使用OpenSSL建立根CA及自签名证书制作过程

合集下载

openssl 证书模板

openssl 证书模板`openssl` 是一个强大的工具，用于创建和管理 SSL/TLS 证书。

以下是使用`openssl` 生成证书模板的一些基本步骤和示例。

1. 生成自签名证书生成一个自签名证书用于测试或开发环境：```bashopenssl req -x509 -newkey rsa:2048 -nodes -keyout -out -days 365 ```这个命令将创建一个新的 RSA 2048 位密钥对，并使用它来创建一个自签名的 SSL 证书。

证书和私钥将分别存储在 `` 和 `` 文件中。

2. 生成 CSR (证书签名请求)如果你想让一个权威机构（如Let's Encrypt、DigiCert 等）为你签署证书，你需要先创建一个 CSR：```bashopenssl req -new -newkey rsa:2048 -nodes -keyout -out```这将生成一个新的 RSA 2048 位密钥对，并使用它来创建一个证书签名请求（CSR）。

私钥和 CSR 将分别存储在 `` 和 `` 文件中。

3. 使用 CSR 获取证书将 CSR 提交给权威机构，然后按照他们的指示获取签署的证书。

通常，他们会要求你提供一个 CA 证书链，这样他们可以验证他们自己的证书，并确保他们正在与一个可信任的实体通信。

4. 配置服务器一旦你有了证书和私钥，你就可以将它们配置到你的服务器上。

这通常涉及将证书和私钥文件复制到服务器的适当位置，并配置服务器软件（如 Nginx 或Apache）以使用这些文件。

具体的配置步骤取决于你使用的服务器软件。

5. 验证和测试在部署之前，验证你的证书是否有效以及你的服务器配置是否正确是很重要的。

你可以使用各种在线工具和服务来进行验证和测试，例如 SSL Labs 的SSL Server Test。

6. 更新和管理随着时间的推移，可能需要更新和管理你的 SSL/TLS 证书。

使用OpenSSL建立根CA及自签名证书制作过程

使用OpenSSL建立根CA及自签名证书制作过程2009-12-24 11:35:32| 分类：openssl |字号订阅Openssl版本：0.9.8 版本，可从处下载。

1.先建立如下目录结构：$home/testca # testca 是待建CA的主目录├─newcerts/ # newcerts子目录将存放CA签发过的数组证书(备份目录)├─private/ # private目录用来存放CA私钥└─conf/ # conf目录用来存放简化openssl命令行参数用的配置文件此外使用命令echo "01" > serialtouch index.txt在ca根目录下创建文件serial (用来存放下一个证书的序列号) 和indext.txt (证书信息数据库文件)。

1.生成CA的私钥和自签名证书 (根证书)创建配置文件：vi "$HOME/testca/conf/gentestca.conf"文件内容如下：####################################[ req ]default_keyfile = /home/cx/testCA/private/cakey.pemdefault_md = md5prompt = nodistinguished_name = ca_distinguished_namex509_extensions = ca_extensions[ ca_distinguished_name ]organizationName = ssorganizationalUnitName = sstccommonName = sstcCAemailAddress = GChen2@ #自己的邮件地址[ ca_extensions ]basicConstraints = CA:true########################################然后执行命令如下：cd "$HOME/testca"openssl req -x509 -newkey rsa:2048 -out cacert.pem -outform PEM -days 2190 -config "$HOME/testca/conf/gentestca.conf"执行过程中需要输入CA私钥的保护密码，假设我们输入密码： 888888可以用如下命令查看一下CA自己证书的内容openssl x509 -in cacert.pem -text –noout创建一个配置文件，以便后续CA日常操作中使用vi "$HOME/testca/conf/testca.conf"文件内容如下：########################################[ ca ]default_ca = testca # The default ca section[ testca ]dir = /home/cx/testCA # top dirdatabase = $dir/index.txt # index file.new_certs_dir = $dir/newcerts # new certs dircertificate = $dir/cacert.pem # The CA certserial = $dir/serial # serial no fileprivate_key = $dir/private/cakey.pem # CA private keyRANDFILE = $dir/private/.rand # random number filedefault_days = 365 # how long to certify fordefault_crl_days= 30 # how long before next CRLdefault_md = md5 # message digest method to useunique_subject = no # Set to 'no' to allow creation of# several ctificates with same subject.Policy = policy_any # default policy[ policy_any ]countryName = optionalstateOrProvinceName = optionallocalityName = optionalorganizationName = optionalorganizationalUnitName = optionalcommonName = suppliedemailAddress = optional########################################1.自己生成公钥密钥，并用测试CA签发数字证书我们在平时测试时，可以自己用openssl为服务器或用户生成公钥密钥，并用上面创建的CA签发对应私钥（密钥）的数字证书。

