Linux 搭建私有CA

来源:https://www.cnblogs.com/heyongshen/archive/2023/11/01/17799351.html
-Advertisement-
Play Games

CA和PKI介紹 CA（Certificate Authority），翻譯過來就叫作證書頒發機構。用於實現數字證書的管理，包括證書頒發、吊銷、續期等。 PKI（Registration Authority ），翻譯過來叫作註冊機構，負責接收請求並驗證實體的身份，然後指示 CA 為其頒發或撤銷證書。 ...


CA和PKI介紹

CA（Certificate Authority），翻譯過來就叫作證書頒發機構。用於實現數字證書的管理，包括證書頒發、吊銷、續期等。

PKI（Registration Authority ），翻譯過來叫作註冊機構，負責接收請求並驗證實體的身份，然後指示 CA 為其頒發或撤銷證書。

CA和PKI的關係：PKI 是一個更大的框架或系統，而 CA 是 PKI 中的一個核心組件

搭建私有CA

使用OpenSSL可以自己搭建一個私有的CA，實現私有證書的管理。

1、安裝OpenSSL

一般Linux發行版系統預設就安裝了OpenSSL的，如果沒有可以通過包管理工具或者源碼編譯安裝。

OpenSSL中文網： https://www.openssl.net.cn/

2、創建目錄結構

使用OpenSSL搭建私有CA時，清晰目錄結構有助於組織和管理CA操作，所以我們要創建以下目錄：

（1）創建工作目錄,將CA的所有文件放在一個專門的目錄中

mkdir /etc/pki/CA

(2)創建相關子目錄，不同的子目錄存放不同的文件

mkdir /etc/pki/CA/{certs,crl,newcerts,private}

# 註意這個文件初始時一定要為空，不然後期沒法頒發證書
touch  /etc/pki/CA/index.txt

echo 01 > /etc/pki/CA/serial

目錄說明：

  • certs目錄：用於統一存放CA簽發的證書

  • crl目錄：用於存放一個證書吊銷文件，這個文件的內容記錄了吊銷證書的信息

  • newcerts目錄：這個目錄存放的是剛創建的證書

  • private：存放的是CA的私鑰文件

文件說明：

  • index.txt文件: 是OpenSSL用來跟蹤哪些證書已經被簽署的資料庫。對於一個新的CA，index.txt應該是一個空文件，如果這個文件非空，簽發證書的時候會失敗。

  • serial文件：存放頒發證書的編號的文件，每當簽發新證書時，OpenSSL會讀取這個文件中的值作為其序列號，並增加該值以供下次使用，所以需要給他賦初值。

3、編輯配置文件

只有在與證書、證書請求、和與PKI相關的操作有關時才會讀取openssl的配置文件，其它例如加密解密、非對稱加密解密、哈希演算法這些操作是不會讀取配置文件內容。

所以編輯openssl的配置文件目的在於定義和定製OpenSSL命令行工具的行為，在配置文件中定義一些預設值，這樣在進行證書相關操作時可以少輸入很多內容。

如果不知道OpenSSL的配置文件在哪兒，可以通過 openssl version -d 來查找OpenSSL的相關文件。

sudo openssl version -d

（1）先將原有的配置文件備份，然後手動創建同名配置文件

sudo mv /etc/ssl/openssl.cnf /etc/ssl/openssl.cnf-bak

(2)編輯配置文件，加入以下一些簡單的配置

sudo vim /etc/ssl/openssl.cnf
# [ ca ]指定預設的 CA 配置區段，因為可能會存在多個 CA 配置區段，用於不同的目的或者不同的證書策略
[ ca ]
# 定義預設的CA設置部分名稱
default_ca = CA_default


