一些概念：

PKI：Public Key Infrastructure

• 簽證機構：CA（Certificate Authority）
• 註冊機構：RA（Register Authority）
• 證書吊銷列表：CRL（Certificate Revoke Lists）
• 證書存取庫

X.509：定義了證書的結構和認證協議的標準。包括版本號、序列號、簽名演算法、頒發者、有效期限、主體名稱、主體公鑰、CRL分發點、擴充套件資訊、發行者簽名等

獲取證書的兩種方法：

• 使用證書授權機構
• 生成簽名請求（csr）
• 將csr傳送給CA
• 從CA處接收簽名
• 自簽名的證書
• 自已簽發自己的公鑰重點介紹一下自建CA頒發機構和自簽名。

自建CA頒發機構和自簽名

實驗用兩臺伺服器，一臺做ca頒發證書，一臺去請求籤名證書。

證書申請及簽署步驟：

1. 生成申請請求
2. CA核驗
3. CA簽署
4. 獲取證書

我們先看一下openssl的配置檔案：/etc/pki/tls/openssl.cnf

####################################################################
[ ca ]
default_ca  = CA_default        # The default ca section(預設的CA配置，是CA_default,下面第一個小節就是)
####################################################################
 

[ CA_default ]
dir     = /etc/pki/CA       # Where everything is kept （dir變數）
certs       = $dir/certs       # Where the issued certs are kept（認證證書目錄）
crl_dir     = $dir/crl     # Where the issued crl are kept（登出證書目錄）
database    = $dir/index.txt   # database index file.（資料庫索引檔案）
new_certs_dir   = $dir/newcerts        # default place for new certs.（新證書的預設位置）
 

certificate = $dir/cacert.pem  # The CA certificate（CA機構證書）
serial      = $dir/serial      # The current serial number（當前序號，預設為空，可以指定從01開始）
crlnumber   = $dir/crlnumber   # the current crl number（下一個吊銷證書序號）
                    # must be commented out to leave a V1 CRL
crl     = $dir/crl.pem         # The current CRL（下一個吊銷證書）
private_key = $dir/private/cakey.pem# The private key（CA機構的私鑰）
RANDFILE    = $dir/private/.rand   # private random number file（隨機數檔案）
x509_extensions = usr_cert      # The extentions to add to the cert
# Comment out the following two lines for the "traditional"
# (and highly broken) format.
name_opt    = ca_default        # Subject Name options（被頒發者，訂閱者選項）
cert_opt    = ca_default        # Certificate field options（認證欄位引數）
# Extension copying option: use with caution.
# copy_extensions = copy
# Extensions to add to a CRL. Note: Netscape communicator chokes on V2 CRLs
# so this is commented out by default to leave a V1 CRL.
# crlnumber must also be commented out to leave a V1 CRL.
# crl_extensions    = crl_ext
default_days    = 365           # how long to certify for （預設的有效期天數是365）
default_crl_days= 30            # how long before next CRL
default_md  = sha256        # use SHA-256 by default
preserve    = no            # keep passed DN ordering
# A few difference way of specifying how similar the request should look
# For type CA, the listed attributes must be the same, and the optional
# and supplied fields are just that :-)
policy      = policy_match  # 是否匹配規則
# For the CA policy
[ policy_match ]
countryName     = match   # 國家名是否匹配，match為匹配
stateOrProvinceName = match  # 州或省名是否需要匹配
organizationName    = match  # 組織名是否需要匹配
organizationalUnitName  = optional # 組織的部門名字是否需要匹配
commonName      = supplied # 註釋
emailAddress        = optional # 郵箱地址
# For the 'anything' policy
# At this point in time, you must list all acceptable 'object'
# types.
[ policy_anything ]
countryName     = optional
stateOrProvinceName = optional
localityName        = optional
organizationName    = optional
organizationalUnitName  = optional
commonName      = supplied
emailAddress        = optional
####################################################################

重點關注下面的幾個引數：

dir             = /etc/pki/CA           # Where everything is kept （dir變數）
certs           = $dir/certs            # Where the issued certs are kept（認證證書目錄）
database        = $dir/index.txt        # database index file.（資料庫索引檔案）
new_certs_dir   = $dir/newcerts         # default place for new certs.（新證書的預設位置）
certificate     = $dir/cacert.pem       # The CA certificate（CA機構證書）
serial          = $dir/serial           # The current serial number（當前序號，預設為空，可以指定從01開始）
private_key     = $dir/private/cakey.pem# The private key（CA機構的私鑰）

