OpenSSL自建CA和签发二级CA及颁发SSL证书

openssl

传输层安全性/安全套接层及其加密库

项目地址：https://gitcode.com/gh_mirrors/ope/openssl

免费下载资源

西夏一品堂

7250人浏览 · 2019-01-02 22:57:25

西夏一品堂 · 2019-01-02 22:57:25 发布

自己签发CA证书再签发服务器证书的场景非常简单。把根CA证书导入到浏览器后，就可以信任由这个根CA直接签发的服务器证书。
但是实际上网站使用的证书肯定都不是由根CA直接签发的，比如

像百度这种，网站使用的证书就是由二级CA颁发的证书。

本文就来演示，自签CA，由自签CA签发二级CA，最后由二级CA签发网站证书

--------------------------------------------------------------------------------------------------------

系统环境：

Ubuntu 18.10

OpenSSL 1.1.1 11 Sep 2018

一：创建根CA

1：依次创建如下目录

mkdir -p /opt/ca/root

mkdir /opt/ca/root/key

2：vim /opt/ca/root/openssl.cnf

[ ca ]
default_ca	= CA_default
 
[ CA_default ]
dir		    = /opt/ca/root
certs		= $dir/certs
crl_dir		= $dir/crl
database	= $dir/index.txt
new_certs_dir	= $dir/newcerts
certificate	= $dir/key/cacert.crt
serial		= $dir/serial
crlnumber	= $dir/crlnumber
crl		    = $dir/crl.pem
private_key	= $dir/key/cakey.pem
RANDFILE	= $dir/key/.rand
unique_subject	= no
 
x509_extensions	= usr_cert
copy_extensions = copy
 
name_opt 	= ca_default
cert_opt 	= ca_default
 
default_days	= 365
default_crl_days= 30
default_md	= sha256
preserve	= no
policy		= policy_ca
 
[ policy_ca ]
countryName		= supplied
stateOrProvinceName	= supplied
organizationName	= supplied
organizationalUnitName	= supplied
commonName		= supplied
emailAddress		= optional
 
[ req ]
default_bits		= 2048
default_keyfile 	= privkey.pem
distinguished_name	= req_distinguished_name
attributes		= req_attributes
x509_extensions	= v3_ca
string_mask = utf8only
utf8 = yes
prompt                  = no
 
[ req_distinguished_name ]
countryName			= CN
stateOrProvinceName		= beijing
localityName			= beijing
organizationName        = Global Google CA Inc
organizationalUnitName	= Root CA
commonName			= Global Google Root CA
 
[ usr_cert ]
basicConstraints = CA:TRUE
 
[ v3_ca ]
basicConstraints = CA:TRUE
 
[ req_attributes ]

3：创建如下目录及文件

mkdir /opt/ca/root/newcerts

touch /opt/ca/root/index.txt

touch /opt/ca/root/index.txt.attr

echo 01 > /opt/ca/root/serial

4：创建根CA私钥

openssl genrsa -out /opt/ca/root/key/cakey.pem 2048

5：创建根CA证书请求文件

openssl req -new -key /opt/ca/root/key/cakey.pem -out /opt/ca/root/key/ca.csr -config /opt/ca/root/openssl.cnf

6：自签根CA证书

openssl ca -selfsign -in /opt/ca/root/key/ca.csr -out /opt/ca/root/key/cacert.crt -config /opt/ca/root/openssl.cnf

7：查看证书信息（可选）

openssl x509 -text -in /opt/ca/root/key/cacert.crt

经过以上几个步骤，就生成了根CA的相关证书和私钥，可以用于签发其他的CA（二级CA），不可签发服务器证书

二：创建二级CA

1：依次创建如下目录

mkdir /opt/ca/agent

mkdir /opt/ca/agent/key

2：vim /opt/ca/agent/openssl.cnf

[ ca ]
default_ca	= CA_default
 
[ CA_default ]
dir		    = /opt/ca/agent
certs		= $dir/certs
crl_dir		= $dir/crl
database	= $dir/index.txt
new_certs_dir	= $dir/newcerts
certificate	= $dir/key/cacert.crt
serial		= $dir/serial
crlnumber	= $dir/crlnumber
crl		    = $dir/crl.pem
private_key	= $dir/key/cakey.pem
RANDFILE	= $dir/key/.rand
unique_subject	= no
 
x509_extensions	= usr_cert
copy_extensions = copy
 
name_opt 	= ca_default
cert_opt 	= ca_default
 
default_days	= 365
default_crl_days= 30
default_md	= sha256
preserve	= no
policy		= policy_ca
 