# [ CA_default ] 定義了關於證書頒發機構(CA)的預設設置和相關文件路徑。
[ CA_default ]
# 定義CA的主目錄。
dir = /etc/pki/CA
# 已簽發的證書的存儲位置
certs = $dir/certs
# 新證書的預設存放位置
new_certs_dir = $dir/newcerts
#  用於存儲證書簽發信息的資料庫文件的位置
database = $dir/index.txt
# CA的證書位置
certificate = $dir/certs/cacert.pem
# CA的私鑰位置
private_key = $dir/private/cakey.key
# 存儲當前證書序列號的文件位置
serial = $dir/serial
# 預設證書有效期
default_days = 3650
# 預設使用的消息摘要算
default_md = sha256
# 決定是否保留從證書請求(CSR)中傳入的Distinguished Name(DN)的順序
preserve = no


# [ req ]定義了與生成證書請求文件（也稱為Certificate Signing Request，簡稱CSR）相關的預設設置
[ req ]
# 生成新私鑰時使用的預設位數
default_bits = 2048
# 是否在創建證書請求時提示用戶輸入詳細信息
	# no表示使用 openssl req 命令創建新的CSR或證書時，將不會被提示輸入任何DN欄位，會使用 [ dn ] 部分提供的預設值。
prompt = no
# 用於證書請求的預設消息摘要演算法
default_md = sha256
	# 告訴OpenSSL使用配置文件中的[ dn ]部分作為CSR的預設欄位值
distinguished_name = dn


# [ dn ] 定義了預設的Distinguished Name（可分辨名稱）屬性和它們的值
	# C：國家 ST：省 L：市 O：通常是一個公司或機構的全名 OU：組織內部的一個特定部門或單位 
	# CN：在 SSL/TLS 證書的上下文中通常表示證書意圖保護的功能變數名稱emailAddress：郵箱
[ dn ]
C = CN
ST = BeiJin
L = BeiJin
O = My Company
OU = My Organizational Unit
emailAddress = [email protected]
CN = mycompany.com

配置文件鏈接

4、自簽名證書生成

(1)要生成自簽名證書，首先得需要有私鑰，所以第一步就是需要先生成私鑰。

# -algorithm RSA: 指定密鑰的類型為 RSA

openssl genpkey -algorithm RSA -out /etc/pki/CA/private/cakey.key

（2）根據生成得私鑰創建一個新的根證書,使用這個證書來簽署其它得證書
在配置文件中通過 certificate = $dir/certs/cacert.pem 指定了CA證書的位置，這裡創建自簽名證書的時候就要放到對應的位置才可以。

openssl req -key /etc/pki/CA/private/cakey.key -new -x509 -days 7300 -out /etc/pki/CA/certs/cacert.pem

至此，私有CA就算搭建完成了。

CA頒發證書

1、用戶生成證書請求文件（CSR）

如果客戶端想要CA給它頒發證書，首先就需要準備一個證書請求文件，CSR中包含公鑰和請求者的標識信息（如：組織、位置、國家、功能變數名稱等）

# 一般先創建一個目錄存放相關文件
mkdir tom

# cd tom

# 一步到位生成私鑰和CSR
sudo openssl req -new -keyout tom.key -out tom_req.csr -nodes

說明：

  • 一般情況下，生成私鑰的時候會要求輸入一個密碼，不輸入的話可能會提示error，可以通過 -nodes 參數來不輸入密碼

  • 這裡是一步到位生成私鑰和CSR，-keyout clientkey.pem 選項生成一個新的私鑰，然後根據生成的私鑰創建證書請求文件

  • 因為我是直接在CA上生成的CSR，配置文件裡面指定了請求者的標識信息（如：組織、位置、國家、功能變數名稱等，所以這裡沒有提示輸出。

2、CA接收用戶的CSR

客戶端將CSR生成後，需要交給CA，可以通過文件拷貝、遠程傳輸都可以。

這裡單獨給客戶的證書請求文件創建了一個目錄，用於保存客戶端傳輸過來的CSR文件。

mkdir /etc/pki/CA/csr

3、CA驗證身份

CA會驗證請求者的身份，例如發右鍵、打電話給請求者。

4、CA簽發證書

CSR通過驗證了，就使用其私鑰為請求者的公鑰簽發一個證書。該證書有效地綁定了請求者的身份和其公鑰。

sudo openssl ca -batch -in /etc/pki/CA/csr/tom_req.csr -out /etc/pki/CA/certs/tom.pem

