用openssl创建签名数字证书：创建CA

写在前面
准备环境
创建CA
创建证书并安装到apache
创建证书并安装到tomcat
创建证书和导入到Thunderbird
创建证书并签名.net文件
创建证书并签名jar文件

 

文件夹

根据本系列文章的环境，我把CA根证书保存在了/etc/openssl/root。所以，创建目录并进入该目录。

mkdir -p /etc/openssl/root;
cd /etc/openssl/root

CA证书

然后，创建一个CA的Key文件。该文件非常好重要。请好好保管。

openssl genrsa -des3 -out ca.key 2048

根据Key生成一个自签署的文件。在这里，证书的有效期是10年（实际上3650天）。

openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

在签署的时候，openssl会提示输入证书的细节。适当的输入你的证书信息。比如我这里

Common Name (eg, your name or your server's hostname) []:ncowboy.blog.51cto.com
Email Address []:[email protected]

到此为止，我们的根证书就算创建好了。但是，该证书是不被信任的。除非你手动的把它导入到受信任区域里。下面就介绍下把自签署的根证书导入到Firefox和Windows证书管理器的步骤。

导入CA证书到Firefox

不同的环境，导入方法不一样。下面介绍Firefox证书管理器里的方法。

Firefox：Tool-Options-Advanced-Encrytion-View Certicates-Authorities，然后点导入。

选择我们的证书之后，会出现一个提示。在这里，请全部选中复选框。

点击OK之后，就可以在验证机构里看到我们导入的证书。

导入CA证书到Windows

常用的IE和Chrome，OutlookExpress等都使用Window的证书管理器。导入CA证书到Windows有两种方法：从证书管理器里启动安装；直接安装证书。当证书以crt扩展名保存的时候，Windows自动识别为数字证书，对其点右键即可出现安装的菜单。

没什么说的，下一步。

注意，这里要必须选择区域为“受信任人的根证书发型机构”。

 

完整安装。

 

结束向导之时，会有一个警告。确认之后，点确认。

 

到此为止，就完成了安装。然后我们可以在Internet选项的数字证书管理器里（开始，运行，inetcpl.cpl，内容，证书）的受信任的根发行机构部分里看到我们的证书。