学习笔记-openssl
openssl
什么是x509证书链
x509 证书一般会用到三类文件，key，csr，crt.
- Key 是私用密钥，openssl 格式，通常是 rsa 算法.
- csr 是证书请求文件，用于申请证书.在制作 csr 文件的时候，必须使用自己的私钥来签署申请，还可以设定一个密钥.
- crt 是 CA 认证后的证书文件(windows 下面的 csr，其实是 crt)，签署人用自己的 key 给你签署的凭证.
openssl 中有如下后缀名的文件
- .key 格式:私有的密钥
- .csr 格式:证书签名请求(证书请求文件)，含有公钥信息，certificate signing request 的缩写
- .crt 格式:证书文件，certificate 的缩写
- .crl 格式:证书吊销列表，Certificate Revocation List 的缩写
- .pem 格式:用于导出，导入证书时候的证书的格式，有证书开头，结尾的格式
证书各个字段的含义
查看证书的内容
openssl x509 -in /etc/pki/CA/cacert.pem -noout -text|egrep -i "issuer|subject|serial|dates"
- CN : 公用名称 (Common Name)
- O : 单位名称 (Organization Name)
- L : 所在城市
- S : 所在省份
- C : 所在国家
- OU : 显示其他内容
- E : 电子邮件
- G : 多个姓名字段
- Description : 介绍
- Phone : 电话号码
- STREET : 地址
- PostalCode : 邮政编码
CA 根证书的生成步骤
生成 CA 私钥(.key)-->生成 CA 证书请求(.csr)-->自签名得到根证书(.crt)(CA 给自已颁发的证书).
st=>start: 生成 CA 私钥(.key)
op=>operation: 生成 CA 证书请求(.csr)
cond=>condition: 自签名得到根证书(.crt)
st->op->cond
生成 CA 私钥
cd /etc/pki/CA/private
openssl genrsa 2048 > cakey.pem
生成自签证书、用 openssl 中 req 这个命令
openssl req -new -x509 -key cakey.pem -out /etc/pki/CA/cacert.pem
在 CA 的目录下创建两个文件:
cd /etc/pki/CA
touch index.txt # 索引问文件
touch serial # 给客户发证编号存放文件
echo 01 > serial
mkdir /etc/httpd/ssl
cd /etc/httpd/ssl
openssl genrsa 1024 > httpd.key
openssl req -new -key httpd.key > httpd.csr
openssl ca -days 365 -in httpd.csr > httpd.crt
# 查看 openssl 证书数据库文件
cat /etc/pki/CA/index.txt
keytool 自签
keytool \
-keystore server.jks -storepass test123456 -deststoretype pkcs12 \
-genkeypair -keyalg RSA -validity 395 -keysize 2048 -sigalg SHA256withRSA \
-dname "CN=*.test.com"
openssl pkcs12 -in server.jks -nodes -nocerts -out ca.key
openssl pkcs12 -in server.jks -nokeys -out ca.crt
openssl x509 -in ca.crt -noout -text
随机数
openssl rand -base64 16
Source & Reference
- https://blog.csdn.net/Michaelwubo/article/details/113736166
- https://cloud.tencent.com/developer/article/1411029
- https://www.cnblogs.com/iiiiher/p/8085698.html
- https://ultimatesecurity.pro/post/san-certificate/
点击关注，共同学习！
安全狗的自我修养