說明：

  • 通過 -bath參數實現簽署證書時自動確認

  • 如果初始化CA環境的時候，index.txt這個資料庫文件不為空，那麼此時簽署證書不會成功，也不會有任何錯誤提示。

（5）證書生成後，返回給客戶端，請求者可以將證書和其私鑰一起使用

CA的幾個特殊文件

在搭建好私有CA並且頒發證書後，可以看到除了原來的index.txt和serial，還生成了index.txt.attr、index.txt.old、serial.old文件

serial

serial這個文件包含下一個證書的序列號。每當一個新的證書被簽發，這個數字會增加，確保每個證書都有一個唯一的序列號。

可以看到證書生成後，可以看到serial文件的內容遞增了 1

ehigh@ubuntu:/etc/pki/CA$ cat serial
02

index.txt

這是一個資料庫文件，用於追蹤CA簽發的所有證書。每一行代表一個證書，包括證書的狀態（如V代表有效，R代表撤銷等）、過期日期、序列號、證書的Distinguished Name等。簽發新的證書或撤銷現有的證書時，此文件會更新

index.txt內容說明

idnex.txt文件用於存儲CA簽發的所有證書，一行代表一個證書。

V	331028032625Z		01	unknown	/C=CN/ST=BeiJin/O=My Company/OU=My Organizational Unit/CN=mycompany.com/[email protected]

  1. 第一列表示的就是證書的狀態，V表示有效，如果是R表示已經被撤銷了

  2. 第二列就是證書的過期日期，使用YYMMDDHHMMSSZ，最後的 Z 表示這是 UTC 時間。 331028032625Z表示證書的過期日期為 2033 年 10 月 28 日 03:26:25

  3. 第三列就是證書的序列號，這裡是01

  4. 第四列是文件名，unknown 表示文件名未知或證書不存儲在獨立的文件中

  5. 第五列就是證書的主題，包括多個欄位

預設情況下，相同主題的證書申請文件（CSR）只能申請一次證書，試圖使用相同的主題重新簽發證書會失敗。因為我們是在配置文件裡面指定了主題信息，又是私有CA，如果要實現相同主題重覆申請證書，把index.txt.attr文件中的unique_subject = yes改為unique_subject = no就行了。

index.txt.attr

該文件包含了index.txt文件的一些屬性，unique_subject = yes表示在index.txt資料庫中的每個主題應該是唯一的，即不允許有兩個具有相同主題的證書

ehigh@ubuntu:/etc/pki/CA$ cat index.txt.attr
unique_subject = yes

index.txt.old

存放上一個證書的資料庫信息

例如：

# 因為這就是第一個證書，所以上一個證書為空
ehigh@ubuntu:/etc/pki/CA$ cat index.txt.old

serial.old

該文件存放上一個證書的編號信息

ehigh@ubuntu:/etc/pki/CA$ cat serial.old
01

註銷證書

1、吊銷證書

將證書標記為已吊銷，證書吊銷後index.txt資料庫文件中關於該證書的條目會被自動更新，該證書相關的條目的標誌會從 V (或其他狀態) 更改為 R。（E：表示證書已過期 (Expired)。）

openssl ca -revoke 要註銷的證書文件

2、生成新的CRL

這一步的作用是當有證書被吊銷時，CA需要發佈一個新的CRL，以便客戶端和其他實體可以檢查並知道哪些證書不再受信任。

通常當設置一個私有證書頒發機構 (CA) 並開始頒發證書時，還沒有任何要吊銷的證書，因此最初可能不會有CRL，如果開始吊銷證書，就需要手動創建這個文件，crl文件的命名方式一般是crl.pem這種。

