一、openssl 简介

openssl 是目前最流行的 SSL 密码库工具，其提供了一个通用、健壮、功能完备的工具套件，用以支持SSL/TLS 协议的实现。官网：https://www.openssl.org/source/，其中有3个主要的用途：1、密码算法库（建立 RSA、DH、DSA key 参数，计算消息摘要，使用各种 Cipher加密/解密） 2、密钥和证书封装管理功能（建立 X.509 证书、证书签名请求(CSR)和CRLs(证书回收列表)）；3、SSL通信API接口（SSL/TLS 客户端以及服务器的测试，处理S/MIME 或者加密邮件）。

二、安装openssl（linux CentOS7 32位）

如果使用的是unix操作系统，可能安装系统的时候，这个库就已经有且存在了。但是在使用前，需要注意下当前openssl的库的版本。

openssl version
OpenSSL 1.0.1 14 Mar 2012

因为版本1.0.1是一个很重要的风水岭版本。因为1.0.1是第一个支持TLS1.1和1.2的版本。支持新的协议。操作系统的选择也很重要，比如Ubuntu 12.04 LTS，客户端不支持SSL2。这里安装以CentOS7系统为例：

A、 下载openssl库文件：https://www.openssl.org/source/

B、将下载的压缩包放在根目录下，解压缩，进入解压缩文件（得到openssl-openssl-1.0.0文件夹）cd openssl-1.0.0

C、编译前配置openssl，执行命令：./config --prefix=/usr/local/openssl，其中 ( --prefix )参数为欲安装之目录，也就是安装后的档案会出现在该目录下。

D、编译openssl，执行命令： make install

小插曲：安装openssl报错

1、问题描述：安装完成，查看版本信息的时候报错了，缺少一个库文件libssl.so.1.1。
[root@b6e4cbd27773 /usr/local/openssl/bin]# openssl versionopenssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory2、解决方法：有依赖没装libssl。在/etc/ld.so.conf文件中写入openssl库文件的搜索路径，使用修改后的conf生效即可：
echo "/usr/local/lib64" >> /etc/ld.so.conf
ldconfig -v

三、使用openssl生成RSA密钥对

使用openssl的私钥产生公钥前，需要了解以下几点：

1、key算法：openssl 支持生成RSA，DSA，ECDSA的密钥对，但是RSA是目前使用最普遍的。

2、Key长度：RSA的2048是公认较比较安全的key长度。

3、密码（Passphrase）：在key上使用密码是一个可选值，但是一般都是强烈建议的（官网这样写的，实际项目中很多都没有设置口令），这样每次使用key文件时，都需要输入这个密码才能使用，增强了其安全性，但是随之而来的易用性也会变差。

使用genrsa命令来生成RSA key（ 产生DSA其他算法的key文件，可以直接参考学习官网教程，在此处以常用的为例），2步骤能完成：

A、生成私钥：

使用命令：openssl genrsa -aes128 -out fd.key 2048 。以下输入了为这个key值设置了密码，且密码使用aes128加密保存。

openssl genrsa -aes128 -out fd.key 2048
Generating RSA private key, 2048 bit long modulus
....+++
...................................................................................+++
e is 65537 (0x10001)
Enter pass phrase for fd.key: ****************
Verifying - Enter pass phrase for fd.key: ****************

这个key文件就是私钥文件。可以查看下文件内容：

 cat fd.key
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,01EC21976A463CE36E9DB59FF6AF689AvERmFJzsLeAEDqWdXX4rNwogJp+y95uTnw+bOjWRw1+O1qgGqxQXPtH3LWDUz1Ym
mkpxmIwlSidVSUuUrrUzIL+V21EJ1W9iQ71SJoPOyzX7dYX5GCAwQm9Tsb40FhV/
[21 lines removed...]
4phGTprEnEwrffRnYrt7khQwrJhNsw6TTtthMhx/UCJdpQdaLW/TuylaJMWL1JRW
i321s5me5ej6Pr4fGccNOe7lZK+563d7v5znAx+Wo1C+F7YgF+g8LOQ8emC+6AVV
-----END RSA PRIVATE KEY-----

