公鑰與金鑰應用的兩種情形

• 用於資料加密
  
  • 兩個人：Bob和Alice；Bob有自己的公鑰和私鑰，他把公鑰公佈給大家；當Alice給Bob傳送資料時，她使用Bob的公鑰加密這些資料；因為使用Bob的公鑰加密的資料只有Bob的私鑰能解密，所以Alice傳送給Bob的資料只有Bob能解密並檢視，其他人是不能解密的（除非他有Bob的私鑰）。
• 用於認證
  
  • Bob和Alice通訊，Bob如何向Alice證明自己就是Bob呢？Bob可以向Alice發一段用自己的私鑰加密的內容，如果Alice可以使用Bob的公鑰解密說明對方是Bob。
• 這兩種情形有一個比較明顯的問題：Alice怎麼收到Bob公佈的公鑰？Alice怎麼知道自己收到的公鑰就是Bob的公鑰？這個時候就需要第三方來認證了，那就是數字證書。

數字證書

• 上面提到的只是對公鑰和私鑰的簡單說明，實際過程很複雜，所以後來才發展出了數字證書，數字證書就是用來數字證書傳送方證明數字證書持有人的。以Bob和Alice為例，就是Bob向Alice證明自己就是Bob的。數字證書也是由公認的權威機構頒發的，而且這些機構會給自己生成一個數字證書，這些機構的數字證書被預製安裝在作業系統中被用來對其他伺服器發來的證書進行認證；
• 購買這些機構發行的數字證書價格不菲，我們能否自己私建證書對自己內部的主機進行認證呢？能！

私建數字證書

• 需要一臺管理證書的伺服器，比如我有一臺centos7伺服器；
  
  • 用到的程式：openssl；
  • 配置檔案：

[[email protected] pki]# ll /etc/pki/tls/openssl.cnf 
-rw-r--r--. 1 root root 10923 Mar  5  2015 /etc/pki/tls/openssl.cnf

• 主目錄結構：

[root@mylinux7 ~]# ll /etc/pki/CA/
    # /etc/pki/CA/，Where everything is kept；
total 24
drwxr-xr-x. 2 root root 4096 Mar  5  2015 certs
    # certs，Where the issued certs are kept；
 

drwxr-xr-x. 2 root root 4096 Mar  5  2015 crl
    # crl（吊銷證書列表），Where the issued crl are kept；
-rw-r--r--. 1 root root    3 Jan  4 18:49 crlnumber
    # crlnumber，the current crl number；
-rw-r--r--. 1 root root    0 Jan  4 18:47 index.txt
    # index.txt，database index file；
drwxr-xr-x. 2 root root 4096 Mar  5  2015 newcerts
    # newcerts，default place for new certs；
drwx------. 2 root root 4096 Mar  5  2015 private
    # private，證書發現伺服器本身私鑰cakey.pem的存放目錄；
-rw-r--r--. 1 root root    3 Jan  4 18:48 serial
    # serial，The current serial number；
注： crlnumber,index.txt,serial這三個檔案需要新建（依據是配置檔案）：
[root@mylinux7 ~]# cd /etc/pki/CA/
[root@mylinux7 CA]# touch index.txt
[root@mylinux7 CA]# echo 01 > serial
[root@mylinux7 CA]# echo 01 > crlnumber

• CA伺服器自簽證書過程（給自己發行證書）：

[[email protected] CA]# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
    # 此語句是以077的umask生成一個cakey.pem私鑰檔案；
Generating RSA private key, 2048 bit long modulus
................+++
...............................................................................+++
e is 65537 (0x10001)
[[email protected] CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out /etc
/pki/CA/cacert.pem
    # 可能您看到的是換行的，其實是一條語句；
    # openssl req 用於生成證書請求檔案；
    # -new 生成新證書籤署請求；
    # -x509 專用於CA生成自簽證書；
    # -key 生成請求檔案時用到的私鑰檔案；
    # days 證書的有效期限，以“天”為單位；
    # -out 證書的儲存路徑；
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
    # 國家名，兩個字元；
State or Province Name (full name) []:Shanghai
    # 省名或州名；
Locality Name (eg, city) [Default City]:Shanghai
    # 城市名；
Organization Name (eg, company) [Default Company Ltd]:TestCompany
    # 公司名；
Organizational Unit Name (eg, section) []:web
    # 部門名稱；
Common Name (eg, your name or your server's hostname) []:mylinux7
    # 你的名字或伺服器名；
Email Address []:[email protected]
    # 你的Email地址；
[[email protected] CA]# ll /etc/pki/CA/cacert.pem 
-rw-r--r--. 1 root root 1411 Jan  5 04:48 /etc/pki/CA/cacert.pem
    # cacert.pem為CA的自簽證書；

