使用 openssl 生成證書

1、openssl 簡介

openssl 是目前最流行的 SSL 密碼庫工具，其提供了一個通用、健壯、功能完備的工具套件，用以支持SSL/TLS 協議的實現。
官網：https://www.openssl.org/source/

構成部分

1. 密碼算法庫
2. 密鑰和證書封裝管理功能
3. SSL通訊API接口

用途

1. 創建 RSA、DH、DSA key 參數
2. 創建 X.509 證書、證書籤名請求(CSR)和CRLs(證書回收列表)
3. 計算消息摘要
4. 使用各類 Cipher加密/解密
5. SSL/TLS 客戶端以及服務器的測試
6. 處理S/MIME 或者加密郵件

2、RSA密鑰操做

默認狀況下，openssl 輸出格式爲 PKCS#1-PEM

生成RSA私鑰(無加密)

openssl genrsa -out rsa_private.key 2048

生成RSA公鑰

openssl rsa -in rsa_private.key -pubout -out rsa_public.key

生成RSA私鑰(使用aes256加密)

openssl genrsa -aes256 -passout pass:111111 -out rsa_aes_private.key 2048

其中 passout 代替shell 進行密碼輸入，不然會提示輸入密碼；
生成加密後的內容如：

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-256-CBC,5584D000DDDD53DD5B12AE935F05A007
Base64 Encoded Data
-----END RSA PRIVATE KEY-----

此時若生成公鑰，須要提供密碼

openssl rsa -in rsa_aes_private.key -passin pass:111111 -pubout -out rsa_public.key

其中 passout 代替shell 進行密碼輸入，不然會提示輸入密碼；

轉換命令

私鑰轉非加密

openssl rsa -in rsa_aes_private.key -passin pass:111111 -out rsa_private.key

私鑰轉加密

openssl rsa -in rsa_private.key -aes256 -passout pass:111111 -out rsa_aes_private.key

私鑰PEM轉DER

openssl rsa -in rsa_private.key -outform der-out rsa_aes_private.der

-inform和-outform 參數制定輸入輸出格式，由der轉pem格式同理

查看私鑰明細

openssl rsa -in rsa_private.key -noout -text

使用-pubin參數可查看公鑰明細

私鑰PKCS#1轉PKCS#8

openssl pkcs8 -topk8 -in rsa_private.key -passout pass:111111 -out pkcs8_private.key

其中-passout指定了密碼，輸出的pkcs8格式密鑰爲加密形式，pkcs8默認採用des3 加密算法，內容以下：

-----BEGIN ENCRYPTED PRIVATE KEY-----
Base64 Encoded Data
-----END ENCRYPTED PRIVATE KEY-----

使用-nocrypt參數能夠輸出無加密的pkcs8密鑰，以下：

-----BEGIN PRIVATE KEY-----
Base64 Encoded Data
-----END PRIVATE KEY-----

3、生成自簽名證書

生成 RSA 私鑰和自簽名證書

openssl req -newkey rsa:2048 -nodes -keyout rsa_private.key -x509 -days 365 -out cert.crt

req是證書請求的子命令，-newkey rsa:2048 -keyout private_key.pem 表示生成私鑰(PKCS8格式)，-nodes 表示私鑰不加密，若不帶參數將提示輸入密碼；
-x509表示輸出證書，-days365 爲有效期，此後根據提示輸入證書擁有者信息；
若執行自動輸入，可以使用-subj選項：

openssl req -newkey rsa:2048 -nodes -keyout rsa_private.key -x509 -days 365 -out cert.crt -subj "/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vivo.com/emailAddress=yy@vivo.com"

使用 已有RSA 私鑰生成自簽名證書

openssl req -new -x509 -days 365 -key rsa_private.key -out cert.crt

-new 指生成證書請求，加上-x509 表示直接輸出證書，-key 指定私鑰文件，其他選項與上述命令相同

4、生成簽名請求及CA 簽名

使用 RSA私鑰生成 CSR 簽名請求

openssl genrsa -aes256 -passout pass:111111 -out server.key 2048
openssl req -new -key server.key -out server.csr

此後輸入密碼、server證書信息完成，也能夠命令行指定各種參數

openssl req -new -key server.key -passin pass:111111 -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vivo.com/emailAddress=yy@vivo.com"

*** 此時生成的 csr簽名請求文件可提交至 CA進行簽發 ***

查看CSR 的細節

cat server.csr
-----BEGIN CERTIFICATE REQUEST-----
Base64EncodedData
-----END CERTIFICATE REQUEST-----

openssl req -noout -text -in server.csr

使用 CA 證書及CA密鑰 對請求籤發證書進行簽發，生成 x509證書

openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -passin pass:111111 -CAcreateserial -out server.crt

