程中不可或缺的。SSL证书要由值得信任的颁发机构CA在了解服务器IP后颁发SSL证书。
1482 0
ssl证书为什么价格不同
  SSL证书为什么价格不同?SSL证书的种类非常繁多,对于服务器身份验证和数据传输加密的保护程度也不相同,因此,不同种类的SSL证书价格相差比较大。下面我们介绍下不同价格的SSL证书类型。  域名型 DV SSL证书  域名型 SSL证书是价格最便宜的一种SSL证书。
1780 0
SSL安全证书-概念解析
一、关于证书 数字证书是一种认证机制。简单点说,它代表了一种由权威机构颁发授权的安全标志。 由来 在以前,传统网站采用HTTP协议进行数据传输,所有的数据几乎都用的明文,很容易发生隐私泄露。为了解决安全问题,大家开始考虑采用加解密的方案,于是乎诞生了公钥加密(非对称加解密)及签名算法。
928 0
+关注
yaohong
云计算
127
文章
1
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载