[ policy_ca ]
countryName		= supplied
stateOrProvinceName	= supplied
organizationName	= supplied
organizationalUnitName	= supplied
commonName		= supplied
emailAddress		= optional
 
[ req ]
default_bits		= 2048
default_keyfile 	= privkey.pem
distinguished_name	= req_distinguished_name
attributes		= req_attributes
x509_extensions	= v3_ca
string_mask = utf8only
utf8 = yes
prompt = no
 
[ req_distinguished_name ]
countryName			= CN
stateOrProvinceName		= Guangdong
localityName			= Guangzhou
organizationName        = Global Google CA Inc
organizationalUnitName	= Google 2019 CA
commonName			= Google 2019 CA
 
[ usr_cert ]
basicConstraints = CA:FALSE
 
[ v3_ca ]
basicConstraints        = CA:TRUE
 
[ req_attributes ]

3：创建如下目录及文件

mkdir /opt/ca/agent/newcerts

touch /opt/ca/agent/index.txt

touch /opt/ca/agent/index.txt.attr

echo 01 > /opt/ca/agent/serial

4：创建二级CA私钥

openssl genrsa -out /opt/ca/agent/key/cakey.pem 2048

5：创建二级CA证书请求文件

openssl req -new -key /opt/ca/agent/key/cakey.pem -out /opt/ca/agent/key/ca.csr -config /opt/ca/agent/openssl.cnf

6：使用根CA签发二级CA

openssl ca -in /opt/ca/agent/key/ca.csr -out /opt/ca/agent/key/cacert.crt -config /opt/ca/root/openssl.cnf

7：查看证书信息（可选）

openssl x509 -text -in /opt/ca/agent/key/cacert.crt

经过以上几个步骤，就生成了一个二级CA，这个二级CA可以签发服务器证书（不能签发其他的CA）

三：使用二级CA签发服务器端证书

1：mkdir /opt/ca/taobao

2：vim /opt/ca/taobao/openssl.cnf

[ req ]
prompt             = no
distinguished_name = server_distinguished_name
req_extensions     = req_ext
x509_extensions	= v3_req
attributes		= req_attributes

[ server_distinguished_name ]
commonName              = taobao2018.cn
stateOrProvinceName     = zhejiang
countryName             = CN
organizationName        = Alibaba Taobao Inc
organizationalUnitName  = Taobao IT

[ v3_req ]
basicConstraints        = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

[ req_attributes ]

[ req_ext ]
subjectAltName      = @alternate_names

[ alternate_names ]
DNS.1        = taobao2018.cn
DNS.2        = bbs.taobao2018.cn
DNS.3        = taobao2019.cn

3：生成网站私钥

openssl genrsa -out /opt/ca/taobao/privkey.pem 2048

4：生成证书请求文件（csr文件）

openssl req -new -key /opt/ca/taobao/privkey.pem -out /opt/ca/taobao/taobao.csr -config /opt/ca/taobao/openssl.cnf

5：使用二级CA进行签发证书（这里不能用根CA签发）

openssl ca -in /opt/ca/taobao/taobao.csr -out /opt/ca/taobao/taobao.crt -config /opt/ca/agent/openssl.cnf

6：聚合证书（重要）

由于是二级CA颁发的证书，所以，服务器需要把根CA、二级CA等证书都要发送给浏览器，所以给到web服务器的证书是要一个聚合的证书

cat /opt/ca/taobao/taobao.crt /opt/ca/agent/key/cacert.crt /opt/ca/root/key/cacert.crt | tee /opt/ca/taobao/taobao_all.crt

