使用OpenSSL创建自签名SSL证书

服务器技术 29 天前 回复

, , ,

1 背景

对于api服务器,我们不能让访问者先登录再进行访问这样不安全,也不友好。 http协议没有任何的加密以及身份验证的机制,即时是token认证,也非常容易遭遇窃听、劫持、篡改,因此会造成个人隐私泄露,恶意的流量劫持等严重的安全问题。

1.1 https如何保证安全

HTTPS是以安全为目标的HTTP通道,简单讲是HTTP的安全版。即HTTP下加入SSL层,HTTPS的安全基础是SSL,因此加密的详细内容就需要SSL。它是一个URI scheme(抽象标识符体系),句法类同http:体系,用于安全的HTTP数据传输。https:URL表明它使用了HTTPS,但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层(在HTTP与TCP之间)。

1.2 身份认证(CA数字证书)

https协议中身份认证的部分是由数字证书来完成的,证书由公钥、证书主体、数字签名等内容组成,在客户端发起SSL请求后,服务端会将数字证书发给客户端,客户端会对证书进行验证,并获取用于秘钥交换的非对称密钥。
数字证书有两个作用:

1)身份授权。确保浏览器访问的网站是经过CA验证的可信任的网站。
2)分发公钥。每个数字证书都包含了注册者生成的公钥。在SSL握手时会通过certificate消息传输给客户端。

申请一个受信任的数字证书通常有如下流程:

1)终端实体(可以是一个终端硬件或者网站)生成公私钥和证书请求。
2)RA(证书注册及审核机构)检查实体的合法性。如果个人或者小网站,这一步不是必须的。
3)CA(证书签发机构)签发证书,发送给申请者。
4)证书更新到repository(负责数字证书及CRL内容存储和分发),终端后续从repository更新证书,查询证书状态等。

注册备案过的域名,可以供我们使用,申请SSL证书,需要SSL证书进行认证。SSL证书有很多途径都可以申请,比如国内的阿里云,腾讯云等都是比较方便的,而且还有免费的证书可以申请,都是一年的使用时间。本文中采用的是OpenSLL自签名创建SLL,毕竟是免费的。

2 OpenSLL下载安装

2.1 下载OpenSSL

本次安装是在centos7上安装,首先下载OpenSSL,如果需要window版本(https://oomake.com/download/openssl),我这边下载了openssl-1.1.1d.tar.gz。

2.2 安装OpenSSL

由于我是window10系统,使用Xshell远程Linux系统,需要上传和下载文件,命令安装lrzsz

yum -y install lrzsz 

安装完成后,可以开始使用 rz(上传)和 sz(下载)指令。

rz
上传完成后即可依次执行以下指令安装了
tar -xzf openssl-1.1.1d.tar.gz

cd openssl-1.1.1d

mkdir /usr/local/openssl

./config --prefix=/usr/local/openssl

make

make install

这样就安装完成了,接下来一些辅助步骤。

2.3 创建软连接

which openssl 
/usr/bin/openssl
//为了使用方便,以及以后版本更新方便,可以创建软连接,如下:
ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl
//此步骤可能会报异常,我就忽略了,如果您能明白,欢迎指导!!!

2.4 执行以下命令

cd /usr/local/openssl

ldd /usr/local/openssl/bin/openssl
    linux-vdso.so.1 =>  (0x00007fff7b9e5000)
    libssl.so.1.1 => not found
    libcrypto.so.1.1 => not found
    libdl.so.2 => /lib64/libdl.so.2 (0x00007f7faa7aa000)
    libpthread.so.0 => /lib64/libpthread.so.0 (0x00007f7faa58e000)
    libc.so.6 => /lib64/libc.so.6 (0x00007f7faa1c1000)
    /lib64/ld-linux-x86-64.so.2 (0x00007f7faa9ae000)
    
安装OK

2.5 查看版本

openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

3 创建自签名的SSL证书和私钥

3.1 生成私钥(key文件)

# -genra    生成RSA私钥
# -des3 des3算法
# -out server.key 生成的私钥文件名
# -2048 私钥长度

openssl genrsa -des3 -out server.pass.key 2048
输入一个4位以上的密码。

3.2 去除私钥中的密码

openssl rsa -in server.pass.key -out server.key

注意:有密码的私钥是server.pass.key,没有密码的私钥是server.key
在第3.1步创建私钥的过程中,由于必须要指定一个密码。而这个密码会带来一个副作用,那就是在每次Apache启动Web服务器时,都会要求输入密码,这显然非常不方便。所以要删除私钥中的密码。

3.3 生成CSR(证书签名请求)

# -req 生成证书签名请求
# -new 新生成
# -key 私钥文件
# -out 生成的CSR文件
# -subj 生成CSR证书的参数

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Shanghai/L=Shanghai/O=cetc/OU=cetc/CN=gitlab.cetc.cn"

subj参数说明如下:

字段

字段含义

示例

/C=

Country 国家

CN

/ST=

State or Province 省

Shanghai

/L=

Location or City 城市

Shanghai

/O=

Organization 组织或企业

cetc

/OU=

Organization Unit 部门

wlst

/CN=

Common Name 域名或IP

wlst.com

3.4 生成自签名SSL证书

# -days 证书有效期

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

X.509证书包含三个文件:key,csr,crt。

key是服务器上的私钥文件,用于对发送给客户端数据的加密,以及对从客户端接收到数据的解密
csr是证书签名请求文件,用于提交给证书颁发机构(CA)对证书签名
crt是由证书颁发机构(CA)签名后的证书,或者是开发者自签名的证书,包含证书持有人的信息,持有的公钥,以及签署者的签名等信息
备注:在密码学中,X.509是一个标准,规范了公开秘钥认证、证书吊销列表、授权凭证、凭证路径验证算法等。

4 将.key和.crt文件转换成.jks文件

4.1 先使用openssl 工具 将 crt和key格式的证书转还成pfx

openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt

其中:server.pfx (转后的pfx)mycert.key,mycert.crt( crt和key格式的证书)

注意:该步骤需要输入密码passward,该密码2与3均需要用到

4.2 查看证书别名

keytool -list -v -keystore server.pfx

4.3 在使用jdk自带的keytool将pfx格式文件转为jks

keytool -importkeystore -srckeystore  server.pfx -srcstoretype pkcs12 -destkeystore mycert.jks -deststoretype JKS  -alias 1

其中:-alias(设置别名) mycert.jks(转还后jks) server.pfx(需转还的pfx)

注意:该步骤需要输入3次密码,均采用1中的passward。

原文:https://cloud.tencent.com/developer/article/1558378

支付宝打赏微信打赏

如果此文对你有帮助,欢迎打赏作者。

发表评论

欢迎回来 (打开)

(必填)