Linux下OpenSSL如何配置CA證書

在Linux下配置OpenSSL以創建和管理CA（證書頒發機構）證書涉及幾個步驟。以下是一個基本的指南，幫助你設置一個簡單的CA證書系統。

1. 安裝OpenSSL

首先，確保你的系統上已經安裝了OpenSSL。你可以使用包管理器來安裝它。例如，在基于Debian的系統上：

sudo apt-get update
sudo apt-get install openssl

在基于Red Hat的系統上：

sudo yum update
sudo yum install openssl

2. 創建CA目錄結構

創建一個目錄來存放CA的文件和證書。通常，這個目錄結構如下：

mkdir -p /etc/ssl/CA
cd /etc/ssl/CA
mkdir certs crl newcerts private
chmod 700 private
touch index.txt
echo 1000 > serial

• certs：存放CA證書和簽發的證書。
• crl：存放證書吊銷列表（CRL）。
• newcerts：存放新證書的序列號文件。
• private：存放CA的私鑰。
• index.txt：CA證書數據庫。
• serial：證書序列號文件。

3. 創建CA私鑰

使用OpenSSL生成CA的私鑰：

openssl genpkey -algorithm RSA -out private/ca-key.pem 4096

4. 創建CA自簽名證書

使用私鑰創建CA的自簽名證書：

openssl req -x509 -new -nodes -key private/ca-key.pem -sha256 -days 1024 -out certs/ca-cert.pem -subj "/C=US/ST=State/L=City/O=Organization/CN=CA Name"

在提示時輸入相關信息，例如國家、州、城市、組織名稱和CA名稱。

5. 配置OpenSSL以使用CA

創建一個配置文件/etc/ssl/openssl.cnf，并添加以下內容：

[ ca ]
default_ca = CA_default

[ CA_default ]
dir               = /etc/ssl/CA
certs             = $dir/certs
crl_dir           = $dir/crl
new_certs_dir     = $dir/newcerts
database          = $dir/index.txt
serial            = $dir/serial
RANDFILE          = $dir/private/.rand

private_key       = $dir/private/ca-key.pem
certificate       = $dir/certs/ca-cert.pem

crlnumber         = $dir/crlnumber
crn_file          = $dir/crl/crlnumber
default_crl_days  = 30

default_md        = sha256

name_opt          = ca_default
cert_opt          = ca_default
default_days      = 3650
preserve          = no
policy            = policy_strict

[ policy_strict ]
countryName             = match
stateOrProvinceName     = match
organizationName        = match
organizationalUnitName  = optional
commonName              = supplied
emailAddress            = optional

[ req ]
default_bits        = 4096
distinguished_name  = req_distinguished_name
string_mask         = utf8only

[ req_distinguished_name ]
countryName                     = Country Name (2 letter code)
stateOrProvinceName               = State or Province Name
localityName                    = Locality Name
0.organizationName              = Organization Name
organizationalUnitName          = Organizational Unit Name
commonName                      = Common Name
emailAddress                    = Email Address

[ v3_ca ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, cRLSign, keyCertSign

6. 驗證CA配置

確保CA配置正確無誤：

openssl req -config /etc/ssl/openssl.cnf -new -x509 -days 1024 -extensions v3_ca -keyout private/ca-key.pem -out certs/ca-cert.pem

7. 使用CA簽發證書

現在你可以使用這個CA來簽發其他證書。創建一個請求文件request.cnf：

[ req ]
default_bits        = 2048
prompt              = no
default_md          = sha256
distinguished_name  = dn

[ dn ]
C=US
ST=State
L=City
O=Organization
OU=Unit
CN=Common Name

[ v3_req ]
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = example.com
DNS.2 = www.example.com

然后生成證書簽名請求（CSR）：

openssl req -new -key private/server-key.pem -out request.csr -config request.cnf

最后，使用CA簽發證書：

openssl ca -config /etc/ssl/openssl.cnf -extensions v3_req -days 365 -notext -md sha256 -in request.csr -out server-cert.pem

8. 驗證簽發的證書

驗證簽發的證書：

openssl x509 -in server-cert.pem -text -noout

通過這些步驟，你應該能夠在Linux系統上成功配置和使用OpenSSL CA證書。