CentOS 7.2.1511
环境：
Distributor ID: CentOS
Description: CentOS Linux release 7.2.1511 (Core)
Release: 7.2.1511
安装
文件夹准备
yum install openssl -y
find / -name "openssl.cnf"
/etc/pki/tls/openssl.cnf
cat /etc/pki/tls/openssl.cnf
dir = /etc/pki/CA # Where everything is kept
cd /etc/pki/CA
ls
certs crl newcerts private
touch index.txt
echo 01 > serial
ls
certs crl index.txt newcerts private serial
-
certs——存放已颁发的证书
-
newcerts——存放CA指令生成的新证书
-
private——存放私钥
-
crl——存放已吊销的整数
-
index.txt——OpenSSL定义的已签发证书的文本数据库文件，这个文件通常在初始化的时候是空的
-
serial——证书签发时使用的序列号参考文件，该文件的序列号是以16进制格式进行存放的，该文件必须提供并且包含一个有效的序列号
-
生成证书之前，需要先生成一个随机数：
#rand——生成随机数
#-out——指定输出文件
#1000——指定随机数长度
openssl rand -out private/.rand 1000
生成根证书：
- 生成根证书私钥(pem文件)
openssl genrsa -aes256 -out private/cakey.pem 1024
Generating RSA private key, 1024 bit long modulus
........++++++
..............++++++
e is 65537 (0x10001)
Enter pass phrase for private/cakey.pem:
Verifying - Enter pass phrase for private/cakey.pem:
-
genrsa——使用RSA算法产生私钥
-
-aes256——使用256位密钥的AES算法对私钥进行加密
-
-out——输出文件的路径
-
1024——指定私钥长度
-
生成根证书签发申请文件(csr文件)
使用上一步生成的私钥(pem文件)，生成证书请求文件(csr文件)
openssl req -new -key private/cakey.pem -out private/ca.csr -subj \
"/C=CN/ST=Beijing/L=Beijing/O=Ourdark/OU=Ourdark/CN=Ourdark"
Enter pass phrase for private/cakey.pem:
-
req——执行证书签发命令
-
-new——新证书签发请求
-
-key——指定私钥路径
-
-out——输出的csr文件的路径
-
-subj——证书相关的用户信息(subject的缩写)
-
C是Country，
-
ST是state
-
L是local
-
O是Organization
-
OU是Organization Unit
-
CN是common name
-
自签发根证书(cer文件)
csr文件生成以后，可以将其发送给CA认证机构进行签发，当然，这里我们使用OpenSSL对该证书进行自签发
openssl x509 -req -days 365 -sha1 -extensions v3_ca -signkey \
private/cakey.pem -in private/ca.csr -out certs/ca.cer
Signature ok
subject=/C=CN/ST=Beijing/L=Beijing/O=Ourdark/OU=Ourdark/CN=Ourdark
Getting Private key
Enter pass phrase for private/cakey.pem:
- x509——生成x509格式证书
- -req——输入csr文件
- -days——证书的有效期（天）
- -sha1——证书摘要采用sha1算法
- -extensions——按照openssl.cnf文件中配置的v3_ca项添加扩展
- -signkey——签发证书的私钥
- -in——要输入的csr文件
- -out——输出的cer证书文件
ls certs/
ca.cer
用根证书签发server端证书
- 生成服务端私钥
openssl genrsa -aes256 -out private/server-key.pem 1024
- 生成证书请求文件
openssl req -new -key private/server-key.pem -out private/server.csr -subj \
"/C=CN/ST=Beijing/L=Beijing/O=Ourdark/OU=Ourdark/CN=Ourdark"
- 使用根证书签发服务端证书
openssl x509 -req -days 365 -sha1 -extensions v3_req -CA certs/ca.cer -CAkey private/cakey.pem \
-CAserial ca.srl -CAcreateserial -in private/server.csr -out certs/server.cer
- -CA——指定CA证书的路径
- -CAkey——指定CA证书的私钥路径
- -CAserial——指定证书序列号文件的路径
- -CAcreateserial——表示创建证书序列号文件(即上方提到的serial文件)，创建的序列号文件默认名称为-CA，指定的证书名称后加上.srl后缀
注意：这里指定的-extensions的值为v3_req，在OpenSSL的配置中，v3_req配置的basicConstraints的值为CA:FALSE
[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
而前面生成根证书时，使用的-extensions值为v3_ca，v3_ca中指定的basicConstraints的值为CA:TRUE，表示该证书是颁发给CA机构的证书
[ v3_ca ]
# Extensions for a typical CA
# PKIX recommendation.
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer
# This is what PKIX recommends but some broken software chokes on critical
# extensions.
#basicConstraints = critical,CA:true
# So we do this instead.
basicConstraints = CA:true
在x509指令中，有多重方式可以指定一个将要生成证书的序列号，可以使用set_serial选项来直接指定证书的序列号，也可以使用-CAserial选项来指定一个包含序列号的文件。所谓的序列号是一个包含一个十六进制正整数的文件，在默认情况下，该文件的名称为输入的证书名称加上.srl后缀，比如输入的证书文件为ca.cer，那么指令会试图从ca.srl文件中获取序列号，可以自己创建一个ca.srl文件，也可以通过-CAcreateserial选项来生成一个序列号文件。
用根证书签发client端证书
与签发server端的证书的过程类似，改下参数
- 生成客户端私钥
openssl genrsa -aes256 -out private/client-key.pem 1024
- 生成证书请求文件
openssl req -new -key private/client-key.pem -out private/client.csr -subj \
"/C=CN/ST=Beijing/L=Beijing/O=Ourdark/OU=Ourdark/CN=Ourdark"
- 使用根证书签发客户端证书
openssl x509 -req -days 365 -sha1 -extensions v3_req -CA certs/ca.cer -CAkey private/cakey.pem \
-CAserial ca.srl -in private/client.csr -out certs/client.cer
注意上方签发服务端证书时已经使用-CAcreateserial生成过ca.srl文件，因此这里不需要带上这个参数
ls certs/
ca.cer client.cer server.cer
导出证书
- 导出客户端证书
openssl pkcs12 -export -clcerts -name ourdarkclient -inkey \
private/client-key.pem -in certs/client.cer -out certs/client.keystore
-
pkcs12——用来处理pkcs#12格式的证书
-
-export——执行的是导出操作
-
-clcerts——导出的是客户端证书，-cacerts则表示导出的是ca证书
-
-name——导出的证书别名
-
-inkey——证书的私钥路径
-
-in——要导出的证书的路径
-
-out——输出的密钥库文件的路径
- 导出服务端证书
openssl pkcs12 -export -clcerts -name ourdarkserver -inkey \
private/server-key.pem -in certs/server.cer -out certs/server.keystore
- 信任证书的导出
keytool -importcert -trustcacerts -alias www.ourdark.org \
-file certs/ca.cer -keystore certs/ca-trust.keystore
### 查看证书文件 ****
ls certs/
ca.cer ca-trust.keystore client.cer client.keystore server.cer server.keystore
****