Linux命令高级技巧使用openssl生成和管理SSL证书

Linux命令高级技巧使用openssl生成和管理SSL证书使用OpenSSL生成和管理SSL证书一、介绍SSL证书是用于保护网站和网络通信安全的重要工具。

OpenSSL是一个开源加密库，能够提供各种加密算法和SSL/TLS协议的实现。

本文将介绍如何使用OpenSSL生成和管理SSL证书的高级技巧。

二、安装OpenSSL首先，确保已经在Linux系统上安装了OpenSSL。

可以通过以下命令来检查OpenSSL是否已安装：$ openssl version如果没有安装，可以使用包管理工具，如apt、yum等进行安装。

三、生成自签名证书自签名证书用于测试环境或本地开发，不需要经过权威机构的认证。

使用OpenSSL可以轻松生成自签名证书。

以下是生成自签名证书的步骤：1. 生成私钥：$ openssl genrsa -out private.key 20482. 生成证书签发请求(CSR)：$ openssl req -new -key private.key -out csr.csr在生成CSR的过程中，需要填写一些证书相关的信息，如国家、地区、组织、通用名等。

3. 生成自签名证书：$ openssl x509 -req -in csr.csr -signkey private.key -out certificate.crt生成的certificate.crt即为自签名证书，可以用于配置Web服务器等需要SSL证书的场景。

四、生成CA证书除了自签名证书，我们也可以生成CA（Certificate Authority）证书，以进行证书签发。

以下是生成CA证书的步骤：1. 生成私钥：$ openssl genrsa -out ca.key 20482. 生成证书签发请求(CSR)：$ openssl req -new -key ca.key -out ca.csr在生成CSR的过程中，需要填写一些证书相关的信息，如国家、地区、组织、通用名等。

openssl 用法

openssl 用法1. 简介OpenSSL是一个开源的加密库，它提供了一套丰富的加密算法和工具，可以用于安全通信、数字证书、密码学等领域。

本文将详细介绍OpenSSL的用法，包括生成证书、对称加密、非对称加密以及数字签名等方面。

2. 生成证书2.1 创建自签名证书使用OpenSSL可以创建自签名证书，自签名证书是一种不依赖于第三方机构签发的信任证书。

生成自签名证书的步骤如下：1.生成私钥：openssl genrsa -out private.key 20482.生成证书签名请求：openssl req -new -key private.key -out csr.csr3.使用私钥签名证书请求：openssl x509 -req -in csr.csr -signkeyprivate.key -out certificate.crt2.2 使用CA签发证书除了自签名证书，还可以向证书颁发机构（CA）申请证书。

步骤如下：1.生成私钥：openssl genrsa -out private.key 20482.生成证书签名请求：openssl req -new -key private.key -out csr.csr3.将证书签名请求发送给CA机构进行签发4.收到由CA签发的证书后，使用私钥对其进行验证：openssl x509 -req -incsr.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out certificate.crt3. 对称加密对称加密是一种加密算法，使用相同的密钥进行加密和解密。

OpenSSL支持多种对称加密算法，包括DES、AES等。

3.1 对称加密示例以下是使用AES对称加密算法进行加密和解密的示例：# 生成密钥openssl rand -out key.key 16# 加密文件openssl enc -aes-256-cbc -e -in plaintext.txt -out ciphertext.enc -pass file:. /key.key# 解密文件openssl enc -aes-256-cbc -d -in ciphertext.enc -out plaintext.txt -pass file:. /key.key4. 非对称加密与对称加密不同，非对称加密使用一对公钥和私钥进行加密和解密。

