如何用OpenSSL進行數字證書吊銷

使用OpenSSL進行數字證書吊銷的步驟如下：

1. 準備吊銷列表（CRL）

生成新的CRL

首先，你需要生成一個新的吊銷列表。這通常涉及到創建一個私鑰和一個CRL文件。

# 生成私鑰
openssl genpkey -algorithm RSA -out crl.pem -aes256

# 創建一個配置文件（可選）
cat <<EOF > crl.conf
[ ca ]
default_ca = CA_default

[ CA_default ]
dir               = /etc/ssl/certs
certs             = \$dir/certs
crl_dir           = \$dir/crl
database          = \$dir/index.txt
new_certs_dir     = \$dir/newcerts
certificate       = \$dir/ca.crt
serial            = \$dir/serial
RANDFILE          = \$dir/private/.rand

[ req ]
default_bits        = 2048
prompt              = no
default_md          = sha256
distinguished_name  = dn
string_mask         = utf8only

[ dn ]
C=US
ST=California
L=San Francisco
O=My Company
OU=My Unit
CN=My CA

[ v3_ca ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, cRLSign, keyCertSign
EOF

# 使用配置文件生成CRL
openssl ca -config crl.conf -gencrl -out crl.pem

2. 更新CRL

如果你已經有一個CRL文件，并且需要更新它，可以使用以下命令：

openssl ca -config crl.conf -gencrl -out crl.pem -renew

3. 分發CRL

將生成的CRL文件分發到所有相關的客戶端和服務器。這通常涉及到將CRL文件上傳到一個可訪問的位置，并在客戶端配置中指定該位置。

客戶端配置示例（OpenSSL）

在客戶端的配置文件中添加以下行：

[ ca ]
crl_distribution_points = http://yourserver.com/crl/crl.pem

4. 驗證CRL

你可以使用以下命令來驗證CRL文件的有效性：

openssl verify -CAfile ca.crt -untrusted crl.pem -crl_check user.crt

5. 撤銷證書

如果你需要撤銷特定的證書，可以使用以下命令：

openssl ca -config crl.conf -revoke user.crt -out revoked_certs.txt

這將生成一個撤銷證書的記錄，并將其添加到CRL文件中。

6. 更新CRL

最后，更新CRL文件以包含新的撤銷記錄：

openssl ca -config crl.conf -gencrl -out crl.pem -renew

注意事項

• 確保CRL文件的簽名是有效的，并且所有相關的客戶端都能夠訪問到最新的CRL文件。
• 定期更新CRL文件，以確保撤銷的證書不會被誤用。
• 在生產環境中，建議使用更安全的傳輸方式（如HTTPS）來分發CRL文件。

通過以上步驟，你可以使用OpenSSL進行數字證書的吊銷和管理。