Openssl搭建私有CA认证
概述
CA英文全称Certification Authority，即数字证书认机构。从广义上来说，CA是负责发放和管理数字证书的权威机构，并作为用户数字认证中受信任的第三方，承担公钥体系（PKI）中公钥的合法性检验的责任，在互联网上，实现用户与用户、用户与企业之间的数字身份认证。
本文通过使用openssl进行搭建私有CA认证体系，从而简单地了解CA的认证过程。搭建私有CA，可以实现企业内部认证加密。
环境部署
本文环境基于 CentOS 6.8
步骤流程
具体操作
1. CA的配置文件
首先我们可以查看 /etc/pki/tls/openssl.cnf 的文件，找到以下内容了解CA的配置信息
####################################################### [ ca ] default_ca = CA_default # The default ca section ####################################################### [ CA_default ] dir = /etc/pki/CA # CA的工作目录 certs = $dir/certs # 证书存放位置 crl_dir = $dir/crl # 吊销列表 database = $dir/index.txt # 索引文件数据库，本文件自动生成 #unique_subject = no # Set to 'no' to allow creation of # several ctificates with same subject. new_certs_dir = $dir/newcerts # 默认新签署证书存放目录. certificate = $dir/cacert.pem # CA自己的证书 serial = $dir/serial # 当前发出去的证书的*** crlnumber = $dir/crlnumber # 吊销的证书*** # must be commented out to leave a V1 CRL crl = $dir/crl.pem # 当前正在使用的CRL （证书列表文件） private_key = $dir/private/cakey.pem# CA自己的私钥（建议限制权限600 ） RANDFILE = $dir/private/.rand # 随机数种子 x509_extensions = usr_cert # 用户扩展
2. 客户端配置
2.1. 在客户端生成**，建议保存至应用此证书的服务的配置文件目录下：
（演示假设证书应用于 httpd 服务，按建议，我们到 httpd 的配置文件目录下创建文件）
[[email protected] ~]# >>mkdir /etc/httpd/ssl [[email protected] ~]# >>cd /etc/httpd/ssl [[email protected] ~]# >>( umask 077 ; openssl genrsa -out httpd.key 1024 ) # 建议：子shell中更改umask，新建文件权限即为600，子shell的umask不影响全局
2.2. 生成证书签署请求：
Tips: CSR是Certificate Signing Request的英文缩写，即证书请求文件，也就是证书申请者在申请数字证书时由CSP(加密服务提供者)在生成私钥的同时也生成证书请求文件，证书申请 者只要把CSR文件提交给证书颁发机构后，证书颁发机构使用其根证书私钥签名就生成了证书公钥文件，也就是颁发给用户的证书。
来自<http://baike.baidu.com/link?url=TD6KI4WvcgOHWfxuocHFvD54VHQIO5aAxn4B8k3cUg2a_RMmoK4CcktqsmdhRMVLj7cv4pXnjA5p8NdgBEsoyq>
生成
[[email protected] ssl]# >>openssl req -new -key httpd.key -out httpd.csr #通过加载httpd.key生成一个新请求，保存为httpd.csr
创建过程中需要进行交互式填写信息：（）
1). 国家：CN 两位国家代码（可以在/etc/pki/tls/openssl.cnf设置默认值）
2). 省份：beijing
3). 市： beijing
4). 公司：Client.Co
5). 部门：RD
6). 名字：www.client.com #非常重要，
7). 联系：[email protected] #测试使用
8). 密码：#将申请文件加密
2.3. 将httpd.csr发给CA服务器
[[email protected] ssl]# >>scp httpd.csr [email protected]:/root/pem #测试环境中使用scp传输文件到CA服务器
3. 服务器配置
3.1. 生成自己的**对
CA服务器的配置目录初始环境
我们进入 /etc/pki/CA/ 目录生成私钥：（留意当前目录，与相对路径）
[[email protected] ~]# >>cd /etc/pki/CA/ [[email protected] CA]# >>tree -C . [[email protected] CA]# >>( umask 077 ; openssl genrsa -out private/cakey.pem 2048 )
如果想查看公钥：（非必要步骤）
[[email protected] CA]# >>openssl rsa -in private/cakey.pem -pubout -text -noout
3.2. 生成自签证书
[[email protected] CA]# >>openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 3655 # -new 创建一个认证申请； # -x509 生成一份 X.509 证书，只有自签署时候才需要此选项，简化（申请-签署）过程； # -key 指明私钥文件； # -out 输出证书文件； # -days 签署证书有效期。
3.3. 创建所需文件，指定证书编号初始值
完成 3.2. 后，此时配置目录下的状态：
我们还需要新建部分初始文件，以保证CA服务正常运行
[[email protected] CA]# >>touch index.txt serial crlnumber [[email protected] CA]# >>echo 01 > serial #设置序号从01开始
到此，我们已经完成了搭建根CA服务器的过程。
3.4. 签署client的证书
CA服务器签署客户端证书的命令很简单：
[[email protected] CA]# >>openssl ca -in ~/pem/httpd.csr -out ~/pem/httpd.crt
此时我们运行会报错：↓↓↓↓↓↓↓
[[email protected] CA]# >>ll ~/pem/httpd.csr -rw-r--r--. 1 root root 761 Sep 21 17:49 /root/pem/httpd.csr [[email protected] CA]# >>openssl ca -in ~/pem/httpd.csr -out ~/pem/httpd.crt Using configuration from /etc/pki/tls/openssl.cnf Check that the request matches the signature Signature ok The stateOrProvinceName field needed to be the same in the CA certificate (shanghai) and the request (beijing)
我们在查看 /etc/pki/tls/openssl.cnf 的文件，发现这一段内容：
原因是CA配置默认启用的是 policy_match ,限制客户端注册信息部分需要匹配CA服务器。
# A few difference way of specifying how similar the request should look # For type CA, the listed attributes must be the same, and the optional # and supplied fields are just that :-) policy = policy_match # For the CA policy [ policy_match ] countryName = match stateOrProvinceName = match organizationName = match organizationalUnitName = optional commonName = supplied emailAddress = optional # For the 'anything' policy # At this point in time, you must list all acceptable 'object' # types. [ policy_anything ] countryName = optional stateOrProvinceName = optional localityName = optional organizationName = optional organizationalUnitName = optional commonName = supplied emailAddress = optional ####################################################################
所以我们只需修改为 policy_anything：
再次运行签署证书命令：
签署过程需要交互回答两个问题
Sign the certificate? [y/n]:y #签署确认 1 out of 1 certificate requests certified, commit? [y/n]y #写入证书数据库
我们看到证书已经在CA服务器上完成签署，数据库也记录在案了。
注：CA服务器吊销证书：（证书名）
openssl ca -revoke /PATH/TO/SOMEFILE.crt （证书名）
3.5. 回传已签署的证书给客户端
[[email protected] CA]# >>scp ~/pem/httpd.crt [email protected]:/etc/httpd/ssl
至此，我们完成了整个CA搭建，客户端证书认证的过程。
转载于:https://blog.51cto.com/zhaoqifly/1855073