PS：注意顺序

7：查看证书信息（可选）

openssl x509 -text -in /opt/ca/taobao/taobao_all.crt

经过以上几个步骤，就生成了由二级CA签发的证书了

四：配置nginx的ssl

server {
	listen       443 ssl;
	server_name  taobao2018.cn bbs.taobao2018.cn taobao2019.cn;

	ssl_certificate      /opt/ca/taobao/taobao_all.crt;
	ssl_certificate_key  /opt/ca/taobao/privkey.pem;

	ssl_session_cache    shared:SSL:1m;
	ssl_session_timeout  5m;

	ssl_ciphers  HIGH:!aNULL:!MD5;
	ssl_prefer_server_ciphers  on;

	location / {
		root   html;
		index  index.html index.htm;
	}
}

五：导入自建CA的根证书（二级CA证书无需导入）

这里以Firefox为例，打开：选项 -> 隐私与安全 -> 查看证书，在证书颁发机构里面选择导入，

选择文件 /opt/ca/root/key/cacert.crt 导入并勾选2个信任的复选框

六：配置hosts

192.168.133.134 taobao2018.cn
192.168.133.134 bbs.taobao2018.cn
192.168.133.134 taobao2019.cn

最后，使用https方式访问上面的三个url中的任意一个均可

访问之后，也可以在Firefox上查看证书

注意：

一：

CA和证书是有区别的，CA是用来颁发证书和签发二级CA的，且两者是互斥的。也就是说，一个CA要么是用来签发二级CA的，要么是用来签发证书的。

如何判断？

在 /opt/ca/root/openssl.cnf配置文件中，有如下配置

[ usr_cert ]
basicConstraints = CA:TRUE
 
[ v3_ca ]
basicConstraints = CA:TRUE

usr_cert下面的basicConstraints代表的是当前CA的配置，

CA:TRUE是当前CA签发的是CA（二级CA），不能签发证书，

CA:FALSE是当前CA签发的是证书，不能签发CA（二级CA）

v3_ca下面的basicConstraints代表的是请求的证书是CA还是证书

CA:TRUE表示当前请求的是CA（二级CA）

CA:FALSE表示当前请求的是证书

二：

如果是CA（二级CA），则证书请求中的commonName不需要填写域名，可以填写组织机构

如果是证书，则证书请求中的commonName需要填写域名（一般是主域名），当然了，这个主域名也要在后面的subjectAltName属性中

GitHub 加速计划 / ope / openssl

25.13 K

9.99 K

下载

传输层安全性/安全套接层及其加密库

最近提交(Master分支：1 个月前 )

fd39d1c8 Reviewed-by: Tomas Mraz <tomas@openssl.org> Reviewed-by: Shane Lontis <shane.lontis@oracle.com> (Merged from https://github.com/openssl/openssl/pull/25095) 3 个月前

ae87c488 Reviewed-by: Tomas Mraz <tomas@openssl.org> Reviewed-by: Shane Lontis <shane.lontis@oracle.com> (Merged from https://github.com/openssl/openssl/pull/25095) 3 个月前

GitCode 开源社区

旨在为数千万中国开发者提供一个无缝且高效的云端环境，以支持学习、使用和贡献开源项目。

更多推荐

[转载]在Windows环境下安装GNU Radio

转自：在Windows环境下安装GNURadio_恐弱智_新浪博客GNU Radio是用Python开发的，大部分开源的工程能够在Linux环境下运行良好，而Windows下却运行的很勉强，而且安装配置都很复杂。GNU Radio算是个例外了，不光提供了Windows的二进制安装，还有比较详细的说明。我是Python小白，所以折腾了好久才弄好，特意记录下来，免得以后再装还折腾。GNU Radio的

GitCode 开源社区

centOS 8 使用dnf安装Docker

DNF是什么？CentOS 8使用YUM软件包管理器版本v4.0.4。现在，该版本使用DNF(已删除YUM)。DNF是软件包管理器。它会在Linux发行版上安装，执行更新并删除软件包。使用DNF安装Docker跳过具有损坏依赖性的程序包一个有效的解决方案是使您的CentOS 8系统使用以下--nobest命令安装最符合条件的版本：sudo dnf install docker...

GitCode 开源社区

定时同步数据库表(mysql+linux+crontab)

sync.sh里面的参数需要改变，ip/username/password/database/tablesync.sh#!/bin/sh# Please change the IP and password of the data source db.# Then change the table name.filename=/home/nington/db/$(date +%Y-%m