Windows下OpenSSL创建CA证书以及客户端和服务器端证书
$ mkdir -p ./demoCA/{private,newcerts}
$ touch ./demoCA/index.txt
$ echo 01 > ./demoCA/serial
產生的目錄結構如下：
`-- demoCA/
??? |-- index.txt
??? |-- newcerts/
??? |-- private/
??? `-- serial
?然后執(zhí)行下面的命令。
創(chuàng)建根證書?
openssl rand -out private/.rand 1000 openssl rgenrsa -aes256 -out private/sample-key.pem 2048 openssl rreq -new -key private/sample-key.pem -out private/sample.csr -subj "/C=CN/ST=JiangSu/L=NanJing/O=NanJing Sample Technology Group Co.,LTD./OU=Sample" openssl x509 -req -days 825 -sha1 -extensions v3_ca -signkey private/sample-key.pem -in private/sample.csr -out certs/sample.cer openssl pkcs12 -export -clcerts -in certs/sample.cer -inkey private/sample-key.pem -out certs/sample.p12 ----------------------------------------------------------------------------*/ 創(chuàng)建服務端證書 openssl genrsa -aes256 -out private/server.key.pem 2048 openssl req -new -key private/server.key.pem -out private/server.csr -subj "/C=CN/ST=JiangSu/L=NanJing/O=NanJing Sample Technology Group Co.,LTD./OU=Sample/CN=127.0.0.1" openssl x509 -req -days 3650 -sha1 -extensions v3_req -CA certs/sample.cer -CAkey private/sample-key.pem -CAserial sample.srl -CAcreateserial -in private/server.csr -out certs/server.cer openssl pkcs12 -export -clcerts -inkey private/server.key.pem -in certs/server.cer -out certs/server.p12? ----------------------------------------------------------------------------*/ 創(chuàng)建客戶端證書 openssl genrsa -aes256 -out private/client.key.pem 2048? openssl req -new -key private/client.key.pem -out private/client.csr -subj "/C=CN/ST=JiangSu/L=NanJing/O=NanJing Sample Technology Group Co.,LTD./OU=Sample/CN=127.0.0.1" openssl ca -days 3650 -in private/client.csr -out certs/client.cer -cert certs/sample.cer -keyfile private/sample-key.pem /*win7這句會報錯，win10下沒問題，郁悶，cd到bin文件夾下，執(zhí)行下面語句才通過。*/ openssl ca -days 3650 -in democa/private/client.csr -out democa/certs/client.cer -cert democa/certs/sample.cer -keyfile democa/private/sample-key.pem -config ../openssl.cnf openssl pkcs12 -export -inkey private/client.key.pem -in certs/client.cer -out certs/client.p12
參考文件：
由于實驗需要，需要手動制作CA證書以及客戶端和服務器端證書，總結如下：
最近兩天，查閱了一些關于創(chuàng)建證書的資料，發(fā)現(xiàn)網(wǎng)上很多介紹并不是很完整，不具有完全的可操作性。
創(chuàng)建證書，我目前知道的大概這么幾種：
1.keytool
? ?不能創(chuàng)建CA證書
2.Sybase ASA自帶的createcert.exe
? ?好像不能創(chuàng)建PKCS12型證書
3.OpenSSL
? ?功能最強大。
所以，這里干脆只介紹OpenSSL了。
安裝完OpenSSL-Win32到d:\tools之后，修改配置文件d:\tools\OpenSSL-Win32\bin\openssl.cfg
找到：
[ CA_default ]
dir ?? ?= $ENV::OPENSSL_HOME/CA # Where everything is kept
這里原來值是./demoCA
還是用絕對路徑比較好。就放到d:\tools\OpenSSL-Win32\CA目錄下。
緊接著，做一些準備工作，創(chuàng)建一些子目錄，準備創(chuàng)建證書，
完全的批處理命令如下：
原文：http://blog.csdn.net/iihero/article/details/17626845?
