CA认证授权服务器部署
Posted
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了CA认证授权服务器部署相关的知识,希望对你有一定的参考价值。
数字证书授权中心:CA →Certificate Authority
- 被通信双方信任的、独立的第三方机构
- 负责证书颁发、验证、撤销等管理
国内常见的CA机构
- 中国金融认证中心(CFCA)
- 中国电信安全认证中心(CTCA)
- 北京数字证书中心(BJCA)
PKI公钥基础设施
- PKI是一套标准的密钥管理平台;
- 通过公钥加密、数字证书技术确保信息安全;
PKI体系基本组成
- 权威认证机构(CA)
- 数字证书库、密钥备份及恢复系统
- 证书作废系统、应用接口
web网站把公钥发给CA认证服务器,CA用私钥给web公钥签名。
然后把签名完的公钥再发给 web服务器(证书只有公钥)
CA服务器IP: 192.168.1.20
一、openssl对称加解密
基本操作格式:
加密:openssl enc 算法 -e -in 输入文件 -out 输出文件
解密:openssl enc 算法 -d -in 输入文件 -out 输出文件
1、加密
# openssl enc -e -des3 -in filea -out filea.enc
//要加密的文件名filea,加密成功后给新文件起名字filea.enc,也支持指定路径
2、解密
# openssl enc -d -des3 -in filea.enc -out new //解密成功后给生成新文件起名new
二、CA服务的建立
过程:
1、配置CA签署环境
2、为CA服务器生成私钥
3、为CA服务器创建根证书
4、发布根证书文件
1、配置CA签署环境
配置文件:/etc/pki/tls/openssl.cnf
默认环境:[CA_default]
证书识别:[req_distinguished_name ]
# vim /etc/pki/tls/openssl.cnf
[CA_default ]
dir = /etc/pki/CA # Where everything is kept CA签署工作目录
certs = $dir/certs # Where the issued certs are kept 用户证书存放路径
crl_dir = $dir/crl # Where the issued crl arekept
database = $dir/index.txt # database index file.
# unique_subject = no
# Set to ‘no‘ to allow creation of
# several ctificates with same subject.
new_certs_dir = $dir/newcerts # default place for new certs.
certificate = $dir/my-ca.crt (公钥证书) # The CAcertificate CA根证书文件
serial = $dir/serial # The current serial number
crlnumber = $dir/crlnumber # the current crl number
# must be commented out to leave a V1 CRL
crl = $dir/crl.pem # The current CRL
private_key = $dir/private/my-ca.key(私钥) # The private key CA私钥文件
RANDFILE = $dir/private/.rand # private random number file
签名的公钥即根证书
[req_distinguished_name ] 证书识别
countryName = Country Name (2 lettercode)
countryName_default = CN (国家)
countryName_min = 2
countryName_max = 2
stateOrProvinceName = State or Province Name (fullname)
stateOrProvinceName_default = Beijing (指定所在省/市)
#stateOrProvinceName_default = Default Province
localityName = Locality Name (eg, city)
localityName_default = Beijing (指定市)
0.organizationName = Organization Name (eg, company)
0.organizationName_default = Dave Company Ltd (公司名)
2、创建相应的文件和目录
[[email protected] tls]# cd /etc/pki/CA
[[email protected] CA]# touch index.txt
[[email protected] CA]# echo 01 > serial
3、生成CA的私钥文件
[[email protected] CA]# openssl genrsa -des3 2048 > private/my-ca.key
//为私钥设置口令(123456)
[[email protected] CA]# chmod 600 private/my-ca.key
4、根据私钥生成公钥
[[email protected] CA]# openssl req-new -x509 -key private/my-ca.key \
-days 365 > my-ca.crt
需要输入保护私钥的密码。提示的问题,国家、城市、省份、公司名这四项必须和openssl.cnf中设置的完全一致,否则会失败。直接回车
5、发布根证书(公钥),供用户下载以信任该证书颁发机构
可通过web、FTP等方式进行发布
# cp /etc/pki/CA/my-ca.crt /var/www/html/ //将公钥拷到网站根目录下
开启httpd服务:以便客户端下载
#service httpd start
客户端可以通过:http://192.168.1.20/my-ca.crt 下载
到此,CA服务器部署完成了!
本文出自 “Dave-技术博客” 博客,请务必保留此出处http://davewang.blog.51cto.com/6974997/1859210
以上是关于CA认证授权服务器部署的主要内容,如果未能解决你的问题,请参考以下文章