CA认证和颁发吊销证书

Posted 2020-10-08 阿龙

摘要：涉及到网络安全这一块，想必大家都听过CA吧。像百度、淘宝、京东等这些知名网站，每年都要花费一笔money来买CA证书。但其实简单的企业内的CA认证，我们自己就可以实现，今天小编我就讲解一下怎么在企业局部实现CA认证。

一、CA介绍

1、电子商务认证授权机构（CA, Certificate Authority），也称为电子商务认证中心，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中钥的合法性检验的责任。

2、PKI: Public Key Infrastructure

　　签证机构：CA （Certificate Authority） 

　　注册机构：RA

　　证书吊销列表：CRL

3、获取证书两种方法：

• 使用证书授权机构

　　生成签名请求（csr）

　　将csr 发送给CA

　　从CA 处接收签名

• 自签名的证书

　　自已签发自己

4、实例：打开百度，按F12，可以查看百度的CA证书

 

二、创建私有CA和申请证书及简单步骤说明

1、原理介绍：

我们以A端为CA机构，B端是申请证书的公司

2、A端自签证书，自签证书之前我们要，了解查看配置文件的说明 vim /etc/pki/tls/openssl.cnf，会告诉我们怎么自签证书，要求我们创建的东西放在哪些目录下。

 [ CA_default ]

dir             　　 　= /etc/pki/CA　　　　 # Where everything is kept   总目录，把总目录付给变量，下边都用变量表示

certs          　　　= $dir/certs 　　   　　# Where the issued certs are kept  发布的证书，若干证书

crl_dir         　　   = $dir/crl 　　　   　　# Where the issued crl are kept      证书吊销列表

database        　  = $dir/index.txt     　　 # database index file.             文本文件，数据库，存放证书编号，简单的索引

#unique_subject  = no 　　　　　 　　  # Set to \'no\' to allow creation of    是否允许多个证书用相同的subject（颁发给谁）

              　　　　　　　　　　　　　　# several ctificates with same subject.

new_certs_dir 　 = $dir/newcerts 　　　# default place for new certs.  新颁发的证书放的地方

  

certificate 　　    = $dir/cacert.pem  　  # The CA certificate   证书文件，第一个是自签名证书

serial　　　　    = $dir/serial 　　  　　# The current serial number   下一个要颁发证书的编号

crlnumber　　    = $dir/crlnumber         # the current crl number   吊销列表的编号

                　　　　　　　　　　　　　 # must be commented out to leave a V1 CRL

crl              　　  = $dir/crl.pem 　　     # The current CRL          吊销列表存放的文件

private_key         = $dir/private/cakey.pem # The private key   私钥放的地方

RANDFILE         = $dir/private/.rand     # private random number file   随机数

3、申请证书时，要填写的必要信息

 [ policy_match ]   注意：match必须匹配，客户端申请证书和CA颁发填写的信息必须相同

countryName     　　　　= match国家

stateOrProvinceName 　= match省、州

organizationName 　　  = match组织、公司名

organizationalUnitName = optional 部门

commonName 　　　　 = supplied 给哪个域名颁发

emailAddress 　　　　  = optional[ policy_anything ] 邮件地址

  

3、B端证书申请及签署步骤：

① 生成申请请求

② RA 核验

③ CA 签署

④ 获取证书

 

三、A端创建私有CA

1、创建所需要的文件（如果不创建，后边操作会出错）

touch /etc/pki/CA/index.txt 生成证书索引数据库文件

echo 99 > /etc/pki/CA/serial 指定第一个颁发证书的序列号，一般都是从01开始，也可以不从01开始，但一定要是2位或4位数，我们就以99为例

2、CA 自签证书

① 生成私钥

cd /etc/pki/CA/

(umask 066; openssl genrsa -out /etc/pki/CA/private/cakey.pem [-des3] 2048)

可以加密，也可以不加密，加过密，后边每次都要输入，为了试验方便就不加密了，但加密更安全

tree /etc/pki/CA/ 可以看到cakey.pem 生成了

② 生成自签名证书

openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out /etc/pki/CA/cacert.pem （req申请、-x509自签名、cacert.pem）

　　req：请求申请证书

　　-new: 生成新证书签署请求

　　-x509: 专用于CA 生成自签证书

　　-key: 生成请求时用到的私钥文件

　　-days n ：证书的有效期限

　　-out / PATH/TO/SOMECERTFILE : 生成私钥证书的保存路径

③ 查看

cat /etc/pki/CA/cacert.pem 生成的证书文件，直接cat不能看到信息，用下边的命令

openssl x509 -in /etc/pki/CA/cacert.pem -noout -text   （-text：生成的证书）

④ 也可以传到windows上查看，要改后缀，可以为cer/crt，不然不识别，sz发到windows上

 

四、B客户端申请证书

1、centos 6 生成私钥

(umask 066;openssl genrsa -out /app/service.key 2048)

2、利用私钥生成证书请求文件， 在需要使用证书的主机生成证书请求

openssl req -new -key /etc/pki/tls/private/test.key -days 365 -out etc/pki/tls/test.csr

 

3、将证书请求文件传输给CA

scp /app/service.csr 192.168.30.107:/etc/pki/CA

 

五、A端，签署证书

1、为了方便管理，创建一个专门放请求的目录，把请求都放在这个目录下，不是必须的

mkdir csr

mv service.csr csr/

 

2、CA 签署证书，并将证书颁发给请求者

openssl ca -in /etc/pki/CA/csr/service.csr -out /etc/pki/CA/certs/service.crt -days 100

注意：默认国家，省，公司名称三项必须和CA一致

签署后：会生成更新一些文件

 

3、查看证书中的信息：

openssl x509 -in /etc/pki/CA/certs/service.crt -noout -text

openssl ca -status 99 查看指定编号的证书状态

也可以传到windows上查看，看到更清楚，sz发到windows上

 

六、吊销证书

1、在客户端（A端）获取要吊销的证书的serial（编号）

openssl x509 -in / PATH/FROM/CERT_FILE -noout -serial -subject

2、在CA（B端） 上，根据客户提交的serial 与subject 信息，对比检验是否与index.txt 文件中的信息一致，确认就吊销证书：

openssl ca -revoke newcerts/99.pem

3、指定第一个吊销证书的编号

注意：第一次更新证书吊销列表前，才需要执行

echo 01 > /etc/pki/CA/crlnumber

4、更新证书吊销列表，将来将吊销的列表放到互联网上，让大家知道

openssl ca -gencrl -out /etc/pki/CA/crl/crl.pem

5、查看crl 吊销文件：

openssl crl -in /etc/pki/CA/crl/crl.pem -noout -text

也可以在windows上查看，sz发到windows上，后缀改为.crl

好了，有关CA证书的东西就这些了。