openssl自签名证书生成与单双向验证

什么是CA:

CA(Certificate Authority)是数字证书认证中心的简称,是指发放、管理、废除数字证书的机构。

CA的作用是检查证书持有者身份的合法性,并签发证书(在证书上签字),以防证书被伪造或篡改,以及对证书和密钥进行管理。

SSL证书中DN(Distiguish Name)识别名的结构:

遵循X.509标准,标识名的目的就是为每个网络实体提供一个唯一的名字。为了达到这一目的,DN有一种分层结构。一个DN由一些列的RDN(Relative distinguished name,相对标识名)构成。

RDN的乘此结构依次为:

C = US, ST = Beijing, L = Beijing, O = RTFM, OU = Consulting, CN = Eric

(C->Country, ST-> State or Provice Name, L->Locality Name, O->Organization, OU->Organization Unit, CN->Common Name)

生成自签名证书的步骤:

一、建立CA:

  1. 在任意目录建立文件夹,文件夹名称任意

/home/gouxu/gx/key/

  1. 进入到新建立的文件夹key

cd /home/gouxu/gx/key/

  1. 生成CA私钥

openssl genrsa -out ca.key 2048

参数说明:

genrsa:生成rsa秘钥;

-out ca.key 生成的秘钥文件为ca.key;

2048: 秘钥长度为2048.

  1. 用CA私钥生成CA的证书

openssl req -new -x509 -days 36500 -key ca.key -out ca.crt -subj “/C=CN/ST=Beijing/L=Beijing/O=Teamsun/OU=Teamsun”

(-x509选项会生成自签名证书。)

  1. 建立CA相应目录

进入到key文件夹执行如下命令:

mkdir demoCA

cd demoCA/

mkdir newcerts

touch index.txt

echo ’01’ > serial

二、生成server端证书

  1. 进入key文件夹

cd key/

  1. 生成server私钥

openssl genrsa -out server.key 2048

  1. 使用server私钥生成server端证书请求文件

openssl req -new -key server.key -out server.csr -subj “/C=CN/ST=Beijing/L=Beijing/O=Teamsun/OU=guoxu/CN=guoxu”

(没有-x509选项则生成证书请求文件。)

  1. 使用server证书请求文件通过CA生成自签名证书

openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key

  1. 验证server证书

gouxu@gouxu-pc:~/gx/key$ openssl verify -CAfile ca.crt server.crt

server.crt: OK

gouxu@gouxu-pc:~/gx/key$

三、双向认证需要生成client证书

  1. 进入key文件夹

cd key/

  1. 生成client私钥

openssl genrsa -out client.key 2048

  1. 使用client私钥生成client端证书请求文件

openssl req -new -key client.key -out client.csr -subj “/C=CN/ST=Beijing/L=Beijing/O=Teamsun/OU=guog/CN=guog”

注意:如果出现如下错误需要更改OU域与CN域重新生成证书请求文件。

Sign the certificate? [y/n]:y

failed to update database

TXT_DB error number 2

  1. 使用client证书请求文件生成自签名证书

openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key

  1. 验证client证书

gouxu@gouxu-pc:~/gx/test$ openssl verify -CAfile ca.crt client.crt

client.crt: OK

gouxu@gouxu-pc:~/gx/test$

四、测试

4.1 使用server证书测试单向认证

  1. 打开窗口1启动server

gouxu@gouxu-pc:~/gx/test$ openssl s_server -accept 10001 -key server.key -cert server.crt

Using default temp DH parameters

Using default temp ECDH parameters

ACCEPT

  1. 打开窗口2启动客户端

gouxu@gouxu-pc:~$ openssl s_client -connect localhost:10001

CONNECTED(00000003)

… …

  1. 连接成功后在任意一个窗口输入字符串会传输到另外一个窗口回显。

4.2 使用server证书和客户端证书做双向测试

  1. 打开窗口1启动server。(带有Verify参数,强制要求client证书)

gouxu@gouxu-pc:~/gx/test$ openssl s_server -accept 10001 -key server.key -cert server.crt -Verify 5

  1. 打开窗口2启动客户端

gouxu@gouxu-pc:~/gx/test$ openssl s_client -connect localhost:10001 -cert client.crt -key client.key

  1. 双向证书正确则连接成功,否则连接失败。
  2. 通过控制台可以双向发送消息。

发表评论

电子邮件地址不会被公开。 必填项已用*标注

你需要开启你的javascript才可以哦!