B、生成公钥：

使用命令：openssl rsa -in fd.key -pubout -out fd-public.key

openssl rsa -in fd.key -pubout -out fd-public.key
Enter pass phrase for fd.key: ****************

查看这个key文件，就是公钥：

 cat fd-public.key
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnlccwQ9FRyJYHM8sFNsY
PUHJHJzhJdwcS7kBptutf/L6OvoEAzCVHi/m0qAA4QM5BziZgnvv+FNnE3sgE5pz
iovEHJ3C959mNQmpvnedXwfcOIlbrNqdISJiP0js6mDCzYjSO1NCQoy3UpYwvwj7
0ryR1F+abARehlts/Xs/PtX3VamrljiJN6JNgFICy3ZvEhLZEKxR7oob7TnyZDrj
IHxBbqPNzeiqLCFLFPGgJPa0cH8DdovBTesvu7wr/ecsf8CYyUCdEwGkZh9DKtdU
HFa9H8tWW2mX6uwYeHCnf2HTw0E8vjtOb8oYQxlQxtL7dpFyMgrpPOoOVkZZW/P0
NQIDAQAB
-----END PUBLIC KEY-----

三、获取权威机构颁发证书步骤

获取权威机构颁发的证书，需要先得到私钥的key文件（.key），然后使用私钥的key文件生成sign req 文件（.csr），最后把csr文件发给权威机构，等待权威机构认证，认证成功后，会返回证书文件（.crt）。

A：生成私钥key。

与第二节使用openssl生成RSA密钥对的步骤A一致。使用命令：openssl genrsa -aes128 -out fd.key 2048

B：私钥的key文件生成sign req 文件（.csr）

生成csr文件时，需要填写一些关于待签人或者公司的一些信息，比如国家名，省份名，组织机构名，主机名，email名，有些信息可以不填写，使用.标识。

使用命令：openssl req -new -key fd.key -out fd.csr。过程如下：

$ openssl req -new -key fd.key -out fd.csr
Enter pass phrase for fd.key: ****************
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:GB
State or Province Name (full name) [Some-State]:.
Locality Name (eg, city) []:London
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Feisty Duck Ltd
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:www.feistyduck.com
Email Address []:webmaster@feistyduck.comPlease enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

C、把csr文件发给权威机构，等待权威机构认证，交费获取证书即可。

四、OpenSSL生成root CA及签发证书

有时候，使用SSL协议是自己内部服务器使用的，这时可以不必去找第三方权威的CA机构做证书，可以做自签证书（自己创建root CA（非权威））主要有以下三个步骤。

A：创建openssl.cnf在使用default-ca时需要使用的SSL的工作目录（第一次必须要设置）。

1、查看openssl的配置文件：

openssl version -a
OpenSSL 1.0.1e-fips 17 Nov 2016
built on: Fri Nov 18 16:28:23 CST 2016
platform: linux-x86_64
options:  bn(64,64) md2(int) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DKRB5_MIT -m64 -DL_ENDIAN -DTERMIO -Wall -O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector --param=ssp-buffer-size=4 -m64 -mtune=generic -Wa,--noexecstack -DPURIFY -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/etc/pki/tls"
engines:  rdrand dynamic

2、找到OPENSSLDIR: "/etc/pki/tls"的配置文件openssl.cnf

根据配置文件下的[ CA_default ]节点默认值，创建对应文件夹和文件。

按顺序在/etc/pki/CA下执行以下命令创建文件夹和文件：

其中，certs：存放已颁发的证书；newcerts：存放CA指令生成的新证书；private：存放私钥；crl：存放已吊销的整数；index.txt：penSSL定义的已签发证书的文本数据库文件，这个文件通常在初始化的时候是空的；serial：证书签发时使用的序列号参考文件，该文件的序列号是以16进制格式进行存放的，该文件必须提供并且包含一个有效的序列号。