openssl做证书的方法 -回复

openssl做证书的方法-回复OpenSSL 是一个开源的软件包，可用于创建安全套接字层（SSL）和传输层安全性（TLS）协议的证书。

证书是用于身份验证和数据加密的数字文件。

下面将一步一步介绍OpenSSL 的使用方法来生成证书。

第一步：安装OpenSSL首先，您需要安装OpenSSL 软件包。

根据您的操作系统，可以在OpenSSL 官方网站（OpenSSL 在您的系统上可用。

第二步：生成私钥要生成证书，首先需要生成一个私钥。

私钥用于生成和验证证书，因此它必须严格保密。

您可以使用以下命令在命令行中生成私钥：openssl genpkey -algorithm RSA -out private.key此命令将使用RSA 算法生成一个私钥，并将其保存在private.key 文件中。

确保将文件保存在安全的位置，并为其设置适当的权限，以防止未经授权访问。

第三步：生成证书请求生成了私钥后，接下来需要生成证书请求。

证书请求包含您的公钥以及有关您身份的信息。

以下命令将生成证书请求：openssl req -new -key private.key -out certificate.csr在此命令中，-key 参数指定您的私钥文件，-out 参数指定将保存证书请求的文件名。

您将被要求输入与您身份相关的信息，如名称、单位、电子邮件地址等。

确保在输入这些信息时提供准确的数据。

第四步：自签名证书生成证书请求后，您可以使用OpenSSL 生成一个自签名证书。

自签名证书是由您自己颁发的，因此在一些特定情况下可能不被所有设备或应用程序接受。

但它在测试和开发环境中非常有用。

以下命令将生成自签名证书：openssl x509 -req -in certificate.csr -signkey private.key -out certificate.crt此命令使用您之前生成的私钥和证书请求来创建一个自签名证书。

最后的证书将保存在certificate.crt 文件中。

openssl制作证书流程

openssl制作证书流程OpenSSL是一个开源的加密工具包，可用于生成和管理数字证书。

下面是制作证书的基本流程：1. 安装OpenSSL：首先，确保计算机上已安装OpenSSL。

你可以从OpenSSL官方网站下载适合你操作系统的安装程序，并按照指示进行安装。

2. 创建私钥：使用以下命令在命令行中创建一个私钥文件：openssl genrsa -out private.key 2048这将生成一个2048位的RSA私钥，并将其保存在名为private.key的文件中。

私钥是保护证书的关键。

3. 生成证书请求（CSR）：接下来，使用以下命令生成证书请求文件（CSR）：openssl req -new -key private.key -out certificate.csr在执行此命令时，你需要提供一些相关的信息，如国家、组织名称等。

这些信息将包含在生成的CSR文件中。

4. 填写证书请求信息：执行上一步命令后，将会出现一系列问题，你需要根据实际情况回答。

其中最重要的是Common Name（通用名称），这是证书的域名。

请记住，如果你计划用于公共网站，确保输入的域名与你的网站域名完全匹配。

5. 签发证书：CSR文件是你向证书颁发机构（CA）申请证书的请求文件。

你需要将此文件上载到CA的网站或发送给CA。

该CA将根据你的请求和必要的身份验证程序签署并颁发证书。

6. 安装证书：一旦你收到证书文件，你可以通过以下命令将其与私钥文件合并：openssl pkcs12 -export -out certificate.pfx -inkey private.key -in certificate.crt -certfile ca.crt这将创建一个.pfx文件，其中包含你的私钥、证书和根CA证书。

通过以上步骤，你可以使用OpenSSL成功地制作证书。

请记住，在实际生产环境中，你可能需要购买商业证书，以确保其安全性和认可度。

linux中openssl生成证书和自签证书linux操作系统-电脑资料

linux中openssl生成证书和自签证书linux操作系统-电脑资料下面来给大家介绍关于linux中openssl生成证书和自签证书的例子，整个过程都讲述的非常详细有兴趣的朋友可进入参考，。

