OpenSSL 证书生成实践
示例：
1 | # 生成 CA 私钥 |
生成私钥
openssl genrsa -out mydomain.com.key 2048检查私钥
openssl rsa -in mydomain.com.key -noout -text生成
CSR，注意Common Name指向服务器地址或域名，有互动、命令行和配置文件三种方式来生成
- 互动方式，
openssl要求填入一下信息用于生成CSRopenssl req -new -key mydomain.com.key -out mydomain.com.csr- 命令行，直接填入信息生成
CSRopenssl req -new -sha256 -key mydomain.com.key -subj "/C=US/ST=CA/O=MyOrg, Inc./CN=mydomain.com" -out mydomain.com.csr- 配置文件
openssl req -new -out mydomain.com.csr -config oats.conf检验
CSR，可选项openssl req -in mydomain.com.csr -noout -text由根证书签发用户证书
openssl x509 -req -in mydomain.com.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out mydomain.com.crt -days 500 -sha256检验用户证书，可选项
openssl x509 -in mydomain.com.crt -text -noout
第一种方式
通过openssl生成私钥
1 | openssl genrsa -out server.key 1024 |
使用私钥生成自签名的cert证书文件，以下是通过参数只定证书需要的信息
1 | openssl req -new -x509 -days 3650 -key server.key -out server.crt -subj "/C=CN/ST=mykey/L=mykey/O=mykey/OU=mykey/CN=domain1/CN=domain2/CN=domain3" |
2
3
4
5
6
-key server.key \
-out server.crt \
-subj "/C=CN/ST=Guangdong/L=Guangzhou Huangpu District/O=Self-signed Certificate/OU=Private Use/CN=yukifuhane.cn.eu.org" \
-addext "subjectAltName = DNS:yukifuhane.cn.eu.org, DNS:192.168.6.3, IP:192.168.6.3"
#-subj "/C=CN/ST=Guangdong/L=Guangzhou Huangpu District/O=Self-signed Certificate/OU=Private Use/CN=192.168.6.3" \
- 一般的数字证书产品的主题通常含有如下字段：
2
3
公用名称 (Common Name) 简称：CN 字段，对于 SSL 证书，一般为网站域名；而对于代码签名证书则为申请单位名称；而对于客户端证书则为证书申请者的姓名；
单位名称 (Organization Name) 简称：O 字段，对于 SSL 证书，一般为网站域名；而对于代码签名证书则为申请单位名称；而对于客户端单位证书则为证书申请者所在单位名称；
- 证书申请单位所在地
2
3
所在省份 (State/Provice)| 简称：S 字段
所在国家 (Country)| 简称：C 字段，只能是国家字母缩写，如中国：CN
- 其他一些字段
2
3
4
5
6
7
多个姓名字段 | 简称：G 字段
介绍 | Description 字段
电话号码：|Phone 字段，格式要求 + 国家区号 城市区号 电话号码，如： +86 732 88888888
地址：|STREET 字段
邮政编码: |PostalCode 字段
显示其他内容| 简称:OU 字段
如果对上面参数具体的说明不太了解的，可以使用不带参数的方式，通过命令行步骤生成，参考第二种方式。
第二种方式
通过openssl生成私钥
1 | openssl genrsa -out server.key 1024 |
根据私钥生成证书申请文件csr
1 | openssl req -new -key server.key -out server.csr |
这里根据命令行向导来进行信息输入：
ps.Common Name可以输入：*.yourdomain.com，这种方式生成通配符域名证书
使用私钥对证书申请进行签名从而生成证书
1 | openssl x509 -req -in server.csr -out server.crt -signkey server.key -days 3650 |
这样就生成了有效期为：10年的证书文件，对于自己内网服务使用足够。
第三种方式
直接生成证书文件
1 | openssl req -new -x509 -keyout server.key -out server.crt -config openssl.cnf |
ps.以上生成得到的server.crt证书，格式都是pem的。
证书的作用
1.加密通信数据
2.验证对象身份
3.保证数据完整性
自签名证书是什么
公认的证书往往都要收费，如果客户端与服务端都由自己来操控，便可以使用自签名证书（只是自己认可的证书）
CA签名证书
就是把我们自己当成认证机构去认证一个证书，客户端信任该CA证书也代表信任该CA证书签名的所有自签名证书
自签名证书应用场景
1.用于测试环境中需要使用证书时
2.用于构建根CA
自签名证书分为
1.自签名私有证书（无法被吊销）
2.自签名CA证书（可以被吊销）
两种自签名证书的区别在于
如果私钥不小心被恶意获取，私有证书不能被吊销，那么黑客有可能伪装成受信任的客户端与用户进行通信