执行完后，当前目录为：

[tt@SWEBMYVMM000210 /etc/pki/CA]$ll
total 20
drwxrwxrwx 2 root root 4096 Mar 12 11:08 certs
drwxrwxrwx 2 root root 4096 Nov 18  2016 crl
-rwxrwxrwx 1 root root    0 Mar 12 11:06 index.txt
drwxrwxrwx 2 root root 4096 Nov 18  2016 newcerts
drwxrwxrwx 2 root root 4096 Nov 18  2016 private
-rwxrwxrwx 1 root root   33 Mar 12 11:12 serial

 小插曲：使用自签证书签名用户证书时报错，文件不存在

  1、问题描述：

     openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key

     Using configuration from /etc/pki/tls/openssl.cnf

     /etc/pki/CA/serial: No such file or directory
error while loading serial number
       139996157081440:error:02001002:system library:fopen:No such file or directory:bss_file.c:398:fopen('/etc/pki/CA/serial','r')
       139996157081440:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:400: 
 2、问题解决：     如果不设置工作目录，后续第三步的最后一小步，使用openssl的ca命令产生用户的ca证书时会报错，创建openssl.cnf在使用default-ca时需要使用的SSL的工作目录即可。

B：生成CA根证书（root ca证书）。

步骤：生成CA私钥（.key）-->生成CA证书请求（.csr）-->自签名得到根证书（.crt）（CA给自已颁发的证书）。

# Generate CA private key   --->ca.key

openssl genrsa -out ca.key 2048

# Generate CSR   --->ca.csr

openssl req -new -key ca.key -out ca.csr

# Generate Self Signed certificate（CA 根证书）  ---> ca.crt

openssl x509 -req -days 365 -in ca.csr -signkey ca.key -out ca.crt

小插曲：直接根据key文件获取CA根证书的命令

方法：在得到key文件后，执行以下命令：     openssl req -new -x509 -days 365 -key fd.key -out fd.crt     如果不想填写那些注册信息，执行以下命令：     openssl req -new -x509 -days 365 -key fd.key -out fd.crt subj "/C=GB/L=London/O=Feisty Duck Ltd/CN=www.feistyduck.com

C：用自签根证书 ca.crt  给用户证书签名。

步骤：生成私钥（.key）-->生成证书请求（.csr）-->用CA根证书签名得到证书（.crt）

#  private key  --->server.key

openssl genrsa  -out server.key 1024
# generate csr  --->server.csr

openssl req -new -key server.key -out server.csr 
# generate certificate  --->server.crt 
openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key

小插曲：用CA根证书签名时报错，The mandatory stateOrProvinceName field was missing
1、问题描述：
sudo openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
The mandatory stateOrProvinceName field was missing
2、出现原因：openssl.cnf中CA policy有三个match，必须要填一样的，或者改成optional3、解决方法：修改配置文件，修改后为：

# For the CA policy
  [ policy_match ]
  countryName = optional
  stateOrProvinceName = optional
  organizationName = optional
  organizationalUnitName = optional
  commonName = supplied
  emailAddress = optional

D：证书的简单使用。

把server.crt以及server.key保存在服务器端等待程序加载使用；把ca.key保存在客户端，如果客户端需要验证服务器端发的证书时使用。

OpenSSL生成root CA及签发证书相关推荐

  1. 加密解密概述及openssl应用及其创建CA和签发证书的实现

    数据非常重要,这是大家的共识,为了保证数据的安全,就会涉及到加密及其解密,本文主要介绍加密 解密相关概念及其在Linux平台下加密解密的具体实现openssl基础,及openssl创建CA和签发证书: ...

  2. OpenSSL自建CA和签发二级CA及颁发SSL证书

    自己签发CA证书再签发服务器证书的场景非常简单.把根CA证书导入到浏览器后,就可以信任由这个根CA直接签发的服务器证书. 但是实际上网站使用的证书肯定都不是由根CA直接签发的,比如 像百度这种,网站使 ...

