openssl工具的使用以及创建私有CA

openssl软件包在安装之后，主要会生成三段重要内容：加密库

                                ssl相关库文件

                                openssl命令行工具

下面就来介绍一下openssl命令行工具的使用：

   openssl和yum类似，有着许许多多的子命令：

             

如果要获得这些子命令的相关man文档，先使用whatis查看一下确定使用man的格式语法

其中常用的子命令有：

 1.enc：实现对称加密，解密的命令

使用格式：openssl enc ciphername -a [-e] [-salt] -in filename -out filename 

 例如：openssl enc -des3 -a -in /etc/issue -out /root/issue.des3

-a:使用base64编码

-e：加密，默认行为，可以省略

ciphername:加密算法名称

-d：解密（使用格式相同）

 2.dgst：实现提取数据指纹的命令

使用格式：openssl dgst [-md5|-md4|-md2|-sha1|-sha|-mdc2|-ripemd160|-dss1] [-out filename]

 例如：openssl dgst -MD5 /etc/login.defs将该文件的数据指纹使用MD5算法提取出输出至屏幕

其他实现提取数据指纹的命令：md5sum filename

                  sha1sum filename

                  sha*sum filename

 3.rand:生成随机数的命令

使用格式：openssl rand [options] num

  例如：openssl rand -base64 9（随便写的数字）生成随机数

可以使用-out 保存至文件

 4.genrsa：生成私钥的命令（rsa算法。dsa算法的是gendsa）

使用格式：openssl genrsa [-out filename][-des] [-des3] [numbits]

  例如：openssl genrsa -out /root/cacert.key 2048

生成一个长度为2048的私钥保存至指定文件，也可以使用-des等选项加密存放

 5.rsa：从私钥中提取公钥的命令

使用格式：openssl rsa -in filename -pubout 

从名为filename的私钥文件中提取公钥，可以使用输出重定向的方式保存，也可以使用选项保存

 6.x509：用于查看证书内容的命令

使用格式：openssl x509 -text -in filename(证书)

 7.req：用于生成证书签署请求或者自签证书的命令

使用格式：a.生成自签证书：

         openssl req -new -x509 -key /path/to/private.key -out /path/to/cacert.pem

      b.生成证书签署请求

        openssl req -new -key /path/to/private.key -out /path/to/cacert.csr

 8.ca:certificate authority 用于签署证书请求的命令

使用格式：openssl ca -in /path/to/cacert.csr -out /path/to/cacert.crt

如何在redhat系统上创建私有CA：

 1.创建一对密钥

 2.生成自签署证书

在redhat系统上，使用rpm包格式安装openssl会生成/etc/pki/等一系列目录以及文件

 /etc/pki/tls/openssl.cnf定义了CA的工作目录，以及其中应该具有的文件

a.在/etc/pki/CA/private/目录下生成私钥，应保存为文件名为cakey.pem的文件（该名称可通过修改上述配置文件的值改变）

 

如图，生成2048位的私钥，保存为指定文件名，注意，应该将权限修改为最小权限

为了避免出错，我们将/etc/pki/tls/openssl.cnf中的CA相关定义截图出来：

所以private-key应该命名为cakey.pem。并放在指定目录下

b.生成自签署的证书，由配置文件定义，可知应保存在/etc/pki/CA目录下，命名为cacert.pem

 openssl req -new -x509 -key ./private/cakey.pem -out cacert.pem

在使用req子命令的时候，-x509表示自签署证书

               -key用于指定私钥

               -out用于保存证书

c.根据/etc/pki/tls/openssl.cnf中【CA_default】段的相关定义在/etc/pki/CA目录下创建相关文件

 

至此，CA（certificate authority）创建完毕，可以为其他人签署证书请求了

当收到证书请求时，签署办法

 openssl ca -in /path/to/cacert.csr -out /path/to/cacert.crt