使用 openssl 生成证书
使用 openssl 生成证书
摘自：http://www.cnblogs.com/littleatp/p/5878763.html
一、openssl 简介
openssl 是目前最流行的 SSL 密码库工具，其提供了一个通用、健壮、功能完备的工具套件，用以支持SSL/TLS 协议的实现。
官网：https://www.openssl.org/source/
构成部分
- 密码算法库
- 密钥和证书封装管理功能
- SSL通信API接口
用途
- 建立 RSA、DH、DSA key 参数
- 建立 X.509 证书、证书签名请求(CSR)和CRLs(证书回收列表)
- 计算消息摘要
- 使用各种 Cipher加密/解密
- SSL/TLS 客户端以及服务器的测试
- 处理S/MIME 或者加密邮件
二、RSA密钥操作
默认情况下，openssl 输出格式为 PKCS#1-PEM
生成RSA私钥(无加密)
openssl genrsa -out rsa_private.key 2048
生成RSA公钥
openssl rsa -in rsa_private.key -pubout -out rsa_public.key
生成RSA私钥(使用aes256加密)
openssl genrsa -aes256 -passout pass:111111 -out rsa_aes_private.key 2048
其中 passout 代替shell 进行密码输入，否则会提示输入密码；
生成加密后的内容如：
-----BEGIN RSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED DEK-Info: AES-256-CBC,5584D000DDDD53DD5B12AE935F05A007 Base64 Encoded Data -----END RSA PRIVATE KEY-----
此时若生成公钥，需要提供密码
openssl rsa -in rsa_aes_private.key -passin pass:111111 -pubout -out rsa_public.key
其中 passout 代替shell 进行密码输入，否则会提示输入密码；
转换命令
私钥转非加密
openssl rsa -in rsa_aes_private.key -passin pass:111111 -out rsa_private.key
私钥转加密
openssl rsa -in rsa_private.key -aes256 -passout pass:111111 -out rsa_aes_private.key
私钥PEM转DER
openssl rsa -in rsa_private.key -outform der-out rsa_aes_private.der
-inform和-outform 参数制定输入输出格式，由der转pem格式同理
查看私钥明细
openssl rsa -in rsa_private.key -noout -text
使用-pubin参数可查看公钥明细
私钥PKCS#1转PKCS#8
openssl pkcs8 -topk8 -in rsa_private.key -passout pass:111111 -out pkcs8_private.key
其中-passout指定了密码，输出的pkcs8格式密钥为加密形式，pkcs8默认采用des3 加密算法，内容如下：
-----BEGIN ENCRYPTED PRIVATE KEY----- Base64 Encoded Data -----END ENCRYPTED PRIVATE KEY-----
使用-nocrypt参数可以输出无加密的pkcs8密钥，如下：
-----BEGIN PRIVATE KEY----- Base64 Encoded Data -----END PRIVATE KEY-----
三、生成自签名证书
生成 RSA 私钥和自签名证书
openssl req -newkey rsa:2048 -nodes -keyout rsa_private.key -x509 -days 365 -out cert.crt
req是证书请求的子命令，-newkey rsa:2048 -keyout private_key.pem 表示生成私钥(PKCS8格式)，-nodes 表示私钥不加密，若不带参数将提示输入密码；
-x509表示输出证书，-days365 为有效期，此后根据提示输入证书拥有者信息；
若执行自动输入，可使用-subj选项：
openssl req -newkey rsa:2048 -nodes -keyout rsa_private.key -x509 -days 365 -out cert.crt -subj "/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vivo.com/emailAddress=yy@vivo.com"
使用 已有RSA 私钥生成自签名证书
openssl req -new -x509 -days 365 -key rsa_private.key -out cert.crt
-new 指生成证书请求，加上-x509 表示直接输出证书，-key 指定私钥文件，其余选项与上述命令相同
四、生成签名请求及CA 签名
使用 RSA私钥生成 CSR 签名请求
openssl genrsa -aes256 -passout pass:111111 -out server.key 2048 openssl req -new -key server.key -out server.csr
此后输入密码、server证书信息完成，也可以命令行指定各类参数