1.首先要生成服务器端的私钥(key文件):代码如下复制代码openssl genrsa -des3 -out server.key 1024运行时会提示输入密码,此密码用于加密key文件(参数des3便是指加密算法,当然也可以选用其他你认为安全的算法.),以后每当需读取此文件(通过openssl提供的命令或API)都需输入口令.如果觉得不方便,也可以去除这个口令,但一定要采取其他的保护措施!去除key文件口令的命令:代码如下复制代码openssl rsa -in server.key -out server.key2.openssl req -new -key server.key -out server.csr -config f生成Certificate Signing Request（CSR）,生成的csr文件交给CA签名后形成服务端自己的证书.屏幕上将有提示,依照其指示一步一步输入要求的个人信息即可.3.对客户端也作同样的命令生成key及csr文件:代码如下复制代码openssl genrsa -des3 -out client.key 1024openssl req -new -key client.key -out client.csr -config f4.CSR文件必须有CA的签名才可形成证书.可将此文件发送到verisign等地方由它验证,要交一大笔钱,何不自己做CA呢.代码如下复制代码openssl req -new -x509 -keyout ca.key -out ca.crt -config f5.用生成的CA的证书为刚才生成的server.csr,client.csr文件签名:代码如下复制代码openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config fopenssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key -config f现在我们所需的全部文件便生成了.另：client使用的文件有：ca.crt,client.crt,client.keyserver使用的文件有：ca.crt,server.crt,server.key.crt文件和.key可以合到一个文件里面，本人把2个文件合成了一个.pem文件（直接拷贝过去就行了）以下步骤非必须代码如下复制代码[root@station23 CA]# mkdir ./newcerts[root@station23 CA]# touch ./{serial,index.txt}[root@station23 CA]# echo "00" > serial如果忘记以上操作，CA在签证时会出现如下错误，解决方法如下：代码如下复制代码[root@station23 test]# openssl ca -in my.csr -out ldap.crtUsing configuration from /etc/pki/tls/fI am unable to access the /etc/pki/CA/newcerts directory/etc/pki/CA/newcerts: No such file or directory[root@station23 test]# mkdir /etc/pki/CA/newcerts[root@station23 test]# openssl ca -in my.csr -out ldap.crtUsing configuration from /etc/pki/tls/f/etc/pki/CA/index.txt: No such file or directoryunable to open '/etc/pki/CA/index.txt'23016:error:02001002:system library:fopen:No such file or directory:bss_file.c:352:fopen('/etc/pki/CA/index.txt','r') 23016:error:20074002:BIO routines:FILE_CTRL:systemlib:bss_file.c:354:[root@station23 test]# touch /etc/pki/CA/index.txt[root@station23 test]# openssl ca -in my.csr -out ldap.crtUsing configuration from /etc/pki/tls/f/etc/pki/CA/serial: No such file or directoryerror while loading serial number23031:error:02001002:system library:fopen:No such file or directory:bss_file.c:352:fopen('/etc/pki/CA/serial','r')23031:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:354:[root@station23 test]# touch /etc/pki/CA/serial[root@station23 test]# echo 00 > /etc/pki/CA/serial。

openssl 证书流程 -回复

openssl 证书流程-回复OpenSSL是一个开放源代码的软件库，可以用于安全地建立和管理加密连接。

它提供了各种密码学功能，包括加密、解密、数字签名和认证等。

在网络安全领域，数字证书被广泛使用来验证服务器的身份和提供安全的通信。

本文将介绍OpenSSL的证书流程，涵盖生成证书请求、签署证书、验证证书以及使用证书等步骤。

一、生成证书请求（CSR）生成证书请求是证书颁发机构（CA）验证申请者身份的第一步。

以下是生成证书请求的步骤：1. 设置OpenSSL配置文件：OpenSSL使用配置文件来定义证书生成的各种选项。

我们可以通过编辑默认配置文件opensslf，或者创建自定义配置文件。

在配置文件中，我们可以设置一些必要的信息，例如国家、组织、通用名称（域名）等。

2. 生成私钥：生成证书请求需要一个RSA私钥对。

我们可以使用OpenSSL生成一个RSA私钥文件。

命令格式如下：openssl genrsa -out private.key 2048这将生成一个2048位的RSA私钥文件private.key。

3. 创建证书请求：接下来，我们可以使用私钥创建一个证书请求文件。

命令格式如下：openssl req -new -key private.key -out request.csr该命令将基于私钥生成一个新的证书请求文件request.csr。