1、建立所需要的檔案

touch /etc/pki/CA/index.txt生成證書索引資料庫檔案

echo 01 > /etc/pki/CA/serial指定第一個頒發證書的序列號,16進位制數，比如可以從1a開始，一般從01開始。

2、CA自簽證書

在作為CA的伺服器上操作：

• 生成私鑰

[[email protected] ~]#(umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)
Generating RSA private key, 4096 bit long modulus
.....++
..............................................++

• 生成自簽名證書

  [[email protected] ~]#openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out /etc/pki/CA/cacert.pem
  You are about to be asked to enter information that will be incorporated
  into your certificate request.
  What you are about to enter is what is called a Distinguished Name or a DN.
  There are quite a few fields but you can leave some blank
  For some fields there will be a default value,
  If you enter '.', the field will be left blank.
  <hr />
  
  Country Name (2 letter code) [XX]:CN (國名（2個字母程式碼）[XX]：CN）
  State or Province Name (full name) []:Beijing （州或省名稱（全稱）北京）
  Locality Name (eg, city) [Default City]:Beijing （地區名稱（如城市）[預設城市]：北京）
  Organization Name (eg, company) [Default Company Ltd]:shangdigongsi （組織名稱（如公司）：上帝公司）
  Organizational Unit Name (eg, section) []:opt （組織單位名稱：opt）
  Common Name (eg, your name or your server's hostname) []:centos （通用名稱（例如，您的名字或您的伺服器的主機名）[]：centos）
  Email Address []:[email protected] （電子郵件地址[]：[email protected]）

  引數解析：

  -new: 生成新證書籤署請求
  -x509: 專用於CA生成自簽證書
  -key: 生成請求時用到的私鑰檔案
  -days n：證書的有效期限
  -out /PATH/TO/SOMECERTFILE: 證書的儲存路徑

  3、頒發證書

• 在需要使用證書的主機生成證書請求。(比如給一臺作為部落格web服務的伺服器生成私鑰)

  [[email protected] ~]#(umask 066; openssl genrsa -out /etc/pki/tls/private/blog.key 4096)
  Generating RSA private key, 4096 bit long modulus
  .....................................++
  ......................................................................................................................++
  e is 65537 (0x10001)

• 生成證書申請檔案

[[email protected] ~]#openssl req -new -key /etc/pki/tls/private/blog.key -days 3560 -out /etc/pki/tls/blog.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN (國名（2個字母程式碼）[XX]：CN）
State or Province Name (full name) []:Beijing（州或省名稱（全稱）北京）
Locality Name (eg, city) [Default City]:Bejing （地區名稱（如城市）[預設城市]：北京）
Organization Name (eg, company) [Default Company Ltd]:shangdigongsi（組織名稱（如公司）：上帝公司）
Organizational Unit Name (eg, section) []:centos（組織單位名稱：opt）
Common Name (eg, your name or your server's hostname) []:opt （通用名稱（例如，您的名字或您的伺服器的主機名）[]：centos）
Email Address []:（電子郵件地址[]：[email protected]）

Please enter the following 'extra' attributes （請輸入以下“額外”屬性）
to be sent with your certificate request（要傳送您的證書請求）
A challenge password []:（密碼[ ]：）
An optional company name []:（可選的公司名稱）

• 將證書請求檔案傳輸給CA
  “`bash
  [[email protected] ~]#scp /etc/pki/tls/blog.csr [email protected]:/tmp/
  [email protected] password
  blog.csr 100% 1773 1.7Mb/s

 - CA簽署證書，並將證書頒發給請求者
<center><img src="http://zhangqifei.top/picture/ifeier/data/ca.jpg" width = "500" height = "200" alt="openssl" align=center /></center>

> 注意：預設國家，省，公司名稱三項必須和CA一致

 - 把blog.crt證書回傳給申請者，申請者可以使用此證書。

> 證書可以放在網站裡，比如tomacat服務有專門存放證書的地方，還有可能需要轉化格式，此處使用方法暫略

### 4、吊銷證書
 - 在客戶端獲取要吊銷的證書的serial
```bash
openssl x509 -in /PATH/FROM/CERT_FILE -noout -serial -subject




<div class="se-preview-section-delimiter"></div>

• 在CA上，根據客戶提交的serial與subject資訊，對比檢驗是否與index.txt檔案中的資訊一致，吊銷證書：

openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem




<div class="se-preview-section-delimiter"></div>

• 指定第一個吊銷證書的編號

echo 01 > /etc/pki/CA/crlnumber




<div class="se-preview-section-delimiter"></div>

注意：這裡只有在第一次更新證書吊銷列表前，才需要執行指定編號。

• 更新證書吊銷列表

openssl ca -gencrl -out /etc/pki/CA/crl/crl.pem




<div class="se-preview-section-delimiter"></div>

• 檢視crl檔案：

openssl crl -in /etc/pki/CA/crl/crl.pem -noout -text