AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

使用 openssl 命令行构建 CA 及证书

2017-05-02 2388
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

这是一篇快速指南，使用 OpenSSL 来生成 CA （证书授权中心certificate authority）、 中级 CAintermediate CA 和末端证书end certificate。包括 OCSP、CRL 和 CA 颁发者Issuer信息、具体颁发和失效日期。

我们将设置我们自己的根 CAroot CA，然后使用根 CA 生成一个示例的中级 CA，并使用中级 CA 签发最终用户证书。

根 CA

为根 CA 创建一个目录，并进入：


 
 
    

  
  
  1. mkdir -p ~/SSLCA/root/
    2. 

  
  
  2. cd ~/SSLCA/root/
    3.

生成根 CA 的 8192 位长的 RSA 密钥：


 
 
    

  
  
  1. openssl genrsa -out rootca.key 8192
    2.

输出类似如下：


 
 
    

  
  
  1. Generating RSA private key, 8192 bit long modulus
    2. 

  
  
  2. .........++
    3. 

  
  
  3. ....................................................................................................................++
    4. 

  
  
  4. e is 65537 (0x10001)
    5.

如果你要用密码保护这个密钥，在命令行添加选项 -aes256。

创建 SHA-256 自签名的根 CA 证书 ca.crt；你需要为你的根 CA 提供识别信息：


 
 
    

  
  
  1. openssl req -sha256 -new -x509 -days 1826 -key rootca.key -out rootca.crt
    2.

输出类似如下：


 
 
    

  
  
  1. You are about to be asked to enter information that will be incorporated
    2. 

  
  
  2. into your certificate request.
    3. 

  
  
  3. What you are about to enter is what is called a Distinguished Name or a DN.
    4. 

  
  
  4. There are quite a few fields but you can leave some blank
    5. 

  
  
  5. For some fields there will be a default value,
    6. 

  
  
  6. If you enter '.', the field will be left blank.
    7. 

  
  
  7. -----
    8. 

  
  
  8. Country Name (2 letter code) [AU]:CN
    9. 

  
  
  9. State or Province Name (full name) [Some-State]:Beijing
    10. 

  
  
  10. Locality Name (eg, city) []:Chaoyang dist.
    11. 

  
  
  11. Organization Name (eg, company) [Internet Widgits Pty Ltd]:Linux.CN
    12. 

  
  
  12. Organizational Unit Name (eg, section) []:Linux.CN CA
    13. 

  
  
  13. Common Name (e.g. server FQDN or YOUR name) []:Linux.CN Root CA
    14. 

  
  
  14. Email Address []:ca@linux.cn
    15.

创建几个文件， 用于该 CA 存储其序列号：


 
 
    

  
  
  1. touch certindex
    2. 

  
  
  2. echo 1000 > certserial
    3. 

  
  
  3. echo 1000 > crlnumber
    4.

创建 CA 的配置文件，该文件包含 CRL 和 OCSP 终端的存根。


 
 
    

  
  
  1. # vim ca.conf
    2. 

  
  
  2. [ ca ]
    3. 

  
  
  3. default_ca = myca
    4. 

  
  
    5. 

  
  
  5. [ crl_ext ]
    6. 

  
  
  6. issuerAltName=issuer:copy 
    7. 

  
  
  7. authorityKeyIdentifier=keyid:always
    8. 

  
  
    9. 

  
  
  9. [ myca ]
    10. 

  
  
  10. dir = ./
    11. 

  
  
  11. new_certs_dir = $dir
    12. 

  
  
  12. unique_subject = no
    13. 

  
  
  13. certificate = $dir/rootca.crt
    14. 

  
  
  14. database = $dir/certindex
    15. 

  
  
  15. private_key = $dir/rootca.key
    16. 

  
  
  16. serial = $dir/certserial
    17. 

  
  
  17. default_days = 730
    18. 

  
  
  18. default_md = sha1
    19. 

  
  
  19. policy = myca_policy
    20. 

  
  
  20. x509_extensions = myca_extensions
    21. 

  
  
  21. crlnumber = $dir/crlnumber
    22. 

  
  
  22. default_crl_days = 730
    23. 

