Openssl应用实例：创建私有CA并申请证书

一：实验环境

CA：centos6 172.17.252.226

客户端：centos7 172.17.252.188

二：阅读CA相关配置文件

CA配置文件路径：/etc/pki/tls/openssl.cnf

图一

图二

图三

三：证书申请及签署步骤

1、生成申请请求

2、RA核验

3、CA签署

4、获取证书

具体实验步骤

一：创建私有CA（certificate autrority 签证机构） ##操作环境：centos6

1.创建所需要的文件（如图一所示）

①生成证书索引数据库文件

[[email protected] ~]# touch /etc/pki/CA/index.txt

②指定第一个颁发证书的序列号

[[email protected] ~]# echo 01 > serial

二：CA自签证书

1.生成2048位的私钥文件（/etc/pki/CA/private/cakey.pem）

[[email protected] ~]#cd /etc/pki/CA
[[email protected] CA]# (umask 066; openssl genrsa -out private/cakey.pem -des3 2048）       ##使用des3算法生成2048为的秘钥

注意：

①（）的使用为了使umask值只在当前代码行有效，而不改变系统umask值

② CA私钥名必须为cakey.pem

2.通过私钥生成自签名证书

[[email protected] private]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem 
-days 7300 -out /etc/pki/CA/cacert.perm
 -new : 生成新证书签署请求
 -509 ：专用CA生成自签证书
 -key ：生成请求时用到的私钥文件
 -days n ： 证书有效期限
 -out  /PATH/TO/SOMECERTFILE: 证书的保存路径

三：颁发证书

步骤一：在客户端生成证书请求 ##操作环境： centos 7

1、给客户端生成私钥

[[email protected] ~]# (umask 066;openssl genrsa -out /etc/pki/tls/private/test.key 2048)

2、生成证书申请文件

[[email protected] ~]# openssl req -new -key /etc/pki/tls/private/test.key -days 365 -out /etc
/pki/tls/test.csr

注意：图一配置文件中规定，默认国家，省，公司名称三项必须和CA一致

步骤二：将证书请求文件传输给CA，并放在/app/下

[[email protected] private]# scp test.csr 172.17.252.226:/app/test.csr

步骤三：CA签署证书，并将证书颁发给客户端

[[email protected] ~]# openssl ca -in /app/test.csr -out /etc/pki/CA/certs/test.crt
[[email protected] ~]# scp /etc/pki/CA/certs/test.crt  172.17.252.188:   ##发送签署过的证书给
客户端

步骤四：查看证书中信息

途径一：查看CA索引数据库文件

[[email protected] ~]# cat /etc/pki/CA/index.txt
V       180904150811Z           01      unknown /C=CN/ST=henan/O=magedu.com/OU=dev/CN=zhao
# V  表示已签署的证书
# 01 表示证书序列
# /C...zhao  表示证书的详细信息

途径二：openssl命令查看

[[email protected] ~]# openssl x509 -in /etc/pki/CA/cacert.pem -noout -text|issuer|subject
|serial|dates

3.删除CA与客户端上的*.csr证书申请文件，以确保安全

[[email protected] ~]# rm -rf test.csr
[[email protected] ~]# rm -rf /etc/pki/tls/test.csr

四：吊销证书（/etc/pki/CA/crl/crl.pem）

1.在客户端获取要吊销证书的serial

[[email protected] ~]# openssl x509 -in test.crt -noout -serial -subject
serial=01
subject= /C=CN/ST=henan/O=magedu.com/OU=dev/CN=zhao

2.在CA上，根据客户提交的serial和subject信息，对比检验是否与index.txt一致，并吊销证书

①检验
[[email protected] ~]# cat /etc/pki/CA/index.txt

V 180904150811Z 01 unknown /C=CN/ST=henan/O=magedu.com/OU=dev/CN=zhao
##经检验，信息正确

②吊销证书
[[email protected] ~]# openssl ca -revoke /etc/pki/CA/newcerts/01.pem 
Using configuration from /etc/pki/tls/openssl.cnf
Revoking Certificate 01.
Data Base Updated
③查看数据库信息
[[email protected] ~]# cat /etc/pki/CA/index.txt
R       180904150811Z   170905012945Z   01      unknown /C=CN/ST=henan/O=magedu.com/
OU=dev/CN=zhao
## R 表示此证书已移除

3.指定第一个吊销证书编号

注意：第一次更新证书吊销列表前，才需要执行

[[email protected] ~]# echo 01 > /etc/pki/CA/crlnumber

4.更新证书吊销列表

[[email protected] ~]# openssl ca -gencrl -out /etc/pki/CA/crl/crl.pem

5.查看crl文件

[[email protected] ~]# openssl crl -in /etc/pki/CA/crl/crl.pem -noout -text

时间： 2024-10-13 13:16:18

Openssl应用实例：创建私有CA并申请证书的相关文章

OpenSSL：实现创建私有CA、签署证书请求详解

一.OpenSSL:CA默认配置信息 1.证书签发机构CA:公共信任CA.私有CA 建立私有CA方式如下: 小范围测试使用openssl. 大范围维护大量证书企业使用OpenCA(对openssl进行了二次封装,更加方便使用) 2.openssl 配置文件:/etc/pki/tls/openssl.cnf [[email protected] tmp]# cat /etc/pki/tls/openssl.cnf 该配置文件中以 "[配置段]",的形式配置相关信息 ==========