這一針在農信銀2代項目中有幸能碰到加密方面的東西，所以就好好學習了一下。不足之處還請前輩們見諒。
OpenSSL功能遠勝于KeyTool，可用于根證書，服務器證書和客戶證書的管理
這里使用的是Win32OpenSSL_Light-1_0_1e.exe
http://www.slproweb.com/products/Win32OpenSSL.html
1，構建根證書
構建根證書前，需要構建隨機數(shù)文件（.rand）,完整命令如
openssl rand -out private/.rand 1000
rand 隨機數(shù)命令。這里將隨機數(shù)文件輸出到private目錄下。
-out 輸出文件路徑，
這里的參數(shù)1000，指定來產生偽隨機字節(jié)數(shù)
2，構建根證書私鑰
openssl genrsa -aes256 -out private/ca.key.pem 2048
3,生成根證書簽發(fā)申請
完成密鑰構建操作后，我們需要生成根證書簽發(fā)申請文件（ca.csr）,完整命令如代碼
openssl req -new -key private/ca.key.pem -out private/ca.csr -subj "/C=CN/ST=BJ/L=BJ/O=lesaas/OU=lesaas/CN=*.lesaas.cn"
req 產生證書簽發(fā)申請命令
-new 表示新請求
-key 密鑰,這里為private/ca.key.pem文件
-out 輸出路徑,這里為private/ca.csr文件
-subj 指定用戶信息。這里使用泛域名"*.lesaas.cn"
得到根證書簽發(fā)申請文件后，我們可以將其發(fā)生給CA機構簽發(fā)，當然我們也可以自行簽發(fā)根證書。
4，簽發(fā)根證書（自行簽發(fā)根證書）
openssl x509 -req -days 10000 -sha1 -extensions v3_ca -signkey private/ca.key.pem -in private/ca.csr -out certs/ca.cer
x509 簽發(fā)X.509格式證書命令。
-req 表示證書輸入請求。
-days 表示有效天數(shù),這里為10000天。
-shal 表示證書摘要算法,這里為SHA1算法。
-extensions 表示按OpenSSL配置文件v3_ca項添加擴展。
-signkey 表示自簽名密鑰,這里為private/ca.key.pem。
-in 表示輸入文件,這里為private/ca.csr。
-out 表示輸出文件,這里為certs/ca.cer。
====================================================================================================
OpenSSL產生的數(shù)據(jù)證書不能再JAVA語言環(huán)境中直接使用，需要將其轉化為PKCS#12編碼格式。
完整命令如代碼
5，根證書轉化
openssl pkcs12 -export -cacerts -inkey private/ca.key.pem -in certs/ca.cer -out certs/ca.p12
pkcs12 PKCS#12編碼格式證書命令。
-export 表示導出證書。
-cacerts 表示僅導出CA證書。
-inkey 表示輸入密鑰,這里為private/ca.key.pem
-in 表示輸入文件,這里為certs/ca.cer
-out 表示輸出文件,這里為certs/ca.p12
個人信息交換文件（PKCS#12） 可以作為密鑰庫或信任庫使用，我們可以通過KeyTool查看密鑰庫的詳細信息。
6，查看密鑰庫信息
keytool -list -keystore d:/CA/certs/ca.p12 -storetype pkcs12 -v -storepass 123456
注意，這里參數(shù)-storetype值為“pkcs12”。
我們已經構建了根證書（ca.cer）,我們可以使用根證書簽發(fā)服務器證書和客戶證書。
7，構建服務器證書
服務器證書的構建與根證書構建相似，首先需要構建私鑰。
（1）構建服務器私鑰
openssl genrsa -aes256 -out private/server.key.pem 2048
genrsa 產生RSA密鑰命令。
-aes256 使用AES算法（256位密鑰）對產生的私鑰加密。可選算法包括DES，DESede，IDEA和AES。
-out 輸出路徑,這里指private/server.key.pem。
這里的參數(shù)2048，指RSA密鑰長度位數(shù)，默認長度為512位。
（2）生成服務器證書簽發(fā)申請