openssl req -new -key server.key -passin pass:111111 -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vivo.com/emailAddress=yy@vivo.com"
*** 此时生成的 csr签名请求文件可提交至 CA进行签发 ***
查看CSR 的细节
cat server.csr -----BEGIN CERTIFICATE REQUEST----- Base64EncodedData -----END CERTIFICATE REQUEST----- openssl req -noout -text -in server.csr
使用 CA 证书及CA密钥 对请求签发证书进行签发，生成 x509证书
openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -passin pass:111111 -CAcreateserial -out server.crt
其中 CAxxx 选项用于指定CA 参数输入
五、证书查看及转换
查看证书细节
openssl x509 -in cert.crt -noout -text
转换证书编码格式
openssl x509 -in cert.cer -inform DER -outform PEM -out cert.pem
合成 pkcs#12 证书(含私钥)
** 将 pem 证书和私钥转 pkcs#12 证书 **
openssl pkcs12 -export -in server.crt -inkey server.key -passin pass:111111 -password pass:111111 -out server.p12
其中-export指导出pkcs#12 证书，-inkey 指定了私钥文件，-passin 为私钥(文件)密码(nodes为无加密)，-password 指定 p12文件的密码(导入导出)
** 将 pem 证书和私钥/CA 证书 合成pkcs#12 证书**
openssl pkcs12 -export -in server.crt -inkey server.key -passin pass:111111 \
-chain -CAfile ca.crt -password pass:111111 -out server-all.p12
其中-chain指示同时添加证书链，-CAfile 指定了CA证书，导出的p12文件将包含多个证书。(其他选项：-name可用于指定server证书别名；-caname用于指定ca证书别名)
** pcks#12 提取PEM文件(含私钥) **
openssl pkcs12 -in server.p12 -password pass:111111 -passout pass:111111 -out out/server.pem
其中-password 指定 p12文件的密码(导入导出)，-passout指输出私钥的加密密码(nodes为无加密)
导出的文件为pem格式，同时包含证书和私钥(pkcs#8)：
Bag Attributes
localKeyID: 97 DD 46 3D 1E 91 EF 01 3B 2E 4A 75 81 4F 11 A6 E7 1F 79 40
subject=/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vihoo.com/emailAddress=yy@vihoo.com
issuer=/C=CN/ST=GD/L=SZ/O=viroot/OU=dev/CN=viroot.com/emailAddress=yy@viroot.com
-----BEGIN CERTIFICATE-----
MIIDazCCAlMCCQCIOlA9/dcfEjANBgkqhkiG9w0BAQUFADB5MQswCQYDVQQGEwJD
1LpQCA+2B6dn4scZwaCD
-----END CERTIFICATE-----
Bag Attributes
localKeyID: 97 DD 46 3D 1E 91 EF 01 3B 2E 4A 75 81 4F 11 A6 E7 1F 79 40
Key Attributes: <No Attributes>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIEvAIBADANBgkqhkiG9w0BAQEFAASCBKYwggSiAgEAAoIBAQDC/6rAc1YaPRNf
K9ZLHbyBTKVaxehjxzJHHw==
-----END ENCRYPTED PRIVATE KEY-----
仅提取私钥
openssl pkcs12 -in server.p12 -password pass:111111 -passout pass:111111 -nocerts -out out/key.pem
仅提取证书(所有证书)
openssl pkcs12 -in server.p12 -password pass:111111 -nokeys -out out/key.pem
仅提取ca证书
openssl pkcs12 -in server-all.p12 -password pass:111111 -nokeys -cacerts -out out/cacert.pem
仅提取server证书
openssl pkcs12 -in server-all.p12 -password pass:111111 -nokeys -clcerts -out out/cert.pem
六、openssl 命令参考