其中 CAxxx 選項用於指定CA 參數輸入

5、證書查看及轉換

查看證書細節

openssl x509 -in cert.crt -noout -text

轉換證書編碼格式

openssl x509 -in cert.cer -inform DER -outform PEM -out cert.pem

合成 pkcs#12 證書(含私鑰)

** 將 pem 證書和私鑰轉 pkcs#12 證書 **

openssl pkcs12 -export -in server.crt -inkey server.key -passin pass:111111 -password pass:111111 -out server.p12

其中-export指導出pkcs#12 證書，-inkey 指定了私鑰文件，-passin 爲私鑰(文件)密碼(nodes爲無加密)，-password 指定 p12文件的密碼(導入導出)

** 將 pem 證書和私鑰/CA 證書 合成pkcs#12 證書**

openssl pkcs12 -export -in server.crt -inkey server.key -passin pass:111111 \
    -chain -CAfile ca.crt -password pass:111111 -out server-all.p12

其中-chain指示同時添加證書鏈，-CAfile 指定了CA證書，導出的p12文件將包含多個證書。(其餘選項：-name可用於指定server證書別名；-caname用於指定ca證書別名)

** pcks#12 提取PEM文件(含私鑰) **

openssl pkcs12 -in server.p12 -password pass:111111 -passout pass:111111 -out out/server.pem

其中-password 指定 p12文件的密碼(導入導出)，-passout指輸出私鑰的加密密碼(nodes爲無加密)
導出的文件爲pem格式，同時包含證書和私鑰(pkcs#8)：

Bag Attributes
    localKeyID: 97 DD 46 3D 1E 91 EF 01 3B 2E 4A 75 81 4F 11 A6 E7 1F 79 40 
subject=/C=CN/ST=GD/L=SZ/O=vihoo/OU=dev/CN=vihoo.com/emailAddress=yy@vihoo.com
issuer=/C=CN/ST=GD/L=SZ/O=viroot/OU=dev/CN=viroot.com/emailAddress=yy@viroot.com
-----BEGIN CERTIFICATE-----
MIIDazCCAlMCCQCIOlA9/dcfEjANBgkqhkiG9w0BAQUFADB5MQswCQYDVQQGEwJD
1LpQCA+2B6dn4scZwaCD
-----END CERTIFICATE-----
Bag Attributes
    localKeyID: 97 DD 46 3D 1E 91 EF 01 3B 2E 4A 75 81 4F 11 A6 E7 1F 79 40 
Key Attributes: <No Attributes>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIEvAIBADANBgkqhkiG9w0BAQEFAASCBKYwggSiAgEAAoIBAQDC/6rAc1YaPRNf
K9ZLHbyBTKVaxehjxzJHHw==
-----END ENCRYPTED PRIVATE KEY-----

僅提取私鑰

 openssl pkcs12 -in server.p12 -password pass:111111 -passout pass:111111 -nocerts -out out/key.pem

僅提取證書(全部證書)

 openssl pkcs12 -in server.p12 -password pass:111111 -nokeys -out out/key.pem

僅提取ca證書

openssl pkcs12 -in server-all.p12 -password pass:111111 -nokeys -cacerts -out out/cacert.pem 

僅提取server證書

openssl pkcs12 -in server-all.p12 -password pass:111111 -nokeys -clcerts -out out/cert.pem 

6、openssl 命令參考

1. openssl list-standard-commands(標準命令)
    1) asn1parse: asn1parse用於解釋用ANS.1語法書寫的語句(ASN通常用於定義語法的構成) 
    2) ca: ca用於CA的管理 
    openssl ca [options]:
        2.1) -selfsign
        使用對證書請求進行簽名的密鑰對來簽發證書。即"自簽名"，這種狀況發生在生成證書的客戶端、簽發證書的CA都是同一臺機器(也是咱們大多數實驗中的狀況)，咱們可使用同一個
密鑰對來進行"自簽名"
        2.2) -in file
        須要進行處理的PEM格式的證書
        2.3) -out file
        處理結束後輸出的證書文件
        2.4) -cert file
        用於簽發的根CA證書
        2.5) -days arg 
        指定簽發的證書的有效時間
        2.6) -keyfile arg   
        CA的私鑰證書文件
        2.7) -keyform arg
        CA的根私鑰證書文件格式:
            2.7.1) PEM
            2.7.2) ENGINE 
        2.8) -key arg   
        CA的根私鑰證書文件的解密密碼(若是加密了的話)
        2.9) -config file    
        配置文件
    example1: 利用CA證書籤署請求證書
    openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key  