二、签署证书证书签署是由CA执行的过程，用于验证证书请求者的身份并签署证书。

以下是签署证书的步骤：1. 配置CA证书在签署证书之前，我们需要设置CA证书文件，并创建一个签署配置文件。

这个配置文件定义了签署证书的选项，例如证书有效期、密钥长度等。

2. 生成CA私钥和自签名证书作为CA，我们首先需要生成自己的私钥和自签名证书。

命令格式如下：openssl req -new -x509 -keyout ca.key -out ca.crt -config caf这个命令将创建一个私钥文件ca.key和一个自签名的证书文件ca.crt。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

使用OpenSSL建立根CA及自签名证书制作过程2009-12-24 11:35:32| 分类：openssl |字号订阅Openssl版本：0.9.8 版本，可从处下载。

假设，我们就用刚才创建CA的操作系统用户为名为testuser的用户创建数字证书，我们要把待创建的私钥、证书等都放在目录$HOME/testuser下：Ø创建密钥和证书请求（证书请求里包含了公钥）创建$HOME/testuser目录并执行命令：mkdir $HOME/testusercd $HOME/testuseropenssl req -newkey rsa:1024 -keyout testkey.pem -keyform PEM -out testreq.pem -outform PEM -subj "/O=TestCom/OU=TestOU/CN=testuser"执行过程中需要输入私钥的保护密码，假设我们输入密码： 222222其中的CN最好和服务器名或IP地址一致。

执行完后，testkey.pem即为用户的密钥，而testreq.pem即为证书请求。

可以用openssl req -in testreq.pem -text -noout查看证书请求的内容。

Ø用测试CA为testuser签发证书同样还在$HOME/testuser目录下执行命令：openssl ca -in testreq.pem -out testcert.pem -config"$HOME/testca/conf/testca.conf"执行过程中需要输入CA的密钥保护密码（刚才设置的888888），并且最后询问你是否要给该用户签发证书时要选y。

执行完后，testcert.pem即为证书，可以用命令openssl x509 -in testcert.pem -text -noout查看证书内容。

Ø制作一个PKCS12格式的文档（个人数字证书）我们制作的这个PKCS#12文件将包含密钥、证书和颁发该证书的CA证书。

该文件可以直接用于服务器数字证书或个人数字证书。

把前几步生成的密钥和证书制作成一个pkcs12文件的方法执行命令：openssl pkcs12 -export -in testcert.pem -inkey testkey.pem -out testuser.p12 -name testuser -chain -CAfile "$HOME/testca/cacert.pem"执行过程中需要输入保护密钥的密码（222222），以及新的保护pkcs12文件的密码。

1.CA 的日常操作Ø根据证书申请请求签发证书假设收到一个证书请求文件名为req.pem，文件格式应该是PKCS#10格式（标准证书请求格式）。

首先可以查看一下证书请求的内容，执行命令：openssl req -in req.pem -text -noout将看到证书请求的内容，包括请求者唯一的名字（DN）、公钥信息（可能还有一组扩展的可选属性）。

执行签发命令：openssl ca -in req.pem -out cert.pem -config"$HOME/testca/conf/testca.conf"执行过程中会要求输入访问CA的私钥密码（刚才设置的888888）。

完成上一步后，签发好的证书就是cert.pem，另外$HOME/testca/newcerts 里也会有一个相同的证书副本（文件名为证书序列号）。

你可以执行以下语句来查看生成的证书的内容：openssl x509 -in cert.pem -text –nooutØ吊销证书（作废证书）一般由于用户私钥泄露等情况才需要吊销一个未过期的证书。

（当然我们用本测试CA时其时很少用到该命令，除非专门用于测试吊销证书的情况）假设需要被吊销的证书文件为cert.pem，则执行以下命令吊销证书：openssl ca -revoke cert.pem -config "$HOME/testca/conf/testca.conf"生成证书吊销列表文件（CRL）准备公开被吊销的证书列表时，可以生成证书吊销列表（CRL），执行命令如下：openssl ca -gencrl -out testca.crl -config"$HOME/testca/conf/testca.conf"还可以添加-crldays和-crlhours参数来说明下一个吊销列表将在多少天后（或多少小时候）发布。

可以用以下命令检查testca.crl的内容：openssl crl -in testca.crl -text -noout。