openssl req -new -key private/server.key.pem -out private/server.csr -subj "/C=CN/ST=BJ/L=BJ/O=lesaas/OU=lesaas/CN=www.lesaas.cn"
req 產生證書簽發(fā)申請命令
-new 表示新請求。
-key 密鑰,這里為private/ca.key.pem文件
-out 輸出路徑,這里為private/ca.csr文件
-subj 指定用戶信息,這里使用域名“www.lesaas.cn”作為用戶名。
我們已經獲得了根證書，可以使用根證書簽發(fā)服務器證書。
（3）簽發(fā)服務器證書
openssl x509 -req -days 3650 -sha1 -extensions v3_req -CA certs/ca.cer -CAkey private/ca.key.pem -CAserial ca.srl -CAcreateserial -in private/server.csr -out
certs/server.cer
x509 簽發(fā)X.509格式證書命令。
-req 表示證書輸入請求。
-days 表示有效天數(shù),這里為3650天。
-sha1 表示證書摘要算法,這里為SHA1算法。
-extensions 表示按OpenSSL配置文件v3_req項添加擴展。
-CA 表示CA證書,這里為certs/ca.cer
-CAkey 表示CA證書密鑰,這里為private/ca.key.pem
-CAserial 表示CA證書序列號文件,這里為ca.srl
-CAcreateserial表示創(chuàng)建CA證書序列號
-in 表示輸入文件,這里為private/server.csr
-out 表示輸出文件,這里為certs/server.cer
這里我們同樣需要將OpenSSL產生的數(shù)子證書轉化為PKCS#12編碼格式。完整命令如下
（4）服務器證書轉換
openssl pkcs12 -export -clcerts -inkey private/server.key.pem -in certs/server.cer -out certs/server.p12
pkcs12 PKCS#12編碼格式證書命令。
-export 表示導出證書。
-clcerts 表示僅導出客戶證書。
-inkey 表示輸入文件,這里為private/server.key.pem
-in 表示輸入文件,這里為certs/ca.cer
-out 表示輸出文件,這里為certs/server.p12
我們已經構建了服務器證書（server.cer）,并可使用該證書構建基于單向認證網(wǎng)絡
（5）構建客戶證書
客戶證書的構建與服務器證書構建基本一致，首先需要構建私鑰。
產生客戶私鑰
openssl genrsa -aes256 -out private/client.key.pem 2048
genrsa 產生RSA密鑰命令
-aes256 使用AES算法（256為密鑰）對產生的私鑰加密。可選算法包括DES,DESede,IDEA和AES。
-out 輸出路徑,這里指private/client.key.pem
這里的參數(shù)2048，指RSA密鑰長度位數(shù)，默認長度為512位
完成客戶證書密鑰構建后，我們需要產生客戶證書簽發(fā)申請
（6）生成客戶證書簽發(fā)申請
openssl req -new -key private/client.key.pem -out private/client.csr -subj "/C=CN/ST=BJ/L=BJ/O=lesaas/OU=lesaas/CN=lesaas"
req 產生證書簽發(fā)申請命令
-new 表示新的請求。
-key 密鑰,這里為private/client.csr文件
-subj 指定用戶信息,這里使用“l(fā)esaas”作為用戶名
我們已經獲得了根證書，可以使用根證書簽發(fā)客戶證書（client.cer）
（7）簽發(fā)客戶證書
openssl ca -days 3650 -in private/client.csr -out certs/client.cer -cert certs/ca.cer -keyfile private/ca.key.pem
ca 簽發(fā)證書命令
-days 表示證書有效期,這里為3650天。
-in 表示輸入文件,這里為private/client.csr
-out 表示輸出文件,這里為certs/server.cer
-cert 表示證書文件,這里為certs/ca.cer
-keyfile 表示根證書密鑰文件,這里為private/ca.key.pem
最后，我們需要將獲得客戶證書轉化Java語言可以識別的PKCS#12編碼格式。
（8）客戶證書轉換
openssl pkcs12 -export -inkey private/client.key.pem -in certs/client.cer -out certs/client.p12
