用Openssl建立私有CA并颁发证书

服务器

1.建立CA根证书

1.1生成私钥

openssl req -newkey rsa:1024 -sha1 -config ./myopenssl.cnf -keyout rootkey.pem -out rootreq.pem -days 3650

1.2生成证书，并用私钥签名

openssl x509 -req -in rootreq.pem -sha1 -extfile ./myopenssl.cnf -extensions v3_ca -signkey rootkey.pem -out rootcert.pem -days 3650

1.3组合证书与私钥，形成CA根证书

cat rootcert.pem rootkey.pem > root.pem

1.4显示，检查根证书主题与发行者

openssl x509 -subject -issuer -noout -in root.pem

2.创建，颁发二级CA证书

2.1创建二级CA跟证书私钥

openssl req -newkey rsa:1024 -sha1 -config ./myopenssl.cnf -keyout serverCAkey.pem -out serverCAreq.pem -days 3650

2.2生成二级CA证书，并用CA证书签名

openssl x509 -req -in serverCAreq.pem -sha1 -extfile ./myopenssl.cnf -extensions v3_ca -CA root.pem -CAkey root.pem -CAcreateserial -out serverCAcert.pem -days 3650

2.3组合二级CA证书与二级CA私要，形成二级CA证书

cat serverCAcert.pem serverCAkey.pem rootcert.pem >serverCA.pem

2.4显示，检查二级CA根证书主题与发行者

openssl x509 -subject -issuer -noout -in serverCA.pem

3.创建，颁发服务端证书

3.1创建服务端正书私钥

openssl req -newkey rsa:1024 -sha1 -config ./myopenssl.cnf -keyout serverkey.pem -out serverreq.pem -days 3650

3.2创建服务端正书，并签名

openssl x509 -req -in serverreq.pem -sha1 -extfile ./myopenssl.cnf -extensions usr_cert -CA serverCA.pem -CAkey serverCA.pem -CAcreateserial -out servercert.pem -days 3650

3.3组合私钥与证书，形成服务端正书

cat servercert.pem serverkey.pem serverCAcert.pem rootcert.pem > server.pem

3.4显示，检查服务段证书的主题与发行者

openssl x509 -subject -issuer -noout -in server.pem

4.创建颁发客户端证书

4.1创建客户端证书私钥

openssl req -newkey rsa:1024 -sha1 -config ./myopenssl.cnf -keyout clientkey.pem -out clientreq.pem -days 3650

4.2创建客户端证书，并签名

openssl x509 -req -in clientreq.pem -sha1 -extfile ./myopenssl.cnf -extensions usr_cert -CA root.pem -CAkey root.pem -CAcreateserial -out clientcert.pem -days 3650

4.3组合私钥与证书，形成客户端证书

cat clientcert.pem clientkey.pem rootcert.pem > client.pem

4.4显示，检查服务段证书的主题与发行者

openssl x509 -subject -issuer -noout -in client.pem

5.随机数生成

5.1生成512bit大数

openssl dhparam -check -text -5 512 -out dh512.pem

5.2生成1024bit大数 openssl dhparam -check -text -5 1024 -out dh1024.pem

6.验证证书有效性

6.1用二级CA验证服务器证书

openssl verify -CAfile serverCA.pem server.pem