如果直接使用touch crl.pem只會創建一個空的文件。而一個真正的CRL文件包含了吊銷證書的信息，並且由CA簽名。所以我們要使用命令來生成這個文件。

# 證書吊銷文件的路徑是配置文件裡面制定了的，所以不能亂放
openssl ca -gencrl -out /etc/pki/CA/crl/crl.pem

常見尾碼

雖然在Linux裡面，文件的類型不是由文件尾碼決定的，但是加上不同的尾碼可以很好分辨文件的作用和進行管理。

  • .key：一般私鑰就以 .key 結尾

  • .pem：新生成的證書一般以 .pem 結尾。pem是 Privacy Enhanced Mail 的縮寫，是一種文件格式，可以包含任何類型的證書或密鑰。這種格式的文件類容是BASE64編碼顯示的，併在開始和結束時由"-----BEGIN..."和"-----END..."標記包圍。

  • .scr：證書請求文件使用csr結尾，csr是Certificate Signing Request的縮寫

  • .crl：這是CA用於列出已被撤銷的證書的文件常用的尾碼，是Certificate Revocation List的縮寫。

說明： 除了使用.pem尾碼來標記一個證書文件外，還可以使用crt 或 .cer 來標記。

查看證書內容

有些時候需要確認證書的主題或頒發者，檢查證書的有效期，還有當SSL/TLS設置出現問題時，檢查證書可以幫助確定問題的原因時候，需要查看證書的內容來排查是否是證書或CSR文件引起的。

openssl x509 -in /path/file_name -noout -text

# -noout：表示不輸出證書的編碼
# text：顯示證書的全部信息，包括主題、頒發者、有效期等

說明：

OpenSSL生成的證書是X.509類型的。X.509是一個標準，定義了公鑰證書的結構和屬性。當我們在日常語境中提到“SSL證書”或“TLS證書”時，我們實際上指的是遵循X.509標準的證書。

