我上一篇文章 （配置JAVA SSL/TLS 之websocket wss互動式認證）生成的證書都是java  keytool 的證書，都是自簽名的證書， 不是第三方簽名的證書。下面我要虛擬一個CA出來， 用CA來簽名。

1、建立CA的私鑰

openssl genrsa -out ca.key 2048

2、建立CA自簽名證書

openssl req -x509 -new -nodes -key ca.key -subj "/CN=localhost" -days 36500 -out ca.crt

3、生成服務端私鑰

keytool -genkey -v -alias server_ks -keysize 2048 -keyalg RSA -dname "CN=localhost" -keypass 123456 -storepass 123456 -keystore ./server.keystore -storetype jks -validity 36500

4、生成證書請求檔案

keytool -certreq -alias   server_ks -keyalg RSA -file ./server.csr  -keystore  ./server.keystore  -keypass 123456 -storepass 123456

5、用CA根證書來簽名伺服器端的證書請求檔案

openssl ca -days 3650 -keyfile ./ca.key -cert ./ca.crt -in ./server.csr -out ./server.pem

[[email protected] newssl]# openssl ca -days 3650 -keyfile ./ca.key -cert ./ca.crt -in ./server.csr -out ./server.pem
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
The mandatory countryName field was missing
 

[ ca ]
default_ca    = CA_default        # The default ca section

然後在節

[ CA_default ] 裡有下面的策略

policy          = policy_match

在節 [ policy_match ] 裡， countryName = match,    把match修改為  optional 即可。

[ policy_match ]
countryName        = match
stateOrProvinceName    = match
organizationName    = match
organizationalUnitName    = optional
commonName        = supplied
emailAddress        = optional

另外還需要注意的是

default_days    = 365                   # how long to certify for     證書的有效期這裡是一年，你可以修改為10年
default_crl_days= 30                    # how long before next CRL    這個還沒搞懂啥意思

6、把CA簽名過的文字檔案證書server.pem轉化為cer二進位制檔案

openssl x509 -in ./server.pem -inform pem -outform der -out ./server.cer

7、將服務端證書匯入到客戶端信任列表中 trustkeystroe.jks
keytool -import -v -alias xxx -keystore ./clientTrust.jks -storepass pwdtesla2017 -file ./server.cer 

然後就可以使用我上傳的原始碼來進行互動式認證通訊了。

希望對大家有用！