网络安全2 - PKI (Public key infrastructure) 和 Easy RSA
一、PKI
1. 官方定义
PKI是Public key infrastructure的简称，中文称之为“公开密钥基础设施”、“公钥基础设施”、“公开密钥基础架构”或“公钥基础架构”，是一组由硬件、软件、参与者、管理政策与流程组成的基础架构，其目的在于创造、管理、分配、使用、存储以及撤销数字证书。
2. 通俗理解
管理密钥(公钥+私钥)，签发数字证书，签发数字签名。CA的实现。
二、Easy RSA
Easy RSA是Open VPN组织对PKI的实现，它是一个命令行工具，可以创建并管理Root Certificate Authority(CA)，包括签发、吊销数字证书、创建公钥私钥对等。
1. 安装
(1) 首先需要安装wget工具:
yum install -y wget
(2) 下载
最新版本需要前往项目网站(https://github.com/OpenVPN/easy-rsa)查看:
wget https://github.com/OpenVPN/easy-rsa/archive/v3.1.1.tar.gz
(3) 解压
tar -xf v3.1.1.tar.gz
(4) 完成安装
到这里，其实你已经完成了安装，Easy RSA不需要执行make & make install等命令，你可以直接cd到目录执行命令，更重要的是它不需要你在root权限下运行。
首先给Easy RSA挪个地方：
sudo mv -i easy-rsa-3.1.1 /opt/EasyRSA
运行以下命令，测试你的安装：
cd /opt/EasyRSA/easyrsa3
./easyrsa --version
2. 配置
默认配置文件在/opt/EasyRSA/easyrsa3/vars.example，如果默认配置可以满足需求，此步可以跳过，如果你想自定义配置文件则务必将该文件重命名为vars并放到vars.example同级目录，这一点vars.example文件也有介绍：
(1) 生成配置文件：
cp vars.example vars
(2) 编辑配置文件：
vi vars
(3) 定位到
set_var EASYRSA_PKI
更新为：
/opt/EasyRSA/easyrsa3/pki
(4) 定位到以下段落，删除注释符号并按需修改：
#set_var EASYRSA_REQ_COUNTRY "US" #set_var EASYRSA_REQ_PROVINCE "California" #set_var EASYRSA_REQ_CITY "San Francisco" #set_var EASYRSA_REQ_ORG "Copyleft Certificate Co" #set_var EASYRSA_REQ_EMAIL "me@example.net" #set_var EASYRSA_REQ_OU "My Organizational Unit"
3. 搭建CA并生成CA密钥对和数字证书
(1) 初始化PKI目录：
cd /opt/EasyRSA/easyrsa3
./easyrsa init-pki
或者可以执行清除并初始化：
cd /opt/EasyRSA/easyrsa3
./easyrsa clean-all
注意，这里会初始化一个目录/opt/EasyRSA/easyrsa3/pki用于存放数字证书：
(2) 创建CA:
cd /opt/EasyRSA/easyrsa3
./easyrsa build-ca
在执行该命令时，需要输入CA的密码和Common Name，每当CA签发证书的时候需要输入该密码，如果不想设置密码，可以执行：
cd /opt/EasyRSA/easyrsa3
./easyrsa build-ca nopass
注意：
a. 如果你之前有ca证书和密钥，你希望恢复到这个EasyRSA中来，你需要先运行上面的命令，再用原有的ca证书和私钥覆盖新生成的证书和私钥：
mv -f ca.crt /opt/EasyRSA/easyrsa3/pki/ca.crt mv -f ca.key /opt/EasyRSA/easyrsa3/pki/private/ca.key
b. 运行之后：
CA数字证书(包含公钥和主体信息)：/opt/EasyRSA/easyrsa3/pki/ca.crt
CA私钥：/opt/EasyRSA/easyrsa3/pki/private/ca.key
(3) 生成服务端CA密钥对和数字证书，可自定义server名称
cd /opt/EasyRSA/easyrsa3
./easyrsa build-server-full server
如果不需要密码可以运行：
cd /opt/EasyRSA/easyrsa3
./easyrsa build-server-full server nopass
运行之后:
服务端的数字证书(包含公钥和主体信息)：/opt/EasyRSA/easyrsa3/pki/issued/server.crt
服务端的私钥：/opt/EasyRSA/easyrsa3/pki/private/server.key
(4) 生成Diffie-Hellman
Deffie-Hellman(简称 DH) 密钥交换是最早的密钥交换算法之一，它使得通信的双方能在非安全的信道中安全的交换密钥，用于加密后续的通信消息。
cd /opt/EasyRSA/easyrsa3
./easyrsa gen-dh
运行该命令需要的时间较长，运行之后：
数字证书：/opt/EasyRSA/easyrsa3/pki/dh.pem
4. 为Client生成密钥对和数字证书
(1) 可自定义Client名称:
cd /opt/EasyRSA/easyrsa3
./easyrsa build-client-full client1
(2) 如果不需要密码可以运行：
cd /opt/EasyRSA/easyrsa3
./easyrsa build-client-full client1 nopass
(3) 运行之后：
数字证书：/opt/EasyRSA/easyrsa3/pki/issued/client1.crt
私钥：/opt/EasyRSA/easyrsa3/pki/private/client1.key
(4) 发送至目标主机：
scp local_file remote_username@remote_ip:remote_folder scp /opt/EasyRSA/easyrsa3/pki/issued/client1.crt remote_username@remote_ip:remote_folder scp /opt/EasyRSA/easyrsa3/pki/private/client1.key remote_username@remote_ip:remote_folder
5. 将CA证书添加到目标主机的信任列表中:
cp /opt/EasyRSA/easyrsa3/pki/ca.crt /etc/pki/ca-trust/source/anchors/
三、参考
https://www.ssh.com/academy/pki
https://www.keyfactor.com/resources/what-is-pki/
https://github.com/OpenVPN/easy-rsa
https://github.com/OpenVPN/easy-rsa/blob/master/README.quickstart.md
https://unixcop.com/install-easyrsa-certificate-authority-ca-on-centos-rhel-8/
https://easy-rsa.readthedocs.io/en/latest/
https://blog.csdn.net/nice_wen/article/details/87996526