相關流程說明

CA頒發證書流程

上面我們知道瞭如何大家CA、以及使用CA對證書進行管理，還有用戶申請證書的流程。現在我們可以來探討CA頒發證書是什麼樣一個流程。

1、用戶生成證書請求文件，證書請求文件包含了用戶的公鑰還有一些主題信息（組織、位置、國家、功能變數名稱等等）

2、CA機構將用戶的證書申請文件通過hash演算法生成一個摘要

3、CA機構將生成的摘要進行加密（私鑰加密）從而得到一個簽名

4、將用戶的公鑰、CA生成的簽名加上相關信息整合在一起就形成了一個數字證書

驗證證書流程

例如伺服器和客戶端通信的時候，給了客戶端一個證書，客戶端如何驗證這個證書是否有效。

1、 客戶端明文接收服務端發送過來的證書

2、客戶端提取證書中的簽名，並使用CA的公鑰對簽名進行解密，得到原始的摘要信息。

3、 客戶端使用相同的哈希演算法對接收到的證書（從證書中提取出公鑰、用戶信息和其他相關信息）進行哈希運算，生成一個新的摘要。

4、 對比兩個摘要是否一致，這樣就實現了數據完整性的驗證。

數據通信流程

像https這種，就是通過證書來實現安全數據傳輸的。

客戶端：

  1. 客戶端使用哈希演算法對需要發送的數據生成一個摘要。這個摘要可以用來驗證數據的完整性，確保在傳輸過程中沒有被篡改。

  2. 客戶端生成一個隨機的對稱密鑰，並使用該密鑰對要發送的數據進行加密。對稱密鑰加密速度快，適合加密大量數據。

  3. 客戶端使用服務端的公鑰（從證書中獲取）對隨機對稱密鑰進行加密。服務端的公鑰可以確保只有服務端能夠解密該對稱密鑰。

  4. 客戶端將生成的摘要、加密後的數據以及加密後的隨機對稱密鑰一起發送給服務端。

服務端：

  1. 服務端接收到客戶端發送的數據後，使用私鑰解密客戶端發送的加密的隨機對稱密鑰，以獲得該對稱密鑰。

  2. 服務端使用獲得的對稱密鑰對加密的數據進行解密，以恢複原始數據。

  3. 服務端使用相同的哈希演算法對解密後的數據生成一個摘要。

  4. 服務端將生成的摘要與客戶端發送的摘要進行比較。如果兩個摘要相同，說明數據完整性沒有受到篡改。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 20. 從零用Rust編寫正反向代理，四層反向代理stream(tcp與udp)實現
    wmproxy wmproxy是由Rust編寫，已實現http/https代理，socks5代理， 反向代理，靜態文件伺服器，內網穿透，配置熱更新等， 後續將實現websocket代理等，同時會將實現過程分享出來， 感興趣的可以一起造個輪子法 項目地址 gite: https://gitee.com ...
  • 一款基於 Spring Boot 的公眾號管理系統，已開源，別再自己寫了！
    來源：https://gitee.com/niefy/wx-manage wx-manage wx-manage是一個支持公眾號管理系統，支持多公眾號接入。 wx-manage提供公眾號菜單、自動回覆、公眾號素材、簡易CMS、等管理功能，請註意本項目僅為管理後臺界面，需配合後端程式wx-api一起使 ...
  • 【matplotlib 實戰】--箱型圖
    箱型圖（Box Plot），也稱為盒須圖或盒式圖，1977年由美國著名統計學家約翰·圖基（John Tukey）發明。是一種用作顯示一組數據分佈情況的統計圖，因型狀如箱子而得名。 它能顯示出一組數據的最大值、最小值、中位數及上下四分位數。箱子的頂端和底端，分別代表上下四分位數。箱子中間的是中位數線， ...
  • 放棄老舊的Mybatis,強類型替換字元串,這是一款你不應該錯過的ORM
    一款輕量級、高性能、強類型、易擴展符合C#開發者的JAVA自研ORM github地址 easy-query https://github.com/xuejmnet/easy-query gitee地址 easy-query https://gitee.com/xuejm/easy-query 背景 ...
  • Web SSH 的原理與在 ASP.NET Core SignalR 中的實現
    前言 有個項目，需要在前端有個管理終端可以 SSH 到主控機的終端，如果不考慮用戶使用 vim 等需要在控制台內現實界面的軟體的話，其實使用 Process 類型去啟動相應程式就夠了。而這次的需求則需要考慮用戶會做相關設置。 原理 這裡用到的原理是偽終端。偽終端（pseudo terminal）是現 ...
  • WPF自定義控制項庫之Window視窗
    在WPF開發中，預設控制項的樣式常常無法滿足實際的應用需求，我們通常都會採用引入第三方控制項庫的方式來美化UI，使得應用軟體的設計風格更加統一。常用的WPF的UI控制項庫主要有以下幾種，如：Modern UI for WPF，MaterialDesignInXamlToolkit，PanuonUI，New ...
  • 電腦網路-IP地址
    目錄子網劃分定長子網劃分子網劃分的方法子網掩碼可變長子網劃分無類別編址網路首碼路由聚合特殊用途的IP地址專用網路地址鏈路本地地址運營商級NAT共用地址用於文檔的測試網路地址IP地址的規劃和分配IP地址的規劃和分配方法IP地址的規劃和分配實例 子網劃分 定長子網劃分 子網劃分的方法 從IP地址的主機號 ...
  • Net 高級調試之三：類型元數據介紹（同步塊表、類型句柄、方法描述符等）
    # Unity進階開發-FSM有限狀態機 前言 我們在進行開發時，到了一定程度上，會遇到數十種狀態，繼續使用Unity的Animator控制器會出現大量的bool，float類型的變數，而這些錯綜複雜的變數與Animatator控制器如同迷宮版連線相結合會變得極其的複雜且無法良好維護擴展，出現一個B ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類