利用OpenSSL构建私有CA

实验环境：

CentOS release 6.6(Final) 两台

IP地址：

服务器端：172.16.31.3

客户端：172.16.31.2

查看系统书否已安装openSSL执行命令“rpm –qa openssl”

[[email protected] ~]# rpm -qa openssl

openssl-1.0.1e-30.el6.x86_64

OpenSSL本身是一种ssl的开源方式用以实现https的数据加密传输，但OpenSSL的功能绝不仅限于此，OpenSSL提供了两个重要的库：一个是libcrypto，被称为通用加密库，提供了各种加密函数，任何程序都可以调用此库来实现加密功能；另一个是libssl，是一种基于会话的、实现了身份认证、数据机密性和会话完整性的TLS/SSL协议库。另外OpenSSL还提供了一个命令行工具就叫OpenSSL，是一个多用途的命令行工具，提供了很多子命令，调用不同的子命令可以实现不同的功能，诸如单向加密、对称加密和非对称加密、生成密钥对等。OpenSSL本身并没有提供类似“--help”之类的帮助命令，输入OpenSSL后跟任意一个OpenSSL不能识别的命令就会显示输出所有子命令，比如输入“openssl ?”就会看到所有子命令。

下面介绍使用openssl模拟证书颁发机构构建私有CA。

一.配置OpenSSL配置文件

1.配置OpenSSL的配置文件。

可以编辑/etc/pki/tls/openssl.cnf

将其中的“[CA_default ]”段中定义的CA工作目录默认为“/etc/pki/CA”，证书默认有效期等信息根据具体应用环境更改。

在[ req_distinguished_name ]段中设置一下默认的国家代码、所属省份、市区、公司名称、所属部门等信息。

将国家，省份，城市，组织名称写好，方便下次生成CA时更便捷。

二．创建CA自签署证书

1.为CA生成私钥密钥

#cd/etc/pki/CA

#mkdir private

# (umask 077 ; openssl genrsa -out private/cakey.pem 2048)

Generating RSA private key, 2048 bit longmodulus

..........................................................................................+++

...............................................+++

e is 65537 (0x10001)

命令加括号表示命令在子shell中执行，设定子shell的umask为077，子shell生成的文件将是600的权限，-out指定输出文件位置，2048为密钥长度。

2.创建所需目录和文件

创建所需目录

#mkdir certs newcerts crl

创建证书检索文：

#touch index.txt

创建证书序列号文件并赋初值：

#touch serial

#echo 01 > serial

# ls

cacert.pem certs crl index.txt newcerts private serial

3.创建自签署证书，如果没配置/etc/pki/tls/openssl文件，命令创建自签署证书如下所示：

# opensslreq -new -x509 -keyprivate/cakey.pem -days 35600 -out cacert.pem

You are about to be asked to enterinformation that will beincorporated

into your certificate request.

What you are about to enter is what iscalled a Distinguished Nameor a DN.

There are quite a few fields but you canleave some blank

For some fields there will be a defaultvalue,

If you enter ‘.‘, the field will be leftblank.

-----

Country Name (2 letter code) [CN]:CN #国家名称缩写

State or Province Name (full name) []:HA #省份缩写

Locality Name (eg, city) [Default City]:ZZ #省会缩写

Organization Name (eg, company) [DefaultCompany Ltd]:Test #组织或公司名称

Organizational Unit Name (eg, section)[]:OPS #部门

Common Name (eg, your name or your server‘shostname) []:CA.test.com #主机名

Email Address []:[email protected] #邮件地址

至此CA服务器端创建完成。

三.给节点颁发证书

下面介绍使用此CA为其他应用签署证书。以httpd服务为例：

1.节点申请证书，在申请证书的主机上进行，我这里实验的是http服务，所以我的证书在服务路径下

# cd /etc/httpd/conf/

创建一个目录来保持私钥和证书申请文件

#mkdir certs

#cd /etc/httpd/conf/certs

为httpd服务生成私钥：

# (umask 077 ; openssl genrsa -out httpd.key 1024)

Generating RSA private key, 1024 bit longmodulus

.............................++++++

.++++++

e is 65537 (0x10001)

# ll

total 4

-rw------- 1 root root 887 Dec 8 14:00 httpd.key

2.生成签署请求文件

我们直接从CA服务器提取Openssl.cnf文件

[[email protected] certs]# scp [email protected]:/etc/pki/tls/openssl.cnf./

然后生成CA证书签署请求文件：

其中很多值都已经写好了

[[email protected] certs]# scp httpd.csr172.16.31.3:/etc/pki/CA/certs/httpd.csr

[email protected]‘s password:

httpd.csr: No such file or directory

[[email protected] certs]# openssl req -new -keyhttpd.key -out httpd.csr -days 35600

You are about to be asked to enterinformation that will beincorporated

into your certificate request.

What you are about to enter is what iscalled a Distinguished Nameor a DN.

There are quite a few fields but you canleave some blank

For some fields there will be a defaultvalue,

If you enter ‘.‘, the field will be leftblank.

-----

Country Name (2 letter code) [CN]:

State or Province Name (full name) [HA]:

Locality Name (eg, city) [ZZ]:

Organization Name (eg, company) [Test]:

这里的名称必须跟服务器输入的名称一致

Organizational Unit Name (eg, section)[]:OPS

Common Name (eg, your name or your server‘shostname) []:stu1.test.com

这里的名称可以是你的主机名称或者服务器的主机名称

EmailAddress []:[email protected]

Please enter the following ‘extra‘attributes

to be sent with your certificate request

A challenge password []:

An optional company name []:

[[email protected] certs]# ls

httpd.csr httpd.key

查看一下申请文件

[[email protected] certs]# cat httpd.csr

-----BEGIN CERTIFICATE REQUEST-----

MIIBujCCASMCAQAwejELMAkGA1UEBhMCQ04xCzAJBgNVBAgMAkhBMQswCQYDVQQH

DAJaWjENMAsGA1UECgwEVGVzdDEMMAoGA1UECwwDT1BTMRYwFAYDVQQDDA1zdHUx

LnRlc3QuY29tMRwwGgYJKoZIhvcNAQkBFg1zdHUxQHRlc3QuY29tMIGfMA0GCSqG

SIb3DQEBAQUAA4GNADCBiQKBgQCd7fN0pVbrqu8LpgbQuSNs/Q7ddG7/NKYPJOyl

cGx+B9znApdUw9tF2Zr5xAtwghJS1rVyoczqy5YAmVnTIAwoKaEatqt95B8DNfRl

4gGn0LBOLf3V8oR/nYOQwig354ebUtn/ktkoBkI80qdXblAiojIHa/5Ucpak23VW

jSKU+wIDAQABoAAwDQYJKoZIhvcNAQEFBQADgYEAFJc2+os1BYxZvmZqN0D/i2R0

PUaTSZzbV5o0cSOrHZpUhTBQ9LJw0JG43eGQlFoFndyOWBhdptHl+KNg5c/VIBs7

0Vd0fyM3CsoR2ep8PVT1sCWev3LTghpu5WkomGgBpWjTi+SBb4/Mp7Si0LnJfN+u

W3nJz6oNtYMHHckdL0g=

-----END CERTIFICATE REQUEST-----

3.将CA证书申请文件发送给CA

[[email protected] certs]# scp httpd.csr172.16.31.3:/etc/pki/CA/certs/httpd.csr

[email protected]‘s password:

httpd.csr 100% 680 0.7KB/s 00:00

检查一下传输成功与否：

[[email protected] CA]# ls certs/

httpd.csr

[[email protected] CA]# cat certs/httpd.csr