  
  
    24. 

  
  
  24. [ myca_policy ]
    25. 

  
  
  25. commonName = supplied
    26. 

  
  
  26. stateOrProvinceName = supplied
    27. 

  
  
  27. countryName = optional
    28. 

  
  
  28. emailAddress = optional
    29. 

  
  
  29. organizationName = supplied
    30. 

  
  
  30. organizationalUnitName = optional
    31. 

  
  
    32. 

  
  
  32. [ myca_extensions ]
    33. 

  
  
  33. basicConstraints = critical,CA:TRUE
    34. 

  
  
  34. keyUsage = critical,any
    35. 

  
  
  35. subjectKeyIdentifier = hash
    36. 

  
  
  36. authorityKeyIdentifier = keyid:always,issuer
    37. 

  
  
  37. keyUsage = digitalSignature,keyEncipherment,cRLSign,keyCertSign
    38. 

  
  
  38. extendedKeyUsage = serverAuth
    39. 

  
  
  39. crlDistributionPoints = @crl_section
    40. 

  
  
  40. subjectAltName  = @alt_names
    41. 

  
  
  41. authorityInfoAccess = @ocsp_section
    42. 

  
  
    43. 

  
  
  43. [ v3_ca ]
    44. 

  
  
  44. basicConstraints = critical,CA:TRUE,pathlen:0
    45. 

  
  
  45. keyUsage = critical,any
    46. 

  
  
  46. subjectKeyIdentifier = hash
    47. 

  
  
  47. authorityKeyIdentifier = keyid:always,issuer
    48. 

  
  
  48. keyUsage = digitalSignature,keyEncipherment,cRLSign,keyCertSign
    49. 

  
  
  49. extendedKeyUsage = serverAuth
    50. 

  
  
  50. crlDistributionPoints = @crl_section
    51. 

  
  
  51. subjectAltName  = @alt_names
    52. 

  
  
  52. authorityInfoAccess = @ocsp_section
    53. 

  
  
    54. 

  
  
  54. [ alt_names ]
    55. 

  
  
  55. DNS.0 = Linux.CN Root CA
    56. 

  
  
  56. DNS.1 = Linux.CN CA Root
    57. 

  
  

  57. 
[crl_section]
    58. 

  
  
  58. URI.0 = http://pki.linux.cn/rootca.crl
    59. 

  
  
  59. URI.1 = http://pki2.linux.cn/rootca.crl
    60. 

  
  
    61. 

  
  
  61. [ ocsp_section ]
    62. 

  
  
  62. caIssuers;URI.0 = http://pki.linux.cn/rootca.crt
    63. 

  
  
  63. caIssuers;URI.1 = http://pki2.linux.cn/rootca.crt
    64. 

  
  
  64. OCSP;URI.0 = http://pki.linux.cn/ocsp/
    65. 

  
  
  65. OCSP;URI.1 = http://pki2.linux.cn/ocsp/
    66.

如果你要设置一个特定的证书起止时间，添加下述内容到 [myca]。


 
 
    

  
  
  1. # format: YYYYMMDDHHMMSS
    2. 

  
  
  2. default_enddate = 20191222035911
    3. 

  
  
  3. default_startdate = 20181222035911
    4.

创建1号中级 CA 

生成中级 CA 的私钥


 
 
    

  
  
  1. openssl genrsa -out intermediate1.key 4096
    2.

生成其 CSR：


 
 
    

  
  
  1. openssl req -new -sha256 -key intermediate1.key -out intermediate1.csr
    2.

输出类似如下：


 
 
    

  
  
  1. You are about to be asked to enter information that will be incorporated
    2. 

  
  
  2. into your certificate request.
    3. 

  
  
  3. What you are about to enter is what is called a Distinguished Name or a DN.
    4. 

  
  
  4. There are quite a few fields but you can leave some blank
    5. 

  
  
  5. For some fields there will be a default value,
    6. 

  
  
  6. If you enter '.', the field will be left blank.
    7. 

  
  
  7. -----
    8. 