1 1. openssl list-standard-commands(标准命令) 2 1) asn1parse: asn1parse用于解释用ANS.1语法书写的语句(ASN一般用于定义语法的构成) 3 2) ca: ca用于CA的管理 4 openssl ca [options]: 5 2.1) -selfsign 6 使用对证书请求进行签名的密钥对来签发证书。即"自签名"，这种情况发生在生成证书的客户端、签发证书的CA都是同一台机器(也是我们大多数实验中的情况)，我们可以使用同一个 7 密钥对来进行"自签名" 8 2.2) -in file 9 需要进行处理的PEM格式的证书 10 2.3) -out file 11 处理结束后输出的证书文件 12 2.4) -cert file 13 用于签发的根CA证书 14 2.5) -days arg 15 指定签发的证书的有效时间 16 2.6) -keyfile arg 17 CA的私钥证书文件 18 2.7) -keyform arg 19 CA的根私钥证书文件格式: 20 2.7.1) PEM 21 2.7.2) ENGINE 22 2.8) -key arg 23 CA的根私钥证书文件的解密密码(如果加密了的话) 24 2.9) -config file 25 配置文件 26 example1: 利用CA证书签署请求证书 27 openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key 28 29 3) req: X.509证书签发请求(CSR)管理 30 openssl req [options] <infile >outfile 31 3.1) -inform arg 32 输入文件格式 33 3.1.1) DER 34 3.1.2) PEM 35 3.2) -outform arg 36 输出文件格式 37 3.2.1) DER 38 3.2.2) PEM 39 3.3) -in arg 40 待处理文件 41 3.4) -out arg 42 待输出文件 43 3.5) -passin 44 用于签名待生成的请求证书的私钥文件的解密密码 45 3.6) -key file 46 用于签名待生成的请求证书的私钥文件 47 3.7) -keyform arg 48 3.7.1) DER 49 3.7.2) NET 50 3.7.3) PEM 51 3.8) -new 52 新的请求 53 3.9) -x509 54 输出一个X509格式的证书 55 3.10) -days 56 X509证书的有效时间 57 3.11) -newkey rsa:bits 58 生成一个bits长度的RSA私钥文件，用于签发 59 3.12) -[digest] 60 HASH算法 61 3.12.1) md5 62 3.12.2) sha1 63 3.12.3) md2 64 3.12.4) mdc2 65 3.12.5) md4 66 3.13) -config file 67 指定openssl配置文件 68 3.14) -text: text显示格式 69 example1: 利用CA的RSA密钥创建一个自签署的CA证书(X.509结构) 70 openssl req -new -x509 -days 3650 -key server.key -out ca.crt 71 example2: 用server.key生成证书签署请求CSR(这个CSR用于之外发送待CA中心等待签发) 72 openssl req -new -key server.key -out server.csr 73 example3: 查看CSR的细节 74 openssl req -noout -text -in server.csr 75 76 4) genrsa: 生成RSA参数 77 openssl genrsa [args] [numbits] 78 [args] 79 4.1) 对生成的私钥文件是否要使用加密算法进行对称加密: 80 4.1.1) -des: CBC模式的DES加密 81 4.1.2) -des3: CBC模式的DES加密 82 4.1.3) -aes128: CBC模式的AES128加密 83 4.1.4) -aes192: CBC模式的AES192加密 84 4.1.5) -aes256: CBC模式的AES256加密 85 4.2) -passout arg: arg为对称加密(des、des、aes)的密码(使用这个参数就省去了console交互提示输入密码的环节) 86 4.3) -out file: 输出证书私钥文件 87 [numbits]: 密钥长度 88 example: 生成一个1024位的RSA私钥，并用DES加密(密码为1111)，保存为server.key文件 89 openssl genrsa -out server.key -passout pass:1111 -des3 1024 90 91 5) rsa: RSA数据管理 92 openssl rsa [options] <infile >outfile 93 5.1) -inform arg 94 输入密钥文件格式: 95 5.1.1) DER(ASN1) 96 5.1.2) NET 97 5.1.3) PEM(base64编码格式) 98 5.2) -outform arg 99 输出密钥文件格式 100 5.2.1) DER 101 5.2.2) NET 102 5.2.3) PEM 103 5.3) -in arg 104 待处理密钥文件 105 5.4) -passin arg 106 输入这个加密密钥文件的解密密钥(如果在生成这个密钥文件的时候，选择了加密算法了的话) 107 5.5) -out arg 108 待输出密钥文件 109 5.6) -passout arg 