当我们需要在企业内部或者测试环境中使用证书时，往往需要创建自签名证书。Linux系统中的Openssl工具可以用来生成自签名证书，实现通信的加密，也可以基于自签名的CA证书模拟实际CA信任链的工作过程。本文基于Openssl介绍自签名证书的生成和应用实践。
自签名证书分为自签名私有证书和自签名CA证书两种。自签名私有证书无法被吊销，自签名CA证书可以被吊销。能不能吊销证书的区别在于如果私钥不小心被恶意获取，如果证书不能被吊销那么黑客很有可能伪装成受信任的客户端与用户进行通信。如果你的规划需要创建多个客户端证书，那么使用自建 CA 签名证书的方法比较合适，只要给所有的客户端都安装了 CA 根证书，那么以该 CA 根证书签名过的客户端证书都是信任的，不需要重复的安装客户端证书。
请注意由于是自建 CA 证书，在使用这个临时证书的时候，会在客户端浏览器报一个错误，签名证书授权未知或不可（signing certificate authority is unknown and not trusted.），但只要配置正确，继续操作并不会影响正常通信。 自签名证书的 Issuer 和 Subject 是一样的。下面就分别阐述如何使用 OpenSSL 生成这两种自签名证书。
生成自签名私有证书
- 生成证书私钥(Key)
#生成私钥
openssl genrsa -out /path/to/keyfile 2048
2. 如果需要备份或者转移私钥，需要先对私钥进行加密
#私钥加密，用于备份或者转移私钥
openssl rsa -in /path/to/keyfile -des3 -out /path/to/encrypted.key
3. 生成证书请求文件（Certificate Sign Request）
生成 CSR 的过程中，会提示输入一些信息，包括：序列号、公钥、用户名称、签发者、CA签名和其他一些附属信息等。证书验证过程就是依赖于这信息和公钥对应的私钥进行。其中一个提示是 Common Name (e.g. YOUR name)，这个非常重要，这一项应填入 FQDN(Fully Qualified Domain Name)完全合格域名/全称域名，如果您使用 SSL 加密保护网络服务器和客户端之间的数据流，举例被保护的网站是 https://test.example.cn，那么此处 Common Name 应输入 test.example.cn
#生成证书请求文件(Certificate sign request)
openssl req -new -key /path/to/keyfile -out /path/to/csrfile
4. 使用上一步的证书签名请求签发证书（Certificate）
#自签名，生成私有证书
openssl x509 -req -in /path/to/ssl.csr -signkey /path/to/ssl.key -out /path/to/ssl.crt
5. 查看证书信息
#查看证书信息
openssl x509 -in /path/to/certfile -noout -text
上面的1-4步也可以通过命令行合并为一步实现
openssl req -new -x509 -newkey rsa:2048 -keyout /path/to/server.key -out /path/to/server.crt
生成自签名CA证书
创建自签 CA 证书，主要分为两个部分： 创建CA 根证书及签发客户端证书。
创建CA根证书
使用 OpenSSL 可以创建自己的 CA，给需要验证的用户或服务器颁发证书，这就需要创建一个 CA 根证书。默认情况ubuntu和CentOS上都已安装好openssl。CentOS 6.x 上有关ssl证书的目录结构。
/etc/pki/CA/
newcerts 存放CA签署（颁发）过的数字证书（证书备份目录）
private 用于存放CA的私钥
crl 吊销的证书
/etc/pki/tls/
cert.pem 软链接到certs/ca-bundle.crt
certs/ 该服务器上的证书存放目录，可以房子自己的证书和内置证书
ca-bundle.crt 内置信任的证书
private 证书密钥存放目录
openssl.cnf openssl的CA主配置文件
在创建 CA 根证书之前，需要做好如下准备工作：修改好 CA 的配置文件、序列号、索引等等。
touch index.txt serial
echo 01 >> serial
openssl的配置文件为openssl.cnf,一般存储在/etc/pki/tls/目录下。一定要注意配置文件中 [ policy_match ]标签下设定的匹配规则。有可能因为证书使用的工具不一样，导致即使设置了csr中看起来有相同的countryName,stateOrProvinceName等，但在最终生成证书时依然报错。一般情况下，配置文件不需要改动。
- 生成根证书密钥
# 生成CA根证书密钥
cd /etc/pki/CA/
openssl genrsa -out ./private/ca.key 2048
2. 生成根证书请求
# 新建根证书请求
openssl req -new -in /path/to/ca.key -out ca.csr
3. 生成根证书
#自签名，生成CA证书
openssl x509 -req -in /path/to/ca.csr -signkey /path/to/ca.key -extensions v3_ca -out /path/to/ca.crt
签发证书
我们可以用CA根证书签发证书，也可以创建中间CA，使用中间CA签发证书。创建中间CA的好处是即使中间CA的私钥泄露，造成的影响也是可控的，我们只需要使用root CA撤销对应中间CA的证书即可。此外root CA的私钥可以脱机妥善保存，只需要在撤销和更新中间CA证书时才会使用。基于根证书创建中间CA与创建根证书过程类似。我们新建一个目录用于保存中间证书信息。
#准备环境
mkdir /etc/pki/CA/intermediate
cd /etc/pki/CA/intermediate
mkdir certs crl newcerts private
chmod 700 private
touch index.txt
echo 1000 > serial
#生成密钥
cd /etc/pki/CA
openssl genrsa -aes256 -out intermediate/private/ca.key 2048
#新建请求
openssl req -config intermediate_CA.cnf -sha256 -new -key intermediate/private/ca.key -out intermediate/certs/ca.csr
#签发中间CA证书
openssl ca -config root_CA.cnf -extensions v3_ca -notext -md sha256 -in intermediate/certs/ca.csr -out intermediate/certs/ca.cert
利用根证书或者中间证书签发客户端证书的步骤如下：
- 新建证书密钥
#新建密钥
openssl genrsa -out /path/to/server.key 2048
2. 新建证书请求
#新建证书请求
openssl req -new -in /path/to/server.key -out /path/to/server.csr
3. CA签发证书
#证书CA签名
openssl x509 -req -in /path/to/server.csr -CA /path/to/ca.crt -CAkey /path/to/ca.key -CAcreateserial -out /path/to/server.crt
4. CA证书的有效性验证
#验证证书
openssl verify -CAfile /path/to/ca.crt /path/to/server.crt
#如果结果显示OK，说明我们颁发的证书是有效的。
不同客户端证书格式转换
#crt,pem格式证书可用于linux/nginx/node.js格式客户端
#p12(pkcs12)格式证书用于tomcat/java/android客户端
#打包为p12证书
openssl pkcs12 -export -in /path/to/server.crt -inkey /path/to/server.key -out /path/to/server.p12
吊销证书
当证书已经不再使用或者密钥泄露时，我们需要吊销证书来保证服务器的安全。
#获取要吊销的证书的serial
openssl x509 -in /path/to/x.crt -noout -serial -subject
#对比serial与subject 信息是否与index.txt中的信息一致
#如果一致，则可以吊销证书
openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem
#如果是第一次吊销证书，需要指定吊销的证书编号
echo 01 >/etc/pki/CA/crlnumber
#更新吊销证书列表
openssl ca -gencrl -out /etc/pki/CA/crl.pem
#完成后，可查看吊销的证书列表
openssl crl -in /etc/pki/CA/crl.pem -noout -text
网友评论