OpenSSL体系下使用密钥数字证书等
<DIV>OpenSSL体系下使用密钥数字证书等<STRONG>关键词</STRONG>： <A href="http://tag.bokee.com/tag/OpenSSL" target=_blank><FONT color=#1d58d1>OpenSSL</FONT></A> <A href="http://tag.bokee.com/tag/Key" target=_blank><FONT color=#1d58d1>Key</FONT></A> <A href="http://tag.bokee.com/tag/certificate" target=_blank><FONT color=#1d58d1>certificate</FONT></A> <A href="http://tag.bokee.com/tag/ÃÜÔ¿" target=_blank><FONT color=#1d58d1>密钥</FONT></A> <A href="http://tag.bokee.com/tag/Ö¤Êé" target=_blank><FONT color=#1d58d1>证书</FONT></A>
<P>首先得安装OpenSSL软件包openssl，安装了这个软件包之后，我们可以做这些事情：<BR> o Creation of RSA, DH and DSA Key Parameters # 创建密钥 key<BR> o Creation of X.509 Certificates, CSRs and CRLs # 创建证书<BR> o Calculation of Message Digests # <BR> o Encryption and Decryption with Ciphers # 加密、解密<BR> o SSL/TLS Client and Server Tests # SSL 服务器端/客户端测试<BR> o Handling of S/MIME signed or encrypted Mail # 处理签名或加密了的邮件<BR><BR>1、生成RSA密钥的方法<BR>openssl genrsa -des3 -out privkey.pem 2048<BR>
这个命令会生成一个2048位的密钥，同时有一个des3方法加密的密码，如果你不想要每次都输入密码，可以改成：<BR>
openssl genrsa -out privkey.pem 2048<BR>
建议用2048位密钥，少于此可能会不安全或很快将不安全。<BR>
<BR>
<P>2、生成一个证书请求<BR>openssl req -new -key privkey.pem -out cert.csr<BR>这个命令将会生成一个证书请求，当然，用到了前面生成的密钥privkey.pem文件<BR>这里将生成一个新的文件cert.csr，即一个证书请求文件，你可以拿着这个文件去数字证书颁发机构（即CA）申请一个数字证书。CA会给你一个新的文件cacert.pem，那才是你的数字证书。<BR><BR>如果是自己做测试，那么证书的申请机构和颁发机构都是自己。就可以用下面这个命令来生成证书：<BR>openssl req -new -x509 -key privkey.pem -out cacert.pem -days 1095<BR>这个命令将用上面生成的密钥privkey.pem生成一个数字证书cacert.pem<BR><BR>3、使用数字证书和密钥<BR>有了privkey.pem和cacert.pem文件后就可以在自己的程序中使用了，比如做一个加密通讯的服务器<BR></P>
<P> </P>
<P> </P>
openssl简明使用手册
<P></P>
<DIV class=node>
<DIV class=content>
<P><SPAN class=tpc_content>简要介绍了使用openssl来生成CA证书、申请证书、颁发证书以及撤销证书的过程</SPAN></P>
<P><SPAN class=tpc_content>1. 首先建立CA密钥：<BR>openssl genrsa -des3 -out ca.key 1024 (创建密钥)<BR>chmod 400 ca.key (修改权限为仅root能访问)<BR>openssl rsa -noout -text -in ca.key (查看创建的证书)</P>
<P>2. 利用CA密钥自签署CA证书：<BR>openssl req -new -x509 -days 3650 -key ca.key -out ca.crt<BR>chmod 400 ca.crt (修改权限为仅root能访问)<BR>openssl x509 -noout -text -in ca.crt (查看创建的证书)</P>
<P>3. 创建服务器证书签署申请：<BR>openssl genrsa -des3 -out client.key 1024<BR>chmod 400 server.key (修改权限为仅root能访问)<BR>openssl rsa -noout -text -in client.key (查看创建的证书)</P>
<P>4. 利用证书签署申请生成请求：<BR>openssl req -new -key client.key -out client.csr<BR>openssl req -noout -text -in client.csr (查看创建的请求)</P>
<P>5.进行证书签署：<BR>这时候需要先设置一下openssl的配置文件。<BR>modify /usr/share/ssl/openssl.cnf并根据这个配置文件创建相应的目录和文件。<BR>在创建了serial文件之后，还需要添加当前的八进制的serial number,如：01<BR>然后执行：<BR>openssl ca -keyfile ca.key -cert ca.crt -in client.csr -out client.pem</P>
<P>6.证书撤销：<BR>openssl ca -keyfile ca.key -cert ca.crt -revoke client.pem<BR>这时数据库被更新证书被标记上撤销的标志，需要生成新的证书撤销列表：<BR>openssl ca -gencrl -keyfile ca.key -cert ca.crt -out crl/test.crl<BR>查看证书撤销列表：<BR>openssl crl -noout -text -in crl/test.crl<BR>证书撤销列表文件要在WEB站点上可以使用，必须将crldays或crlhours和crlexts加到证书中：<BR>openssl ca -gencrl -config /etc/openssl.cnf -crldays 7 -crlexts crl_ext -out crl/sopac-ca.crl</SPAN></P></DIV></DIV></DIV>
页:
[1]