110 如果希望输出的密钥文件继续使用加密算法的话则指定密码 111 5.7) -des: CBC模式的DES加密 112 5.8) -des3: CBC模式的DES加密 113 5.9) -aes128: CBC模式的AES128加密 114 5.10) -aes192: CBC模式的AES192加密 115 5.11) -aes256: CBC模式的AES256加密 116 5.12) -text: 以text形式打印密钥key数据 117 5.13) -noout: 不打印密钥key数据 118 5.14) -pubin: 检查待处理文件是否为公钥文件 119 5.15) -pubout: 输出公钥文件 120 example1: 对私钥文件进行解密 121 openssl rsa -in server.key -passin pass:111 -out server_nopass.key 122 example:2: 利用私钥文件生成对应的公钥文件 123 openssl rsa -in server.key -passin pass:111 -pubout -out server_public.key 124 125 6) x509: 126 本指令是一个功能很丰富的证书处理工具。可以用来显示证书的内容，转换其格式，给CSR签名等X.509证书的管理工作 127 openssl x509 [args] 128 6.1) -inform arg 129 待处理X509证书文件格式 130 6.1.1) DER 131 6.1.2) NET 132 6.1.3) PEM 133 6.2) -outform arg 134 待输出X509证书文件格式 135 6.2.1) DER 136 6.2.2) NET 137 6.2.3) PEM 138 6.3) -in arg 139 待处理X509证书文件 140 6.4) -out arg 141 待输出X509证书文件 142 6.5) -req 143 表明输入文件是一个"请求签发证书文件(CSR)"，等待进行签发 144 6.6) -days arg 145 表明将要签发的证书的有效时间 146 6.7) -CA arg 147 指定用于签发请求证书的根CA证书 148 6.8) -CAform arg 149 根CA证书格式(默认是PEM) 150 6.9) -CAkey arg 151 指定用于签发请求证书的CA私钥证书文件，如果这个option没有参数输入，那么缺省认为私有密钥在CA证书文件里有 152 6.10) -CAkeyform arg 153 指定根CA私钥证书文件格式(默认为PEM格式) 154 6.11) -CAserial arg 155 指定序列号文件(serial number file) 156 6.12) -CAcreateserial 157 如果序列号文件(serial number file)没有指定，则自动创建它 158 example1: 转换DER证书为PEM格式 159 openssl x509 -in cert.cer -inform DER -outform PEM -out cert.pem 160 example2: 使用根CA证书对"请求签发证书"进行签发，生成x509格式证书 161 openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt 162 example3: 打印出证书的内容 163 openssl x509 -in server.crt -noout -text 164 165 7) crl: crl是用于管理CRL列表 166 openssl crl [args] 167 7.1) -inform arg 168 输入文件的格式 169 7.1.1) DER(DER编码的CRL对象) 170 7.1.2) PEM(默认的格式)(base64编码的CRL对象) 171 7.2) -outform arg 172 指定文件的输出格式 173 7.2.1) DER(DER编码的CRL对象) 174 7.2.2) PEM(默认的格式)(base64编码的CRL对象) 175 7.3) -text: 176 以文本格式来打印CRL信息值。 177 7.4) -in filename 178 指定的输入文件名。默认为标准输入。 179 7.5) -out filename 180 指定的输出文件名。默认为标准输出。 181 7.6) -hash 182 输出颁发者信息值的哈希值。这一项可用于在文件中根据颁发者信息值的哈希值来查询CRL对象。 183 7.7) -fingerprint 184 打印CRL对象的标识。 185 7.8) -issuer 186 输出颁发者的信息值。 187 7.9) -lastupdate 188 输出上一次更新的时间。 189 7.10) -nextupdate 190 打印出下一次更新的时间。 191 7.11) -CAfile file 192 指定CA文件，用来验证该CRL对象是否合法。 193 7.12) -verify 194 是否验证证书。 195 example1: 输出CRL文件，包括(颁发者信息HASH值、上一次更新的时间、下一次更新的时间) 196 openssl crl -in crl.crl -text -issuer -hash -lastupdate –nextupdate 197 example2: 将PEM格式的CRL文件转换为DER格式 198 openssl crl -in crl.pem -outform DER -out crl.der 199 200 8) crl2pkcs7: 用于CRL和PKCS#7之间的转换 201 openssl crl2pkcs7 [options] <infile >outfile 202 转换pem到spc 203 openssl crl2pkcs7 -nocrl -certfile venus.pem -outform DER -out venus.spc 204 https://www.openssl.org/docs/apps/crl2pkcs7.html 205 206 9) pkcs12: PKCS#12数据的管理 207 pkcs12文件工具，能生成和分析pkcs12文件。