  
  
  8. Country Name (2 letter code) [AU]:CN
    9. 

  
  
  9. State or Province Name (full name) [Some-State]:Beijing
    10. 

  
  
  10. Locality Name (eg, city) []:Chaoyang dist.
    11. 

  
  
  11. Organization Name (eg, company) [Internet Widgits Pty Ltd]:Linux.CN
    12. 

  
  
  12. Organizational Unit Name (eg, section) []:Linux.CN CA
    13. 

  
  
  13. Common Name (e.g. server FQDN or YOUR name) []:Linux.CN Intermediate CA
    14. 

  
  
  14. Email Address []:
    15. 

  
  
    16. 

  
  
  16. Please enter the following 'extra' attributes
    17. 

  
  
  17. to be sent with your certificate request
    18. 

  
  
  18. A challenge password []:
    19. 

  
  
  19. An optional company name []:
    20.

请确保中级 CA 的主题名（CN，Common Name）和根 CA 的不同。

使用根 CA 为你创建的中级 CA 的 CSR 签名：


 
 
    

  
  
  1. openssl ca -batch -config ca.conf -notext -in intermediate1.csr -out intermediate1.crt
    2.

输出类似如下：


 
 
    

  
  
  1. Using configuration from ca.conf
    2. 

  
  
  2. Check that the request matches the signature
    3. 

  
  
  3. Signature ok
    4. 

  
  
  4. The Subject's Distinguished Name is as follows
    5. 

  
  
  5. countryName           :PRINTABLE:'CN'
    6. 

  
  
  6. stateOrProvinceName   :ASN.1 12:'Beijing'
    7. 

  
  
  7. localityName          :ASN.1 12:'chaoyang dist.'
    8. 

  
  
  8. organizationName      :ASN.1 12:'Linux.CN'
    9. 

  
  
  9. organizationalUnitName:ASN.1 12:'Linux.CN CA'
    10. 

  
  
  10. commonName            :ASN.1 12:'Linux.CN Intermediate CA'
    11. 

  
  
  11. Certificate is to be certified until Mar 30 15:07:43 2017 GMT (730 days)
    12. 

  
  
    13. 

  
  
  13. Write out database with 1 new entries
    14. 

  
  
  14. Data Base Updated
    15.

生成 CRL  （包括 PEM 和 DER 两种格式）：


 
 
    

  
  
  1. openssl ca -config ca.conf -gencrl -keyfile rootca.key -cert rootca.crt -out rootca.crl.pem
    2. 

  
  
    3. 

  
  
  3. openssl crl -inform PEM -in rootca.crl.pem -outform DER -out rootca.crl
    4.

每次使用该 CA 签名证书后都需要生成 CRL。

如果需要的话，你可以撤销revoke这个中级证书：


 
 
    

  
  
  1. openssl ca -config ca.conf -revoke intermediate1.crt -keyfile rootca.key -cert rootca.crt
    2.

配置1号中级 CA

给该中级 CA 创建新目录，并进入：


 
 
    

  
  
  1. mkdir ~/SSLCA/intermediate1/
    2. 

  
  
  2. cd ~/SSLCA/intermediate1/
    3.

从根 CA 那边复制这个中级 CA 的证书和私钥：


 
 
    

  
  
  1. cp ../root/intermediate1.key ./
    2. 

  
  
  2. cp ../root/intermediate1.crt ./
    3.

创建索引文件：


 
 
    

  
  
  1. touch certindex
    2. 

  
  
  2. echo 1000 > certserial
    3. 

  
  
  3. echo 1000 > crlnumber
    4.

创建一个新的 ca.conf ：


 
 
    

  
  
  1. # vim ca.conf
    2. 

  
  
    3. 

  
  
  3. [ ca ]
    4. 

  
  
  4. default_ca = myca
    5. 

  
  
    6. 

  
  
  6. [ crl_ext ]
    7. 

  
  
  7. issuerAltName=issuer:copy 
    8. 

  
  
  8. authorityKeyIdentifier=keyid:always
    9. 

  
  
    10. 

  
  
  10. [ myca ]
    11. 

  
  
  11. dir = ./
    12. 

  
  
  12. new_certs_dir = $dir
    13. 