• 給其他主機發行證書
  
  • 我這裡是給如下主機發行證書

[[email protected] ~]# hostname
dns1.mysite.com

• 首先申請方伺服器得生成一個私鑰，並利用私鑰生成一個請求檔案：

[[email protected] ~]# (umask 077; openssl genrsa -out /etc/httpd/ssl/httpd.key 2048)
    # 使用rsa演算法生成一個私鑰；
Generating RSA private key, 2048 bit long modulus
....................+++
..........................................+++
e is 65537 (0x10001)
[[email protected] ~]# openssl req -new -key /etc/httpd/ssl/httpd.key -days 365 -out /etc/httpd/ssl/httpd.csr
    # 使用剛生成的一個私鑰再生成一個請求檔案httpd.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Shanghai
Locality Name (eg, city) [Default City]:Shanghai
Organization Name (eg, company) [Default Company Ltd]:TestCompany
Organizational Unit Name (eg, section) []:web
Common Name (eg, your name or your server's hostname) []:www        
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[[email protected] ~]# ll /etc/httpd/ssl/httpd.csr 
-rw-r--r--. 1 root root 1054 Jan  8 20:41 /etc/httpd/ssl/httpd.csr

• 把檔案通過某個方法傳送（傳送）給CA伺服器
  
  • 由於是測試環境，我使用的是scp命令：

[[email protected] ~]# scp /etc/httpd/ssl/httpd.csr [email protected]:/tmp/httpd.csr
The authenticity of host '192.168.1.105 (192.168.1.105)' can't be established.
RSA key fingerprint is 6c:3e:a2:06:52:e4:e4:b9:82:52:74:fc:0a:44:ea:6d.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.1.105' (RSA) to the list of known hosts.
[email protected]192.168.1.105's password: 
httpd.csr                                                       100% 1054     1.0KB/s   00:00

• 在CA伺服器生成申請伺服器的證書

[root@mylinux7 CA]# openssl ca -in /tmp/httpd.csr -out /etc/pki/CA/certs/httpd.crt -days 365 
    # 使用openssl ca命令生成證書；
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1)
        Validity
            Not Before: Jan  5 10:51:28 2016 GMT
            Not After : Jan  4 10:51:28 2017 GMT
        Subject:
            countryName               = CN
            stateOrProvinceName       = Shanghai
            organizationName          = TestCompany
            organizationalUnitName    = web
            commonName                = www
            emailAddress              = root@dns1.mysite.com
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            Netscape Comment: 
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier: 
                A4:CF:3A:18:D8:EE:08:54:11:18:DC:CD:A0:5B:17:F9:40:E1:8C:D4
            X509v3 Authority Key Identifier: 
                keyid:DA:48:EB:1E:B2:36:DA:44:E7:3C:53:A9:47:62:D7:FD:5A:E4:D1:8D

Certificate is to be certified until Jan  4 10:51:28 2017 GMT (365 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
[root@mylinux7 CA]# scp /etc/pki/CA/certs/httpd.crt [email protected]:/etc/httpd/ssl/httpd.crt
root@192.168.1.108's password: 
httpd.crt                                                       100% 4606     4.5KB/s   00:00
    # 使用scp命令將證書傳送回申請伺服器；

• 可以發現CA伺服器CA目錄下的index.txt和serial檔案內容已經更新，且在newcert目錄下也生成了一個名字為01的證書；
• 在申請到證書的伺服器上可以通過如下命令檢視證書資訊：

[root@dns1 ~]# openssl x509 -in /etc/httpd/ssl/httpd.crt -noout -serial -subject -text
    # 最後的-serial -subject -text三者可以根據需要任意出現；

• 吊銷證書
  
  • 申請到證書的伺服器應該首先使用上面提到的命令提取自己證書的serial和subject，併發送給CA伺服器；
  • CA伺服器收到serial和subject，與index.txt中的證書資訊進行校驗，通過則執行吊銷：

[[email protected] CA]# openssl ca -revoke /etc/pki/CA/newcerts/01.pem 
    # 吊銷證書命令“01”是serial；
Using configuration from /etc/pki/tls/openssl.cnf
Revoking Certificate 01.
Data Base Updated
You have new mail in /var/spool/mail/root
[[email protected] CA]# openssl ca -gencrl -out myca.crl
    # 更新證書吊銷列表；
Using configuration from /etc/pki/tls/openssl.cnf

–完–