如果需要创建多个客户端证书，使用自建签名证书的方法比较合适，只要给所有客户端都安装了CA根证书，那么以该CA根证书签名过的客户端证书都是信任的，不需要重复的安装客户端证书。
不过因为是自建的CA证书，在使用这个临时证书的时候，会在客户端浏览器报一个错误，签名证书授权未知或不受信任(signing certificate authority is unknown and not trusted)，但只要配置正确，继续操作并不会影响正常通信。自签名证书的issuer和subject是一样的
openssl是什么
是一套开源的密码学工具包
在SSL协议中，我们使用了很多密码学手段来保护数据，其中包括对称密码，公钥密码，数字签名，证书，完整性校验，伪随机数生成等。由于这些算法和操作都非常复杂，于是开源社区就开发了一套库，这个库里面提供了很多现成的标准方法，其他开发者只要正确的调用这些方法，就可以实现SSL协议中的各种加密/解密操作了。
使用openssl的私钥产生公钥之前，需要了解以下几点：
1.key算法：openssl支持生成RSA，DSA，ECDSA的密钥对，但RSA是目前使用最普遍的。
2.key长度：RSA的2048是公认比较安全的key长度。
3.密码（Passphrase）：在key上使用密码是一个可选值，但是一般都是强烈建议的，这样每次使用key文件时，都需要输入密码才能使用，增强了其安全性，但随之而来的易用性也会变差。
下面分别阐述如何使用openssl生成这两种自签名证书：
生成CA证书
1.生成CA证书的私钥key（ca.key）。以下输入了为这个key值设置了密码，且密码使用aes128加密保存：
1 | openssl genrsa -aes128 -out ca.key 2048 |
2.生成公钥
1 | openssl rsa -in ca.key -pubout -out ca-public.key |
3.生成CA的自签名证书ca.crt，此处的CA证书也是一个自签名证书
1 | openssl req -new -x509 -days 365 -key ca.key -out ca.crt |
以下命令可以不用在调用密钥文件的时候输入密码：
1 | openssl rsa -in ca.key -out ca.key |
查看自签名证书信息（颁发者）：
1 | openssl x509 -in ca.crt -subject -issuer -noout |
使用CA证书签名自签名证书
步骤：也就是获取权威机构办法的证书（此处为我们刚才生成的CA证书），需要先得到私钥的key文件（.key），然后使用私钥的key文件生成sign req文件（.csr文件），最后把csr文件发给权威机构，等待权威机构认证，认证成功后，会返回证书文件（.crt）。
1.生成自签名证书私钥key(server.key)文件
1 | openssl genrsa -aes128 -out server.key 2048 |
2.利用私钥server.key文件生成自签名证书请求文件server.csr
生成csr文件时，需要填写一些关于待签人或者公司的一些信息，比如国家明，省份名，组织机构名，主机名，email名，有些信息可以不填写，使用.标识。
1 | openssl req -new -key server.key -out server.csr |
输入相应的信息后可以得到server.csr请求文件
3.使用CA证书对自签名证书请求文件进行签名，生成server.crt
1 | openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt |
查看自签名证书的过期时间：
1 | openssl x509 -in server.crt -subject -issuer -noout |
openssl生成root CA及签发证书
有时，使用SSL协议是自己内部服务器使用的，这时可以不必找第三方权威的CA机构做证书，可以做自签证书（自己创建root CA（非权威）。
主要有以下三个步骤：
A.创建openssl.cnf在使用default-ca时需要使用的SSL的工作目录（第一次必须要设置）
1.查看openssl的配置文件
1 | openssl version -a |
2.找到OPENSSLDIR: “/etc/pki/tls”的配置文件openssl.cnf
根据配置文件下的[ CA_default ]节点默认值，创建对应文件夹和文件。
1 | [ CA_default ] |
按顺序在/etc/pki/CA下执行以下命令创建文件夹和文件：
1 | mkdir certs（默认应该是存在的）存放已颁发的证书 |
执行完成后，当前目录为：
1 | [root@prometheus01 /etc/pki/CA]# ll |
B:生成CA根证书（root ca证书）
步骤：生成CA私钥(.key) –> 生成CA证书请求(.csr) –> 自签名得到根证书(.crt)（CA给自己颁发的证书）。
1 | 1.生成私钥ca.key |
C.用自签根证书ca.crt给用户证书签名。
步骤：生成私钥(.key) –> 生成证书请求(.csr) –> 用CA根证书签名得到证书(.crt)
1 | 1.openssl genrsa -out server.key 1024 |
D.证书的简单使用
把server.crt以及server.key保存在服务器端等待程序加载使用。
把ca.key保存在客户端，如果客户端需要验证服务器端发的证书时使用。
nginx官方文档中有关自签名证书的生成步骤：
Generate Certificates
To generate dummy certficates you can do this steps:
1 | cd /usr/local/nginx/conf |
Configure the new certificate into nginx.conf:
1 | server { |
Restart Nginx.