Linux如何创建私有CA和申请证书

openssl的配置文件:/etc/pki/tls/openssl.cnf 三种策略:匹配.支持和可选.匹配:指要求申请填写的信息跟CA设置信息必须一致:支持:指必须填写这项申请信息:可选:指可有可无. 实验环境:需要两台主机,我这里用主机A(Centos6:ip为172.17.250.83)创建CA并给其他主机提供CA服务:主机B(Centos7:ip为172.17.253.204)为httpd服务器,用来申请证书. 1.首先看一下配置文件的部分内容,其中以下内容在创建CA时是必须要写的: d

使用OpenSSL创建私有CA、签署证书

OpenSSL工具包是Linux上SSL v2/v3和TLS v1协议的实现方式之一,并建提供了常用的加密解密功能. OpenSSL主要由三部分组成: 1:libcrypto:加密库,主要用来实现加密.解密的功能库 2:libssl:实现SSL服务器端功能会话库 3:openssl命令行工具:/usr/bin/openssl 本文仅是介绍如何通过openssl命令创建私有CA,以及如何申请证书.签署证书等过程. 证书主要包含的就是拥有者自身的属性信息.公钥以及CA的签名,核心就是用户的公钥.服务

创建私有CA及颁发证书

证书申请及签署步骤: 1.生成申请请求 2.RA核验 3.CA签署 4.获取证书三种策略:匹配.支持和可选 ①匹配:指要求申请填写的信息跟CA设置信息必须一致,默认国家.省.公司信息必须一致 ②支持:指必须填写这项申请信息,但是可以和CA信息不一致 ③可选:指可有可无创建私有CA及颁发证书步骤: 1.创建所需要的文件 ①openssl的配置文件:/etc/pki/tls/openssl.cnf 如果没有这个文件,那么需要安装一个包 rpm -ivh openssl-libs-1.0.1e-6

局域网内创建私有CA和申请CA步骤

准备环境:2台虚拟机,centos6.7(客户端)和centos7.0(服务端) 配置文件:/etc/pki/tls/openssl.cnf ①.创建所需要的文件 touch /etc/pki/CA/index.txt echo 01 > /etc/pki/CA/serial ②.cd /etc/pki/CA 目录下生成私钥 (umask 066; openssl genrsa -out private/cakey.pem 2048) 生成自签名证书 openssl req -new -x50

创建私有CA并发放证书

公司内部证书发放流程 1.自建私有CA主机1 openssl的配置文件:/etc/pki/tls/openssl.cnf 1)创建所需要的文件:cd /etc/pki/CA/ touch index.txt echo 01 > serial [[email protected] CA]# tree . ├── cacert.pem ├── certs ├── crl ├── index.txt ├── newcerts │ ├── 01httpd.pem │ └── 01.pem ├──

使用OpenSSL创建CA和申请证书

OpenSSL简介 OpenSSL是一种加密工具套件,可实现安全套接字层(SSL v2 / v3)和传输层安全性(TLS v1)网络协议以及它们所需的相关加密标准. openssl命令行工具用于从shell程序使用OpenSSL加密库的各种加密功能. 它可以用于: 创建和管理私钥,公钥和参数公钥加密操作创建X.509证书,CSR和CRL 消息摘要的计算使用密码进行加密和解密 SSL / TLS客户端和服务器测试处理S / MIME签名或加密的邮件时间戳记请求,生成和验证 openssl

私有CA建立和证书申请

私有CA建立和证书申请 CA在创建时有规定的格式,详细需要参考/etc/pki/tls/openssl.cnf此文件存放了CA相关的一些配置信息.以下为比较重要的2个相关配置:1.此段为CA的详细目录结构 #################################################################### [ ca ] default_ca = CA_default # The default ca section ######################

ssl协议、openssl及创建私有CA

在互联网发展早期,NetSpace公司发明了第一个浏览器及Web服务器.而http协议传输数据是明文的,为了基于加密的机制实现http,NetSpace公司在TCP层和应用层之间引入了半个层,这半层就是SSL.SSL不是一个软件,可以将它理解为一个库.当应用层的某种协议如果传输数据之前调用了SSL的功能,那么这个协议就实现了加密的功能.例如:http协议本身是不加密的,数据在应用层封装完之后本来应该交给传输层,但由于NetSpace在TCP层和应用层之间加入了SSL层,而SSL本身就是实现数据通