  
  
  13. unique_subject = no
    14. 

  
  
  14. certificate = $dir/intermediate1.crt
    15. 

  
  
  15. database = $dir/certindex
    16. 

  
  
  16. private_key = $dir/intermediate1.key
    17. 

  
  
  17. serial = $dir/certserial
    18. 

  
  
  18. default_days = 365
    19. 

  
  
  19. default_md = sha1
    20. 

  
  
  20. policy = myca_policy
    21. 

  
  
  21. x509_extensions = myca_extensions
    22. 

  
  
  22. crlnumber = $dir/crlnumber
    23. 

  
  
  23. default_crl_days = 365
    24. 

  
  
    25. 

  
  
  25. [ myca_policy ]
    26. 

  
  
  26. commonName = supplied
    27. 

  
  
  27. stateOrProvinceName = supplied
    28. 

  
  
  28. countryName = optional
    29. 

  
  
  29. emailAddress = optional
    30. 

  
  
  30. organizationName = supplied
    31. 

  
  
  31. organizationalUnitName = optional
    32. 

  
  
    33. 

  
  
  33. [ myca_extensions ]
    34. 

  
  
  34. basicConstraints = critical,CA:FALSE
    35. 

  
  
  35. keyUsage = critical,any
    36. 

  
  
  36. subjectKeyIdentifier = hash
    37. 

  
  
  37. authorityKeyIdentifier = keyid:always,issuer
    38. 

  
  
  38. keyUsage = digitalSignature,keyEncipherment
    39. 

  
  
  39. extendedKeyUsage = serverAuth
    40. 

  
  
  40. crlDistributionPoints = @crl_section
    41. 

  
  
  41. subjectAltName  = @alt_names
    42. 

  
  
  42. authorityInfoAccess = @ocsp_section
    43. 

  
  
    44. 

  
  
  44. [ alt_names ]
    45. 

  
  
  45. DNS.0 = Linux.CN Intermidiate CA 1
    46. 

  
  
  46. DNS.1 = Linux.CN CA Intermidiate 1
    47. 

  
  
    48. 

  
  
  48. [ crl_section ]
    49. 

  
  
  49. URI.0 = http://pki.linux.cn/intermediate1.crl
    50. 

  
  
  50. URI.1 = http://pki2.linux.cn/intermediate1.crl
    51. 

  
  
    52. 

  
  
  52. [ ocsp_section ]
    53. 

  
  
  53. caIssuers;URI.0 = http://pki.linux.cn/intermediate1.crt
    54. 

  
  
  54. caIssuers;URI.1 = http://pki2.linux.cn/intermediate1.crt
    55. 

  
  
  55. OCSP;URI.0 = http://pki.linux.cn/ocsp/
    56. 

  
  
  56. OCSP;URI.1 = http://pki2.linux.cn/ocsp/
    57.

修改 [alt_names] 小节为你所需的替代主题名Subject Alternative names。如果不需要就删除引入它的 subjectAltName = @alt_names 行。

如果你需要指定起止时间，添加如下行到 [myca] 中。


 
 
    

  
  
  1. # format: YYYYMMDDHHMMSS
    2. 

  
  
  2. default_enddate = 20191222035911
    3. 

  
  
  3. default_startdate = 20181222035911
    4.

生成一个空的 CRL （包括 PEM 和 DER 两种格式）：


 
 
    

  
  
  1. openssl ca -config ca.conf -gencrl -keyfile intermediate1.key -cert intermediate1.crt -out intermediate1.crl.pem
    2. 

  
  
    3. 

  
  
  3. openssl crl -inform PEM -in intermediate1.crl.pem -outform DER -out intermediate1.crl
    4.

创建最终用户证书

我们使用新的中级 CA 来生成最终用户的证书。为每个你需要用此 CA 签名的最终用户证书重复这些步骤。


 
 
    

  
  
  1. mkdir ~/enduser-certs
    2. 

  
  
  2. cd ~/enduser-certs
    3.

生成最终用户的私钥：


 
 
    

  
  
  1. openssl genrsa -out enduser-example.com.key 4096
    2.