  3. 自建ca根证书_如何创建私有 CA 并签发证书

    为什么需要自己的 CA? 因为公共 CA (比如排名前几的这几家:Comodo, Symantec, GlobalSign, DigiCert, StartCom)颁发证书要收费,而且价格很贵.当然现 ...

  4. 【201】openssl生成服务端和客户端证书详解

    内容目录(原文见公众号python宝) 一.基本知识点介绍二.openssl生成服务端和客户端证书www.xmmup.com 一.基本知识点介绍   要支持https请求,那就需要一个SSL证书. S ...

  5. openssl创建CA并签发证书

    一.创建私有CA根证书 1.创建CA目录 root@DESKTOP-JP3S3AN:/home/wsl/openssl_pro# mkdir -pv /etc/pki/CA/{private,cert ...

  6. Linux 使用openssl ca方式签发证书

    前言 Linux 使用openssl x509方式签发证书(推荐用这种方式):https://blog.csdn.net/QianLiStudent/article/details/109818208 ...

  7. 通过openSSL生成自签名的SSL证书

    自签名证书:就是 指的根证书,就是颁发者:和颁发给: 是相同的.证书的签名是用证书里的公钥对应的私钥进行的签名.这样的证书除非是受信任的颁布机构颁发f,一般是不被第三方信任.一般用于内部使用及测试使用 ...

  8. 使用openssl生成ssl（https）证书

    openssl生成证书 [nginx@machina key]$ pwd /app/nginx/key 生成私钥 openssl genrsa -out server.key 2048 生成证书请求 ...

  9. 使用keytool和openssl生成RSA公钥私钥和证书，

    RSA公钥私钥证书,使用keytool和openssl生成 生成JKS文件命令 用kes文件 生成公钥和证书命令 重中之中!!!!!! JKS文件 你不要打开 直接复制,挪到你用的位置,或者替换你之前 ...

最新文章

  1. 判断二叉树是否为平衡二叉树
  2. Angular Package Format (APF) v12.0 介绍
  3. 缓存击穿/穿透/雪崩
  4. 学习入门运营TikTok需要注意些什么？
  5. 谁说Dota2赢了人类的AI太水？连比尔·盖茨都啧啧称赞了
  6. C++灵活易错特性-02
  7. if condition 大于_西门子进一步扩展Sinumerik Edge 平台的应用程序AnalyzeMyMachine/Condition...
  8. 高性能的服务器的架设
  9. Java类的方法的理解
  10. android核心基础(5)_Android）java虚拟机和Dalvik虚拟机的区别
  11. C# action 返回值_C#与ABB机械手建立通信，并控制机械手动作 - 龙拓电子
  12. matlab无法打开excel的问题
  13. Win10切换虚拟桌面
  14. iPhone出现白苹果怎么修复？三分钟教你如何修复手机白苹果
  15. 蓝桥杯--鲁卡斯队列
  16. 计算机网络实验--Cisco Packet Tracer 实验
  17. 对3D体感试衣镜的看法
  18. c语言将时速转换成配速,都是速度指标，为何跑步用“配速”而非“时速”？3个原因请明白...
  19. 狂神SpringSecurity学习笔记（基础）
  20. Java修炼 之 基础篇（二）Java语言构成

热门文章

  1. [Java] 蓝桥杯ALGO-146 算法训练 4-2找公倍数
  2. L2-021 点赞狂魔-PAT团体程序设计天梯赛GPLT
  3. 【离散数学】单向连通和弱连通的区别
  4. python运维脚本部署jdk_Jenkins 为Jenkins添加Windows Slave远程执行python项目脚本
  5. 【C++】 11_新型的类型转换
  6. 3.07 检测两个表中是否有相同的数据
  7. 字符串数组最长公共前缀
  8. ue4 C++ 编程 通过三个点的位置算出夹角
  9. spring 中加载xml配置文件的方式
  10. Go 单元测试从 0 到 1