openssl的应用及创建CA

时间：2018-04-05 16:27:58 阅读：129 评论：0 收藏：0 [点我收藏+]

openssl命令行工具：
   众多的子命令实现各种安全加密功能；

   ]# openssl ?

   显示的内容有
       Standard commands(标准命令)
           enc, dgst, ca, req, genrsa, rand, rsa, x509, passwd, ...
       Message Digest commands
           ...
       Cipher commands
           ...

   接下来是一些openssl标准命令的使用：

       使用enc命令加密(对称加密)
           格式：
           openssl enc -ciphername [-in filename] [-out filename] [-e] [-d] [-a/-base64] [-salt]
               -ciphername：加密算法的名称
               -in filename：openssl要读取的文件路径；
               -out filename：加密或解密操作后用于保存结果的文件路径；
               -e：加密操作
               -d：解密操作
               -a/-base64：用纯文本格式进行密文编码；
               -salt：随机加盐；

           示例：
               加密文件：
                   ~]# openssl enc -e -des3 -in anaconda-ks.cfg -a -out anaconda-ks.cfg.encryptfile
               解密文件：
                   ~]# openssl enc -d -des3 -out anaconda-ks.cfg -a -in anaconda-ks.cfg.encryptfile

       使用dgst加密(单向加密)
           示例：
               ~]# openssl dgst -sha1 fstab

       生成随机数命令：rand
               格式：
               openssl rand [-out file] [-rand file(s)] [-base64] [-hex] num

           示例：
               ~]# openssl rand -base64 8

       生成带盐的密码：passwd
               格式：
               openssl passwd -1 -salt SALT_STRING

           示例：
               ~]# openssl passwd -1 -salt 01234567

       公钥加密算法：genrsa
               生成rsa加密算法的私钥；

               格式：
               openssl genrsa [-out filename] [-des] [-des3] [-idea] [-f4] [-3] [numbits]

               出于安全考虑，需要给创建的私钥赋予只有拥有者才能读写其他任何人都不能读写的权限；建议使用下列方法生成私钥：

           示例：
               ~]# (umask 077 ; openssl genrsa -out /tmp/my.key 4096)
               ~]# (umask 077 ; openssl genrsa > /tmp/my.key 4096)

       从以及生成的私钥文件中抽取公钥：rsa
               格式：
               openssl rsa [-in filename] [-out filename] [-pubout]
                   -pubout：抽取公钥
                   -in filename：私钥文件的路径
                   -out filename：公钥文件的路径

           示例：
                       ~]# openssl rsa -in my.key -out mykey.pub -pubout

利用openssl创建一个属于自己管理的CA：
   1.创建CA所在主机的私钥文件；
   2.生成自签证书；
   3.必须为CA提供必须要的目录级文件及文本级文件；
       目录级文件：
           /etc/pki/CA/certs
           /etc/pki/CA/crl
           /etc/pki/CA/newcerts
       文本级文件：
           /etc/pki/CA/serial：保存证书的序列号，一般初始序列号为01；
           /etc/pki/CA/index.txt：证书索引；
           /etc/pki/tls/openssl.cnf：配置文件

创建私有CA的步骤：
       1.创建CA的私钥文件：
           (umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)

       2.生成自签证书：
           openssl req命令：
               openssl req [-out filename] [-new] [-key filename] [-x509] [-days n]

       3.完善目录及文本文件结构：
           touch /etc/pki/CA/index.txt
           echo 01 > /etc/pki/CA/serial

   在CA上查看证书内容：
       openssl x509 -in /etc/pki/CA/cacert.pem -noout -serial -subject

   吊销证书：必须在CA上执行；
       1.获取客户端证书对应的序列号：
           openssl x509 -in /etc/pki/CA/certificate -noout -serial

       2.吊销证书：
           openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem

           注意：上述命令中的"SERIAL"要换成准备吊销的证书的序列号；

       3.生成吊销证书的吊销索引文件；仅需要第一次吊销证书时执行此操作：
           echo "SERIAL" > /etc/pki/CA/crl/crlnumber

       4.更新证书吊销列表：
           openssl ca -genctl -out /etc/pki/CA/crl/ca.crl

       5.查看CRL：
           openssl crl -in /etc/pki/CA/crl/ca.crl -noout -text

openssl的应用及创建CA

标签：网络运维

原文地址：http://blog.51cto.com/weidehong/2095035

踩

(0)

评论一句话评论（0）

分享档案

更多>

2021年07月29日 (22)
2021年07月28日 (40)
2021年07月27日 (32)
2021年07月26日 (79)
2021年07月23日 (29)
2021年07月22日 (30)
2021年07月21日 (42)
2021年07月20日 (16)
2021年07月19日 (90)
2021年07月16日 (35)

周排行