Openssl创建私有CA

1.A和B通过ssl传输数据大概过程

私钥加密的数据只能自己对应的公钥才能解密，
CA 签证机关先给自己发一个证书，公共认可的机构，

A B之间通信 数据都是通过自己生成的私钥加密的后生成的数据

首先 A 将自己的 姓名 地址 公钥 发给CA ，发送的数据称为AA，

CA自己生成的有一对公钥和私钥。CA先提取AA数据的特征码， 然后用自己的私钥加密，生成一段 数据，加密的结果附加到AA数据的后面也就是签名,称为AAA。

B 拿到发证机构的证书，里面包含有发证机构的公钥，能够解密AAA中的数据证明证书是发证机构发的。得到AA,然后拿到A的公钥，验证数据的完整性。然后用A的公钥解密A的 数据。

2.ssl大概内容

PKI Public Key Infrastructure 公钥基础设施结构
核心是CA Certificate Authority 证书权威机构
CRL 证书吊销列表 Certificate Revocation List,使用证书之前需要检测证书有效性。

证书存储格式常见的X509格式
包含内容
公钥有效期限
证书的合法拥有人
证书该如何使用
CA的信息
CA签名的校验码（签名）

PKI:TLS/SSL 使用的X509格式
PKI：OpenGPG
五层协议 ： 物理层 数据链路层 网络层 传输层 应用层
ssl Secure Socket Layer NETscape公司
是在传输层和应用层的一个库，通过调用ssl实现加密
V1 V2 V3 版本
TLS Transport Layer Security 国际化标准组织
V1相当于sslV3
https 443端口

客户端和服务端通信
客户端请求服务端
客户端和服务端协商使用加密协议，加密算法 SSLv1 SSLv2 TLSv1
服务端发送证书给客户端
客户端生成随机数，通过服务端公钥加密后，传输数据(对称密码)给服务端
服务端勇对称密码加密数据给客户端

3.常见的加密算法

对称加密
DES
3DES
AES
AES192 AES 256 AES512
单向加密
md4
md5
SHA1
SHA192 SHA256 SHA384
CRC-32

公钥加密
身份认证
数据加密
密钥交换
RSA算法 可以用来加密也可用来签名
DSA算法 只可以用来签名

Openssl ssl的实现，一种加密工具
组件
libcrypto 通用加密库各种加密算法
libssl tls/ssl的实现，实现了数据机密性，会话完整性的tsl/ssl库
openssl 多用途命令行工具，可以实现私有证书颁发机构

4.openssl命令
speed 测试本机对各种加密算法的速度
openssl speed rsa 可以接算法表示测试单个算法的速度
enc -des 指定加密算法，对称加密算法
-a 对文件内容进行base64处理
-e 加密 默认选项
-d 解密
-salt 加盐加密
-in 指定要加密的文件
-out 加密后输出文件
dgst -md5 计算文件特征码
genrsa 生成rsa密钥
gendsa 生成dsa密钥

加密 openssl enc -des3 -salt -a -in /etc/fstab -out fstab.des3
解密 openssl enc -des3 -d -salt -a in fstab.des3 -out fstab

md5sum sha1sum 计算文件的md5，sha1特征码
openssl passwd -1 -salt ffgs
-1指定md5加密
openssl rand -base64 100 生成100位base64加密的随机数

whatis passwd 获取帮助

5.openssl制作私有CA
生成一对密钥
生成自签证书

(umask 077; openssl genrsa -out test.key 1024 ) （）中的命令只在子shell中生效，生成

权限为600，长度为1024位的私钥
openssl rsa -in test.key -pubout 表示从私钥中提取公钥

openssl req -new -x509 -key test.key -out server.crt -days 365 //生成私有证书
req 生成证书，和申请证书的命令
-new 代表生成一个新的申请
-x509 生成自签证书
-key 指定密钥文件
-out 指定输出证书文件
-days 指定过期时间
opsenssl x509 -text -in server.crt //查看私有证书内容文本格式

/etc/pki/tls/openssl.cnf openssl配置文件
dir 表示CA工作目录 /etc/pki/CA
certs 客户端证书保存目录
crl 证书吊销列表目录
database 证书保存数据库
new_certs_dir 新生成的证书保存路径
certificate 自有的证书文件
serial 证书序列号文件
crlnumber 证书吊销列表的号码
crl 吊销证书文件
private_key CA的私钥文件

在/etc/pki/CA 目录下创建certs , newcerts,crl目录，和index,serial文件，
/ect/pki/CA/private/cakey.pem 存放自签私有证书,必须命名为cakey.pem
给serial文件一个初始值为01（自定义） ，自签证书cacrt.pem

6.网站请求CA签署请求
openssl req -new -key request.key -out request.csr //请求CA签署证书

将证书发送给CA

opensssl ca -in request.csr -out request.crt -days 3655 //CA签署请求证书

CA将证书发送给请求的主机