14 Linux之openssl工具创建私有CA

• 证书的创建依赖加密算法，请看http://yunweigou.blog.51cto.com/6299641/1637108

  
  

• 前言，随着网络的发展，由于使用http协议通信的双方数据是明码格式的，故容易被其他网络主机盗取或偷换数据，无法对数据的安全提供保障。为保证数据的保密性及完整性，SSL问世

  
  

• SSL：Secure Sockets Layer 安全套接字层

  • 可理解为传输层和应用层之间的半层，对数据进行加密和解密

  • 是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。

  • 更多详细信息，请查看http://fr.wikipedia.org/wiki/SSL

       

• OPENSSL：开源界SSL

  • libcrypto# 加密、解密所使用的库文件
    libssl#ssl协议的一种实现
    openssl#多用途命令行工具，每种功能都能使用专用的子命令完成

  • Standard commands #标准命令

  • asn1parse         ca                ciphers           cms               

  • crl               crl2pkcs7         dgst              dh                

  • dhparam           dsa               dsaparam          ec                

  • ecparam           enc               engine            errstr            

  • gendh             gendsa            genpkey           genrsa            

  • nseq              ocsp              passwd            pkcs12            

  • pkcs7             pkcs8             pkey              pkeyparam         

  • pkeyutl           prime             rand              req               

  • rsa               rsautl            s_client          s_server          

  • s_time            sess_id           smime             speed             

  • spkac             ts                verify            version           

  • x509              

  • 
    

  • Message Digest commands (see the `dgst' command for more details)#消息摘要命令：单向加密算法

  • md2               md4               md5               rmd160            

  • sha               sha1              

  • 
    

  • Cipher commands (see the `enc' command for more details) #加密解密相关的命令

  • aes-128-cbc       aes-128-ecb       aes-192-cbc       aes-192-ecb       

  • aes-256-cbc       aes-256-ecb       base64            bf                

  • bf-cbc            bf-cfb            bf-ecb            bf-ofb            

  • camellia-128-cbc  camellia-128-ecb  camellia-192-cbc  camellia-192-ecb  

  • camellia-256-cbc  camellia-256-ecb  cast              cast-cbc          

  • cast5-cbc         cast5-cfb         cast5-ecb         cast5-ofb         

  • des               des-cbc           des-cfb           des-ecb           

  • des-ede           des-ede-cbc       des-ede-cfb       des-ede-ofb       

  • des-ede3          des-ede3-cbc      des-ede3-cfb      des-ede3-ofb      

  • des-ofb           des3              desx              idea              

  • idea-cbc          idea-cfb          idea-ecb          idea-ofb          

  • rc2               rc2-40-cbc        rc2-64-cbc        rc2-cbc           

  • rc2-cfb           rc2-ecb           rc2-ofb           rc4               

  • rc4-40            seed              seed-cbc          seed-cfb          

  • seed-ecb          seed-ofb          zlib

  • 组成部分：

• 
  

  • [root@chanlay3 pki]# tree CA
    CA
    ├── certs    证书文件存放的位置
    ├── crl      证书吊销列表存放的位置
    ├── newcerts 新创建的证书的存放位置
    └── private  CA私钥存放

  • 生成私钥：

  • 括号不可省略，相当于打开子shell进程运行的
    
    

  • # openssl genrsa -out testkey 2048

  • 私钥一般只为自己可读可写须改其权限

  • # chmod 600 testkey

  • 可改为：

  • # (umask 077;openssl genrsa -out testkey 2048)

  • openssl enc -e -des3 -a -salt -in fstab -out fstab.des3 #对文件加密（对称加密）
    openssl enc -d -des3 -a -salt -in fstab.des3 -out fstab.new #对文件解密（加解密同一密钥）

  • 例如：

  • 生成密钥对儿操作过程:

  • 证书目录：/etc/pki/CA

使用openssl创建私有CA：

• 生成私钥

  • 私钥用于签发证书时，向证书添加数字签名使用

发起证书签署请求并自签证书

• 每个通信方都导入此证书至“受信任的证书颁发机构”

-new：生成新的证书签署请求

-key：私钥文件路径，用于提取公钥

-days #：证书有效期，单位为天

-out：输出文件(证书)保存位置

-x509：直接输出自签署的证书，通常只有构建CA时用

至此CA构建完成。各通信方就可向该CA请求证书了

更多详情参考/etc/pki/tls/openssl.conf文件（须新建辅助文件，如下步骤）

提供必要的辅助文件

• 
  

    

• 向节点发证书

  • 验证请求者信息

  • 直接签署证书

  • 生成私钥：

  • 生成证书签署请求

    
    

  • 把请求crt文件通过某方式发送给CA

    
    

  • 节点发起证书申请

  • CA签发证书

注：这里给大家示范错误例子，签名没问题，问题在于请求者与被请求者区域不一致

从生成证书签署请求那里错误就开始了，正确如下

至此，证书签署完毕！看着界面好舒服，有没有~
将会看到辅助文件的变化，如下：

• 将签署好的证书发还给请求者
  
  

• 证书的吊销：

  • 获得吊销证书的序列号

  • 实现证书的吊销

  • openssl crl -gencrl -out THISCA.crl

  • openssl x509 -in /etc/httpd/ssl/httpd.crt -noout -serial -subject

  • openssl ca -revoke /etc/httpd/ssl/httpd.crt

  • echo 01 > /etc/pki/CA/crlnum

  • 更新证书吊销列表

  • 吊销证书

  • 生成吊销证书的编号

至此完毕。