Now all ready to access using:
1 | https://YOUR_DOMAINNAME_HERE |
RSA是非对称加密，需要用两个密钥来加密和解密，这两个密钥是公钥和私钥
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 YuKiFuHaNeの博客！
相关推荐
2024-09-07
证书的生成
TLS是传输层安全协议（Transport Layer Security）的缩写，是一种对基于网络的传输的加密协议，可以在受信任的第三方公证基础上做双方的身份认证。TLS可以用在TCP上，也可以用在无连接的UDP报文上。协议规定了身份认证、算法协商、密钥交换等的实现。 SSL是TLS的前身，现在已不再更新 HTTPS是在基于TLS/SSL的安全套接字上的的应用层协议，除了传输层进行了加密外，其它与常规HTTP协议基本保持一致 证书是TLS协议中用来对身份进行验证的机制，是一种数字签名形式的文件，包含证书拥有者的公钥及第三方的证书信息。 证书分为2类：自签名证书和CA证书。一般自签名证书不能用来进行身份认证，如果一个server端使用自签名证书，client端要么被设置为无条件信任任何证书，要么需要将自签名证书的公钥和私钥加入受信任列表。但这样一来就增加了server的私钥泄露风险。 TLS基于CA的身份认证基本原理是：首先验证方需要信任CA提供方自己的证书(CAcert)，比如证书在操作系统的受信任证书列表中，或者用户通过“安装根证书”等方式将 CA的公钥和私钥加入...
2025-01-14
使用 OpenSSL 生成 CA 与服务端客户端证书
准备默认 OpenSSL 配置文件于当前目录。此配置文件在 linux 系统下通常位于 /etc/pki/tls/openssl.cnf，在 mac 系统下通常位于 /System/Library/OpenSSL/openssl.cnf。 如果存在，则直接拷贝到当前目录，例如 cp /etc/pki/tls/openssl.cnf ./my-openssl.cnf。如果不存在可以使用下面的命令来创建。 12345678910111213141516171819202122232425cat > my-openssl.cnf << EOF[ ca ]default_ca = CA_default[ CA_default ]x509_extensions = usr_cert[ req ]default_bits = 2048default_md = sha256default_keyfile = privkey.pemdistinguished_name = req_distinguished_nameattributes...
2024-03-05
Nginx 极简教程
本项目是一个 Nginx 极简教程，目的在于帮助新手快速入门 Nginx。 examples 目录中的示例模拟了工作中的一些常用实战场景，并且都可以通过脚本一键式启动，让您可以快速看到演示效果。 一、Nginx 简介 二、Nginx 入门 三、Nginx 实战 Http 反向代理 Https 反向代理 负载均衡 网站有多个 webapp 的配置 静态站点 搭建文件服务器 解决跨域 资源 一、Nginx 简介什么是 Nginx? Nginx (engine x) 是一款轻量级的 Web 服务器 、反向代理服务器及电子邮件（IMAP/POP3）代理服务器。 什么是反向代理？ 反向代理（Reverse Proxy）方式是指以代理服务器来接受 internet 上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给 internet 上请求连接的客户端，此时代理服务器对外就表现为一个反向代理服务器。 二、Nginx 入门 详细安装方法请参考：Nginx 运维 nginx 的使用比较简单，就是几条命令。 常用到的命令如下： 123456...
2026-06-15
FRP（Fast Reverse Proxy）
FRP （fast reverse proxy ）证书创建完整详细解释第一步：创建 CA 根证书CA（Certificate Authority）是证书颁发机构，相当于一个”公证处”，用它来签发服务端和客户端证书，建立信任链。 123456789101112131415161718192021# ============================================================# 第一步：生成 CA 私钥# ============================================================openssl genrsa \ -out ca.key \ # 输出私钥文件名 4096 # 密钥长度 4096 位，比 2048 更安全，CA 用大一点没问题# ============================================================# 第二步：用 CA 私钥自签一张 CA 证书# ===========================...