生成最终用户的 CSR：


 
 
    

  
  
  1. openssl req -new -sha256 -key enduser-example.com.key -out enduser-example.com.csr
    2.

输出类似如下：


 
 
    

  
  
  1. You are about to be asked to enter information that will be incorporated
    2. 

  
  
  2. into your certificate request.
    3. 

  
  
  3. What you are about to enter is what is called a Distinguished Name or a DN.
    4. 

  
  
  4. There are quite a few fields but you can leave some blank
    5. 

  
  
  5. For some fields there will be a default value,
    6. 

  
  
  6. If you enter '.', the field will be left blank.
    7. 

  
  
  7. -----
    8. 

  
  
  8. Country Name (2 letter code) [AU]:CN
    9. 

  
  
  9. State or Province Name (full name) [Some-State]:Shanghai
    10. 

  
  
  10. Locality Name (eg, city) []:Xuhui dist.
    11. 

  
  
  11. Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
    12. 

  
  
  12. Organizational Unit Name (eg, section) []:IT Dept
    13. 

  
  
  13. Common Name (e.g. server FQDN or YOUR name) []:example.com
    14. 

  
  
  14. Email Address []:
    15. 

  
  
    16. 

  
  
  16. Please enter the following 'extra' attributes
    17. 

  
  
  17. to be sent with your certificate request
    18. 

  
  
  18. A challenge password []:
    19. 

  
  
  19. An optional company name []:
    20.

用1号中级 CA 签名最终用户的证书：


 
 
    

  
  
  1. cd ~/SSLCA/intermediate1
    2. 

  
  
  2. openssl ca -batch -config ca.conf -notext -in ~/enduser-certs/enduser-example.com.csr -out ~/enduser-certs/enduser-example.com.crt
    3.

输出类似如下：


 
 
    

  
  
  1. Using configuration from ca.conf
    2. 

  
  
  2. Check that the request matches the signature
    3. 

  
  
  3. Signature ok
    4. 

  
  
  4. The Subject's Distinguished Name is as follows
    5. 

  
  
  5. countryName           :PRINTABLE:'CN'
    6. 

  
  
  6. stateOrProvinceName   :ASN.1 12:'Shanghai'
    7. 

  
  
  7. localityName          :ASN.1 12:'Xuhui dist.'
    8. 

  
  
  8. organizationName      :ASN.1 12:'Example Inc'
    9. 

  
  
  9. organizationalUnitName:ASN.1 12:'IT Dept'
    10. 

  
  
  10. commonName            :ASN.1 12:'example.com'
    11. 

  
  
  11. Certificate is to be certified until Mar 30 15:18:26 2016 GMT (365 days)
    12. 

  
  
    13. 

  
  
  13. Write out database with 1 new entries
    14. 

  
  
  14. Data Base Updated
    15.

生成 CRL （包括 PEM 和 DER 两种格式）：


 
 
    

  
  
  1. cd ~/SSLCA/intermediate1/
    2. 

  
  
  2. openssl ca -config ca.conf -gencrl -keyfile intermediate1.key -cert intermediate1.crt -out intermediate1.crl.pem
    3. 

  
  
    4. 

  
  
  4. openssl crl -inform PEM -in intermediate1.crl.pem -outform DER -out intermediate1.crl
    5.

每次使用该 CA 签名证书后都需要生成 CRL。

如果需要的话，你可以撤销revoke这个最终用户证书：


 
 
    

  
  
  1. cd ~/SSLCA/intermediate1/
    
openssl ca -config ca.conf -revoke ~/enduser-certs/enduser-example.com.crt -keyfile intermediate1.key -cert intermediate1.crt
    2.

输出类似如下：


 
 
    

  
  
  1. Using configuration from ca.conf
    2. 

  
  
  2. Revoking Certificate 1000.
    3. 

  
  
  3. Data Base Updated
    4.

将根证书和中级证书连接起来创建证书链文件：


 
 
    

  
  
  1. cat ../root/rootca.crt intermediate1.crt > ~/enduser-certs/enduser-example.com.chain
    2.

将这些文件发送给最终用户：


 
 
    

  
  
  1. enduser-example.com.crt
    2. 

