牢骚

距上一篇文章曾经时隔两年还要多了，我不禁感概时光如白驹过隙，而本人仍是少年，不论是身材心理上还是技术上。然而，人生不仅仅是工作一方面，我技术上仍比不上平均水平，不过几年来播种的也是不少。

引言

我明确对称加密、非对称加密、公钥、私钥等各种概念。然而我该怎么操作呢？我接触了openssl。其实，我基本不懂openssl底层逻辑是啥，我只要求查阅材料后会用就行了。不要在我导入了ca证书后，浏览器还展现“不平安”这个页面。



应用

本人表演CA机构

自签名证书的问题在于服务器发给访问者的电脑或者浏览器的证书（公钥），访问者不意识，所以显示不平安界面。通常，服务器和访问者通过世界上权威的CA机构（第三方）来互相意识。而当初，服务器要本人做CA机构，而后通知访问者：“这是我。”

1. 生成ca.key（名字应该是没有关系的）。这个是私钥。

openssl genrsa -out ca.key 4096

解释：

  • -out示意输入到这个文件
  • 4096示意加密位数/复杂度，1024的倍数

2. 生成ca.csr（证书申请文件）。中间环节。

openssl req -new -key ca.key -out ca.csr -subj "/C=CN/ST=SH/L=SH/O=MY/OU=FY/CN=www.batman.com/emailAddress=peace@love.com"

解释：

  • -new示意新生成
  • -key示意基于哪个私钥生成.csr申请文件
  • -out示意输入到哪个文件

  • -subj用来指定各种信息。不加这个也没问题，他就会终端屏幕上一条一条的让你输出:

    然而指定了-subj，‘extra attributes’我就不会输出了
    你会发现每一条和用-subj参数是对应的
    内容就写你喜爱的，包含CN（Common Name），这个是CA的信息

    3. 生成ca.crt证书。这个就是咱们要发给客户端的。

    openssl x509 -req -days 60 -in ca.csr -signkey ca.key -out ca.crt

    解释：

    • -days示意证书有效期
    • -in输出.csr申请文件
    • -signkey基于哪个私钥
    • -out示意输入到哪个文件

4. 而后

把ca.crt发给访问者，让他双击装置在零碎证书区域，或者在浏览器中导入。

生成服务器的证书

1. 生成server.key（名字应该是没有关系的）。这个是私钥。放在nginx配置里。

openssl genrsa -out server.key 2048

解释：

  • 和生成CA的.key文件一样嘛～
  • 抉择小一点的2048是因为这个证书是要用来和访问者交互的，略微小一点更快、申请包更小。CA反正生成了就放那了。

2. 生成server.csr（证书申请文件）。中间环节。

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=SH/L=SH/O=MY/OU=FY/CN=www.batman.com/emailAddress=peace@love.com"

解释：

  • 和生成CA的.csr文件一样嘛～

3. 生成server.crt（证书）。放在nginx配置里。

openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -extfile conf/serverCrt.conf

解释：

  • 要加上这个-CAcreateserial
  • -CA你的ca证书是啥
  • -CAkey你的ca证书的私钥是啥

  • -extfile额定的配置文件门路。

    subjectAltName         = @alt_names[ alt_names ]IP.1 = xxx.xxx.xxx.xxxIP.2 = xxx.xxx.xxx.xxxDNS.1 = www.catwoman.comDNS.2 = www.posionIvy.com
    • 你能够想到，咱们之前做的步骤里，是有在.csr生成的时候有指定过域名相干的信息（通过CN，或者叫Common Name）。这个例子里是www.batman.com。所以访问者只有通过这个域名【才】能应用咱们的证书。不然还是“不平安”
    • 而我须要额定的配置文件是因为，我没有域名！！须要这个参数subjectAltName来指定ip。不然访问者就不认了。
    • 这个参数subjectAltName来指定其余的域名。

4. 配置nginx。而后reload。

重点在
ssl on;
ssl_certificate "{yourCertPath}/server.crt";
ssl_certificate_key "{yourCertPath}/server.key";

# Settings for a TLS enabled server.#server {   listen       {yourPort} ssl http2 default_server;   listen       [::]:{yourPort} ssl http2 default_server;   server_name  _;   ssl on;   root         {yourRootPath};   ssl_certificate "{yourCertPath}/server.crt";   ssl_certificate_key "{yourCertPath}/server.key";   ssl_session_cache shared:SSL:1m;   ssl_session_timeout  10m;   ssl_ciphers PROFILE=SYSTEM;   ssl_prefer_server_ciphers on;   # Load configuration files for the default server block.   include /etc/nginx/default.d/*.conf;   location / {   }   error_page 404 /404.html;       location = /40x.html {   }   error_page 500 502 503 504 /50x.html;       location = /50x.html {   }}

总结

实现后的证书列表像这样。ca.srl用来寄存【被撤消的证书】，波及到服务器怎么置信访问者是访问者。

[appadmin@localhost cert]$ ls -l总用量 36-rw-r--r-- 1 appadmin appzone 1647 7月   3 13:50 ca1.csr-rw-r--r-- 1 appadmin appzone 2017 7月   3 13:25 ca.crt-rw-r--r-- 1 appadmin appzone 1752 7月   3 13:24 ca.csr-rw------- 1 appadmin appzone 3247 7月   3 13:03 ca.key-rw-r--r-- 1 appadmin appzone   41 7月   3 14:21 ca.srldrwxr-xr-x 2 appadmin appzone   62 7月   3 14:19 conf-rw-r--r-- 1 appadmin appzone  952 7月   3 13:50 server1.csr-rw-r--r-- 1 appadmin appzone 1708 7月   3 14:21 server.crt-rw-r--r-- 1 appadmin appzone 1058 7月   3 13:27 server.csr-rw------- 1 appadmin appzone 1679 7月   3 13:16 server.key[appadmin@localhost cert]$

咱们发现，生成CA的证书和生成server的证书基本上都是一样的。当然还有很多拓展的命令，比方在生成.key的是后指定明码算法（rsa、des。。。）、再比方在验证证书的时候，指定必须/可选校验不同信息、再比方应用配置文件。

不论怎么样，当初，访问者应该能辨认这的确是服务端送过来的响应。chrome、edge、safari都是能识别系统的根证书的，阐明访问者双击ca.crt装置在零碎就行了。而firefox貌似是不反对的，必须要导入到firefox本人的证书列表里。地位如下截图，请留神在【证书颁发机构里】导入。

将你的ca.crt通过邮件？微信？短信？发送给访问者。