当前位置：首页 > news >正文

SSL 自定义证书创建过程

news 2025/8/2 23:23:28

1、生成自签名根证书和私钥

1.1 生成根证书

1.1.1生成根证书私钥

首先，生成一个自签名的根证书和私钥。这个根证书将作为信任锚（Trust Anchor），客户端会信任由这个根证书签署的所有证书。

openssl genrsa -out rootCA.key 2048

参数解释：

openssl: OpenSSL工具的主命令。
genrsa: 生成RSA密钥对的命令。
-out rootCA.key: 指定输出文件名为rootCA.key，这是生成的私钥文件。
2048: 指定密钥的长度为2048位。

1.2 生成根证书

创建openssl.cnf 文件，文件内容如下：

[ req ]
default_bits = 2048
default_keyfile = rootCA.key
distinguished_name = req_distinguished_name
prompt = no

[ req_distinguished_name ]
C = CN
ST = Shanghai
L = Shanghai
O = CodeProject
OU = Development
CN = CodeProject Root CA

1.2.1生成根证书rootCA.crt

命令如下：

openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 36500 -out rootCA.crt -config openssl.cnf

解释

-x509：表示生成自签名证书（而不是证书签名请求）。
-new：表示生成新证书。
-nodes：表示不加密私钥文件（即不需要密码保护）。
-key rootCA.key：指定私钥文件为rootCA.key。
-sha256：使用SHA-256哈希算法。
-days 36500：指定证书的有效期为36500天（约100年）。
-out rootCA.crt：指定输出的证书文件名为rootCA.crt。
-config openssl.cnf：指定使用openssl.cnf配置文件中的信息。

1.3为什么根证书不要CSR 文件

在生成根证书（Root CA 证书）时，不需要 CSR（证书签名请求）文件，这是因为根证书是自签名的。具体来说，根证书的生成过程和普通证书不同，以下是详细解释：

什么是根证书？

根证书是公钥基础设施（PKI）中的顶级证书，它用来签署其他证书，包括中间证书和最终用户证书。根证书通常由证书颁发机构（CA）生成和自签名。

自签名证书和CSR的区别

1. 自签名证书

自签名证书是由自身私钥签名的证书。因为它是信任链的起点，所以不需要外部的证书颁发机构（CA）来签署。这就是为什么在生成根证书时不需要 CSR 文件的原因。

生成自签名根证书的过程如下：

生成一对密钥（公钥和私钥）。
使用私钥签署生成的证书。

2. 生成服务端证书

2.1生成服务端私钥

openssl genrsa -out server.key 2048

创建OpenSSL配置文件

创建一个名为openssl.cnf的文件，并添加以下内容：

[ req ]
default_bits       = 2048
default_keyfile    = server.key
distinguished_name = req_distinguished_name
prompt             = no[ req_distinguished_name ]
C            = CN
ST           = Shanghai
L            = Shanghai
O            = CodeProject
OU           = Development
CN           = example.com

生成CSR

确保server.key文件和openssl.cnf文件在同一个目录下，然后运行以下命令：

openssl req -new -config openssl.cnf -key server.key -out server.csr

使用根证书签署服务端证书

openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256

参数解释：

x509: 用于处理X.509证书的命令。
-req: 表示输入是一个证书签名请求（CSR）。
-in server.csr: 指定输入文件名为server.csr，这是前面生成的CSR文件。
-CA rootCA.crt: 指定用作CA的根证书文件rootCA.crt。
-CAkey rootCA.key: 指定用于签署的根证书私钥文件rootCA.key。
-CAcreateserial: 如果没有rootCA.srl文件，创建一个新的序列号文件。
-out server.crt: 指定输出文件名为server.crt，这是生成的服务端证书。
-days 365: 证书的有效期为365天（1年）。
-sha256: 使用SHA-256哈希算法。

类比解释：信任关系

假设有一个大公司（根证书），公司里有一个高管（服务端证书），还有许多员工（客户端）。公司决定了一套信任规则来管理所有员工的工作和身份验证。

大公司发布了自己的信任凭证（根证书）：
- 大公司自己发布了一个“公司章”（自签名证书），所有员工都认可这个公司章。
- 这个公司章表示大公司本身是可信的，不需要别人来验证它，因为所有人都知道它并信任它。
高管获得了公司的信任凭证（服务端证书）：
- 高管需要一个身份验证（服务端证书），于是公司用自己的公司章给高管发布了一个高管身份验证文件。
- 这个文件上盖有公司章（根证书签名），所以所有员工都可以验证这个文件的真实性。
员工信任公司的信任凭证（客户端信任根证书）：
- 公司在入职培训时告诉所有员工，任何带有公司章的文件都是可信的。
- 因此，员工会把公司章（根证书）存储在他们的记忆中，并用它来验证任何带有公司章的文件。