  
  
  2. enduser-example.com.key
    3. 

  
  
  3. enduser-example.com.chain
    4.

你也可以让最终用户提供他们中级的 CSR 文件，而只发回给他们 这个 .crt 文件。不要从服务器上删除它们，否则就不能撤销了。

校验证书

你可以通过如下命令使用证书链来验证最终用户证书：


 
 
    

  
  
  1. cd ~/enduser-certs
    2. 

  
  
  2. openssl verify -CAfile enduser-example.com.chain enduser-example.com.crt 
    3. 

  
  
  3. enduser-example.com.crt: OK
    4.

你也可以用 CRL 来校验它。首先将 PEM CRL 连接到证书链文件：


 
 
    

  
  
  1. cd ~/SSLCA/intermediate1
    2. 

  
  
  2. cat ../root/rootca.crt intermediate1.crt intermediate1.crl.pem > ~/enduser-certs/enduser-example.com.crl.chain
    3.

校验证书：


 
 
    

  
  
  1. cd ~/enduser-certs
    2. 

  
  
  2. openssl verify -crl_check -CAfile enduser-example.com.crl.chain enduser-example.com.crt
    3.

如果该证书未撤销，输出如下：


 
 
    

  
  
  1. enduser-example.com.crt: OK
    2.

如果撤销了，输出如下：


 
 
    

  
  
  1. enduser-example.com.crt: CN = example.com, ST = Beijing, C = CN, O = Example Inc, OU = IT Dept
    2. 

  
  
  2. error 23 at 0 depth lookup:certificate revoked

    

    3. 

  
  
  3. 本文来自云栖社区合作伙伴“Linux中国”，原文发布日期：2015-10-28
    4.
文章标签：
Linux
开发工具
索引
存储
寒凝雪
目录
相关文章
jianz123
|
6月前
|
Linux 应用服务中间件 网络安全
linux ssl 证书 --本地制作数字证书并进行程序的数字签名
linux ssl 证书 --本地制作数字证书并进行程序的数字签名
jianz123
82 0
风水道人
|
6月前
|
JSON Kubernetes Linux
Linux环境签发CA证书和K8s需要的证书
Linux环境签发CA证书和K8s需要的证书
风水道人
86 0
suboysugar
|
算法 Java 数据安全/隐私保护
如何使用OpenSSL工具生成根证书与应用证书
如何使用OpenSSL工具生成根证书与应用证书 一、步骤简记 [java] view plain copy   // 生成顶级CA的公钥证书和私钥文件，有效期10年（RSA 1024bits，默认）   openssl req -new -x509 -days 3650 -keyout CARoot1024.
suboysugar
3504 0
小空门123-30335
|
4月前
|
安全 网络安全 数据安全/隐私保护
`certifi`是一个Python包，它提供了一个包含Mozilla证书颁发机构（CA）Bundle的PEM文件。
`certifi`是一个Python包，它提供了一个包含Mozilla证书颁发机构（CA）Bundle的PEM文件。
小空门123-30335
305 7
咕噜咕噜wy
|
6月前
|
Java 开发者
openssl win10安装 生成开发者 RSA 私钥 、公钥
openssl win10安装 生成开发者 RSA 私钥 、公钥
咕噜咕噜wy
61 1
风水道人
|
6月前
|
Java
使用jdk生成证书使用openssl来导出公钥信息
使用jdk生成证书使用openssl来导出公钥信息
风水道人
29 0
科技小先锋
|
算法 网络安全 数据安全/隐私保护
加密、解密、openssl的基本应用以及自己创建CA
科技小先锋
1733 0
余二五
|
应用服务中间件 网络安全 开发工具
用openssl创建公钥私钥证书的脚本
余二五
1382 0
云.智
|
算法 网络协议 安全
用OpenSSL编写SSL,TLS程序
用OpenSSL编写SSL,TLS程序(1) 作者：tamsyn  来源：www.
云.智
1441 0
技术小阿哥
|
Java 应用服务中间件 数据安全/隐私保护
OpenSSL 1.0.0生成p12、jks、crt等格式证书的命令个过程
技术小阿哥
2945 0