1 2 3 4 5 6 7 8 9 10 11 12 13

openssl req -x509 -new -key private_key.pem

-config cfg -out selfcert.pem -days 365

Создание (-new) self-signed сертификата (-x509) для использования в качестве сертификата сервера или сертификата CA. Сертификат создается с использованием секретного ключа -key и конфигурационного файла -config. Создаваемый сертификат будет действителен в течение 365 дней (-days), опция -days не применима к запросам на сертификацию.

Для управления сертификатами x509 используется утилита openssl x509. С ее помощью можно подписать сертификат или запрос на сертификацию сертификатом CA. Также можно просмотреть содержимое сертификата в читаемой форме (DN, публичный ключ, время действия, отпечаток и.т.д.). Приведу примеры вышеописанных действий:

openssl x509 -in cert.pem -noout -text

Просмотреть информацию о сертификате в «нормальной» форме. Вот что примерно будет выведено, также можно использовать дополнительные опции: -fingerprint (необходимо сочетать с одной из опций -sha1, -md5 или -mdc2), -modulus (вывод публичного ключа), -serial, -subject, -issuer (организация, выдавшая сертификат), -email, -startdate, -enddate:

Certificate:

Data:

Version: 3 (0x2)

Serial Number: 0 (0x0)

Signature Algorithm: md5WithRSAEncryption

Issuer: C=RU, ST=region, L=city, O=organization, OU=Sysopka,CN=CEBKA/Email=CEBKA@smtp.ru

Validity

Not Before: Nov 9 08:51:03 2002 GMT

Not After : Nov 9 08:51:03 2003 GMT

Subject: C=RU, ST=region, L=city, O=organization, OU=Sysopka,CN=CEBKA/Email=CEBKA@smtp.ru

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

RSA Public Key: (1024 bit)

Modulus (1024 bit):

00:c6:6b:3b:8e:f8:33:05:a0:dc:e1:38:8f:6a:68:

42:1c:21:33:aa:90:b6:8c:93:14:11:9b:69:94:8a:

3a:0e:42:29:b0:45:14:1b:f0:37:2c:f3:05:db:13:

06:a9:cd:eb:99:31:51:25:86:c8:69:e0:5e:8d:28:

04:8d:1f:08:37:d7:72:39:fe:05:57:61:68:95:bf:

5c:ae:13:f2:05:a1:29:c3:bf:3b:32:ca:1a:ff:22:

53:f9:32:92:78:fe:44:c3:e1:ca:42:5c:5f:d1:49:

da:1c:9f:34:06:04:ee:46:74:8d:11:68:ef:37:e2:

74:1e:d9:46:04:b8:7e:d5:c5

Exponent: 65537 (0x10001)

Signature Algorithm: md5WithRSAEncryption

3b:42:85:45:08:95:f3:f1:fc:8a:23:88:58:0e:be:e5:9b:56:

1e:c1:ff:39:28:4f:84:19:f8:3e:38:ef:98:34:d6:ee:e0:0a:

de:36:3a:5c:15:88:d7:2a:a4:0a:d5:dc:3e:b2:72:4c:82:57:

b8:fe:52:f6:e2:06:01:38:eb:00:0b:f2:a9:87:be:65:83:19:

13:50:ae:6c:f2:0a:07:14:e6:8c:60:cd:c5:a3:d1:e1:ea:da:

24:c2:6a:06:d5:dc:1c:71:c9:64:fa:9e:c9:ca:97:e2:06:84:

de:4c:69:b8:9a:af:66:14:8d:46:9a:00:53:13:c9:ab:10:b8:

09:c2

openssl x509 -req -in clientreq.pem

-extfile /usr/lib/ssl/openssl.cnf

-extensions /usr/lib/ssl/openssl.cnf -CA CAcert.pem

-CAkey serverkey.pem

-CAcreateserial -out clientcert.pem

Подписать запрос на сертификацию (-req) файла -in, используя доверенный CA сертификат -CA и его секретный ключ -CAkey. В конечный сертификат клиента (-out), записываются дополнительные параметры сертификата 3-й версии из файла /usr/lib/ssl/openssl.cnf (конфигурационный файл по умолчанию). Но об этом я расскажу после на конкретном примере. Такое поведение x509 позволяет организовать свой центр сертификации, подписывающий запросы клиентов на сертификацию.

openssl x509 -in CAcert.pem -addtrust sslclient

-alias "myorganization CA"

-out CAtrust.pem

Преобразование сертификата -in в доверенный сертификат для использования в SSL-клиентах (sslserver — использование в качестве сертификата сервера, emailProtection — использование в качестве сертификата S/MIME).

Я еще раз хотел бы вернуться к проблеме построения CA. Для использования внутри организации можно использовать self-signed сертификат, но для использования CA вне организации приходится использовать сертификаты, выданные или подписанные сторонней организацией. Во втором случае возникает проблема выбора такой сторонней организации (она легко разрешается для дочерних компаний), которая требует юридического анализа (в разных странах существуют свои законы криптографии и поэтому дать какой-либо конкретный совет я не могу). Если вам довелось работать в российской правительственной компании, то считайте, что вам не повезло — использовать openssl для работы с правительственными организациями нельзя. Наши уважаемые гос. деятели добавили геморроя админам, разрешив использовать только алгоритмы ГОСТ (симметрические, асимметрические, хеширования — меня просто выворачивает от самого этого слова ГОСТ ;), поэтому использовать вам придется только специальные программы, реализующие эти алгоритмы. Я же приведу здесь пример построение собственного CA с self-signed сертификатом:

1) Генерируем секретный ключ:

openssl genrsa -out CAkey.pem -rand randfile -des3 4096

2) Создаем self-signed сертификат:

openssl req -new -x509 -key CAkey.pem -out CAcert.pem -days 365 -config cfg

1 2 3 4 5 6 7 8 9 10 11 12 13