PKCS#12文件可以被用于多个项目，例如包含Netscape、 MSIE 和 MS Outlook 208 openssl pkcs12 [options] 209 http://blog.csdn.net/as3luyuan123/article/details/16105475 210 https://www.openssl.org/docs/apps/pkcs12.html 211 212 10) pkcs7: PCKS#7数据的管理 213 用于处理DER或者PEM格式的pkcs#7文件 214 openssl pkcs7 [options] <infile >outfile 215 http://blog.csdn.net/as3luyuan123/article/details/16105407 216 https://www.openssl.org/docs/apps/pkcs7.html 217 218 2. openssl list-message-digest-commands(消息摘要命令) 219 1) dgst: dgst用于计算消息摘要 220 openssl dgst [args] 221 1.1) -hex 222 以16进制形式输出摘要 223 1.2) -binary 224 以二进制形式输出摘要 225 1.3) -sign file 226 以私钥文件对生成的摘要进行签名 227 1.4) -verify file 228 使用公钥文件对私钥签名过的摘要文件进行验证 229 1.5) -prverify file 230 以私钥文件对公钥签名过的摘要文件进行验证 231 verify a signature using private key in file 232 1.6) 加密处理 233 1.6.1) -md5: MD5 234 1.6.2) -md4: MD4 235 1.6.3) -sha1: SHA1 236 1.6.4) -ripemd160 237 example1: 用SHA1算法计算文件file.txt的哈西值，输出到stdout 238 openssl dgst -sha1 file.txt 239 example2: 用dss1算法验证file.txt的数字签名dsasign.bin，验证的private key为DSA算法产生的文件dsakey.pem 240 openssl dgst -dss1 -prverify dsakey.pem -signature dsasign.bin file.txt 241 242 2) sha1: 用于进行RSA处理 243 openssl sha1 [args] 244 2.1) -sign file 245 用于RSA算法的私钥文件 246 2.2) -out file 247 输出文件爱你 248 2.3) -hex 249 以16进制形式输出 250 2.4) -binary 251 以二进制形式输出 252 example1: 用SHA1算法计算文件file.txt的HASH值,输出到文件digest.txt 253 openssl sha1 -out digest.txt file.txt 254 example2: 用sha1算法为文件file.txt签名,输出到文件rsasign.bin，签名的private key为RSA算法产生的文件rsaprivate.pem 255 openssl sha1 -sign rsaprivate.pem -out rsasign.bin file.txt 256 257 3. openssl list-cipher-commands (Cipher命令的列表) 258 1) aes-128-cbc 259 2) aes-128-ecb 260 3) aes-192-cbc 261 4) aes-192-ecb 262 5) aes-256-cbc 263 6) aes-256-ecb 264 7) base64 265 8) bf 266 9) bf-cbc 267 10) bf-cfb 268 11) bf-ecb 269 12) bf-ofb 270 13) cast 271 14) cast-cbc 272 15) cast5-cbc 273 16) cast5-cfb 274 17) cast5-ecb 275 18) cast5-ofb 276 19) des 277 20) des-cbc 278 21) des-cfb 279 22) des-ecb 280 23) des-ede 281 24) des-ede-cbc 282 25) des-ede-cfb 283 26) des-ede-ofb 284 27) des-ede3 285 28) des-ede3-cbc 286 29) des-ede3-cfb 287 30) des-ede3-ofb 288 31) des-ofb 289 32) des3 290 33) desx 291 34) rc2 292 35) rc2-40-cbc 293 36) rc2-64-cbc 294 37) rc2-cbc 295 38) rc2-cfb 296 39) rc2-ecb 297 40) rc2-ofb 298 41) rc4 299 42) rc4-40
