什麼是 SAN

SAN(Subject Alternative Name) 是 SSL 標準 x509 中定義的一個擴充套件。使用了 SAN 欄位的 SSL 證書，可以擴充套件此證書支援的域名，使得一個證書可以支援多個不同域名的解析。

來看看百度的證書，百度證書的擴充套件域名有這麼多，其中還有了*.hao123.com，那我們再看看www.hao123.com的證書

發現的確是用的前面的百度證書

所以SAN帶來的好處就可以看出來了，一個證書可以用在各種不同的域名下，不需要一個域名買一個證書了。

利用OpenSSL建立證書

因為是本地環境，直接用OpenSSL給自己頒發一個CA根證書用於後面給伺服器做CA簽署。
1. 生成CA金鑰

openssl genrsa -des3 -out ca.key 2048

1. 生成CA根證書

openssl req -sha256 -new -x509 -days 365 -key ca.key -out ca.crt \
    -subj "/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=testRoot"

1. 生成伺服器金鑰

openssl genrsa -des3 -out server.key 2048

1. 生成伺服器證書請求檔案

openssl req -new \
    -sha256 \
    -key server.key \
    -subj "/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=bdstatic.com"
 
 \
    -reqexts SAN \
    -config <(cat /etc/pki/tls/openssl.cnf \
        <(printf "[SAN]\nsubjectAltName=DNS:*.bdstatic.com,DNS:*.baidu.com")) \
    -out server.csr

5.CA簽署伺服器證書

openssl ca -in server.csr \
        -md sha256 \
        -keyfile ca.key \
    -cert ca.crt \
    -extensions SAN \
 
    -config <(cat /etc/pki/tls/openssl.cnf \
        <(printf "[SAN]\nsubjectAltName=DNS:*.bdstatic.com,DNS:*.baidu.com")) \
    -out server.crt

之後把生成好的伺服器證書和伺服器金鑰在伺服器(ngnix,tomcat)裡配置好，並且把ca.crt證書匯入到瀏覽器的受信任的根證書頒發機構裡，在瀏覽器訪問就不會有紅叉叉了。

注意事項

1. -subj “/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=testRoot”這行可以不要，會有命令互動填寫相關資訊。

2. 雜湊演算法不要使用sha1,因為Chrome瀏覽器下會提示不安全，上面都是用的sha256。
3. /etc/pki/tls/openssl.cnf檔案是預設的OpenSSL配置檔案，可能環境不同路徑也不同。
4. 伺服器證書請求檔案的國家，省，市要和CA證書一致,這個在openssl.cnf預設配置中指定了，可以修改。

//私鑰轉成PKCS8格式
openssl pkcs8 -topk8 -nocrypt -in server.key -out server_pri.pem

程式碼如下

SslContext serverSslCtx = SslContextBuilder.forServer(new File("E:/server.crt"),new File("E:/server_pri.pem")).build();

附錄

PKCS1與PKCS8格式互轉

//預設生成PKCS1格式PEM編碼私鑰
openssl genrsa -out ca.key 2048
//轉換成PKCS8
openssl pkcs8 -topk8 -nocrypt -in ca.key -out ca_private.pem
//PKCS8轉換成PKCS1
openssl rsa -in ca_private.pem -out ca.key

PEM與DER互轉

//PEM轉DER
openssl rsa -in ca.key -outform DER -out ca_private.der
openssl pkcs8 -topk8 -nocrypt -inform PEM -outform DER -in ca.key -out ca_private.der
//DER轉PEM
openssl rsa -in ca_private.der -inform DER -outform PEM -out ca.key

PKCS7轉PKCS12(tomcat證書)

//需加密碼保護
openssl pkcs12 -export -clcerts -in server.crt -inkey server.key -name tomcat -out server.p12

//springboot SSL配置
server.port= 8443   //埠
server.ssl.key-store=classpath:server.p12   //證書路徑
server.ssl.key-store-password= 123456   //p12證書密碼

參考