pkcs12 PKCS#12編碼格式證書命令、
-export 表示導出證書
-clcerts 表示僅導出客戶證書。
-inkey 表示輸入密鑰,這里為private/client.key.pem
-in 表示輸入文件,這里為certs/client.cer
-out 表示輸出文件,這里為certs/client.p12
至此，我們完成了雙向認證的所需的全部證書。
數(shù)字證書是公鑰的載體，而密鑰庫可以包含公鑰、私鑰信息。
JKS和PKCS#12都是比較常用的兩種密鑰庫格式/標準。對于前者，搞Java開發(fā)，尤其是接觸過HTTPS平臺的朋友，并不陌生。JKS文件（通常為*.jks或*.keystore，擴展名無關）可以通過Java原生工具——KeyTool生成；而后者PKCS#12文件（通常為*.p12或*.pfx，意味個人信息交換文件），則是通過更為常用的OpenSSL工具產生。
當然，這兩者之間是可以通過導入/導出的方式進行轉換的！當然，這種轉換需要通過KeyTool工具進行！
回歸正題，計費同事遇到一個難題：合作方交給他們一個*.pfx文件，需要他們從中提取密鑰，然后進行加密交互。其實，通過Java直接操作密鑰庫文件（或個人信息交換文件）對于一般Java開發(fā)人員來說，這都是個冷門。不接觸數(shù)字安全，根本不知所云。況且，Java原生的密鑰庫文件格式為JKS，如何操作*.pfx文件？密鑰庫操作需要獲知密鑰庫別名，*.pfx別名是什么？！接下來就解決這些問題！
(PKCS#12是base64編碼的)
方案：
通過keytool密鑰庫導入命令importkeystore，將密鑰庫格式由PKCS#12轉換為JKS。
檢索新生成的密鑰庫文件，提取別名信息。
由密鑰庫文件導出數(shù)字證書（這里將用到別名）。
通過代碼提取公鑰/私鑰、簽名算法等
先看格式轉換：
Cmd代碼 收藏代碼
echo 格式轉換
keytool -importkeystore -v -srckeystore zlex.pfx -srcstoretype pkcs12 -srcstorepass 123456 -destkeystore zlex.keystore -deststoretype jks -deststorepass 123456
-importkeystore導入密鑰庫，通過格式設定，我們可以將PKCS#12文件轉換為JKS格式。
-v顯示詳情
-srckeystore源密鑰庫，這里是zlex.pfx
-srcstoretype源密鑰庫格式，這里為pkcs12
-srcstorepass源密鑰庫密碼，這里為123456
-destkeystore目標密鑰庫，這里為zlex.keystore
-deststoretype目標密鑰庫格式，這里為jks，默認值也如此
-deststorepass目標密鑰庫密碼，這里為123456
通過這個操作，我們能夠獲得所需的密鑰庫文件zlex.keystore。
這時，我們已經獲得了密鑰庫文件，只要確定對應的別名信息，就可以提取公鑰/私鑰，以及數(shù)字證書，進行加密交互了！
Cmd代碼 收藏代碼
echo 查看證書
keytool -list -keystore zlex.keystore -storepass 123456 -v
-list列舉密鑰庫
-keystore密鑰庫,這里是zlex.keystore
-storepass密鑰庫密碼,這里是123456
-v顯示詳情
現(xiàn)在，我們把證書導出！
Cmd代碼 收藏代碼
echo 導出證書
keytool -exportcert -alias 1 -keystore zlex.keystore -file zlex.crt -storepass 123456
-exportcert導出證書
-alias別名,這里是1
-keystore密鑰庫,這里是zlex.keystore
-file證書文件,這里是zlex.crt
-storepass密鑰庫密碼,這里是123456
現(xiàn)在證書也導出了，我們可以提取公鑰/私鑰，進行加密/解密，簽名/驗證操作了！當然，即便沒有證書，我們也能夠通過密鑰庫（JKS格式）文件獲得證書，以及公鑰/私鑰、簽名算法等。
IIS配置SSL時遇到的錯誤：
1）證書鏈中的一個或多個中間證書丟失?
How to configure intermediate certificates
轉載于:https://www.cnblogs.com/Sefrid/p/5358338.html
總結
以上是生活随笔為你收集整理的Windows下OpenSSL创建CA证书以及客户端和服务器端证书的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： linux定时任务清理cache缓存
- 下一篇： 系统架构之服务器架构图