    3) req: X.509證書籤發請求(CSR)管理
    openssl req [options] <infile >outfile
        3.1) -inform arg
        輸入文件格式
            3.1.1) DER
            3.1.2) PEM
        3.2) -outform arg   
        輸出文件格式
            3.2.1) DER
            3.2.2) PEM
        3.3) -in arg
        待處理文件
        3.4) -out arg
        待輸出文件
        3.5) -passin        
        用於簽名待生成的請求證書的私鑰文件的解密密碼
        3.6) -key file
        用於簽名待生成的請求證書的私鑰文件
        3.7) -keyform arg  
            3.7.1) DER
            3.7.2) NET
            3.7.3) PEM
        3.8) -new
        新的請求
        3.9) -x509          
        輸出一個X509格式的證書 
        3.10) -days
        X509證書的有效時間  
        3.11) -newkey rsa:bits 
        生成一個bits長度的RSA私鑰文件，用於簽發  
        3.12) -[digest]
        HASH算法
            3.12.1) md5
            3.12.2) sha1
            3.12.3) md2
            3.12.4) mdc2
            3.12.5) md4
        3.13) -config file   
        指定openssl配置文件
        3.14) -text: text顯示格式
    example1: 利用CA的RSA密鑰建立一個自簽署的CA證書(X.509結構) 
    openssl req -new -x509 -days 3650 -key server.key -out ca.crt 
    example2: 用server.key生成證書籤署請求CSR(這個CSR用於以外發送待CA中心等待簽發)
    openssl req -new -key server.key -out server.csr
    example3: 查看CSR的細節
    openssl req -noout -text -in server.csr

    4) genrsa: 生成RSA參數
    openssl genrsa [args] [numbits]
        [args]
        4.1) 對生成的私鑰文件是否要使用加密算法進行對稱加密:
            4.1.1) -des: CBC模式的DES加密
            4.1.2) -des3: CBC模式的DES加密
            4.1.3) -aes128: CBC模式的AES128加密
            4.1.4) -aes192: CBC模式的AES192加密
            4.1.5) -aes256: CBC模式的AES256加密
        4.2) -passout arg: arg爲對稱加密(des、des、aes)的密碼(使用這個參數就省去了console交互提示輸入密碼的環節)
        4.3) -out file: 輸出證書私鑰文件
        [numbits]: 密鑰長度
    example: 生成一個1024位的RSA私鑰，並用DES加密(密碼爲1111)，保存爲server.key文件
    openssl genrsa -out server.key -passout pass:1111 -des3 1024 

    5) rsa: RSA數據管理
    openssl rsa [options] <infile >outfile
        5.1) -inform arg
        輸入密鑰文件格式:
            5.1.1) DER(ASN1)
            5.1.2) NET
            5.1.3) PEM(base64編碼格式)
         5.2) -outform arg
         輸出密鑰文件格式
            5.2.1) DER
            5.2.2) NET
            5.2.3) PEM
        5.3) -in arg
        待處理密鑰文件 
        5.4) -passin arg
        輸入這個加密密鑰文件的解密密鑰(若是在生成這個密鑰文件的時候，選擇了加密算法了的話)
        5.5) -out arg
        待輸出密鑰文件
        5.6) -passout arg  
        若是但願輸出的密鑰文件繼續使用加密算法的話則指定密碼 
        5.7) -des: CBC模式的DES加密
        5.8) -des3: CBC模式的DES加密
        5.9) -aes128: CBC模式的AES128加密
        5.10) -aes192: CBC模式的AES192加密
        5.11) -aes256: CBC模式的AES256加密
        5.12) -text: 以text形式打印密鑰key數據 
        5.13) -noout: 不打印密鑰key數據 
        5.14) -pubin: 檢查待處理文件是否爲公鑰文件
        5.15) -pubout: 輸出公鑰文件
    example1: 對私鑰文件進行解密
    openssl rsa -in server.key -passin pass:111 -out server_nopass.key
    example:2: 利用私鑰文件生成對應的公鑰文件
    openssl rsa -in server.key -passin pass:111 -pubout -out server_public.key

    6) x509:
    本指令是一個功能很豐富的證書處理工具。能夠用來顯示證書的內容，轉換其格式，給CSR簽名等X.509證書的管理工做
    openssl x509 [args]    
        6.1) -inform arg
        待處理X509證書文件格式
            6.1.1) DER
            6.1.2) NET
            6.1.3) PEM
        6.2) -outform arg   
        待輸出X509證書文件格式
            6.2.1) DER
            6.2.2) NET
            6.2.3) PEM
        6.3) -in arg 
        待處理X509證書文件
        6.4) -out arg       
        待輸出X509證書文件
        6.5) -req            
        代表輸入文件是一個"請求籤發證書文件(CSR)"，等待進行簽發 
        6.6) -days arg       
        代表將要簽發的證書的有效時間 
        6.7) -CA arg 
        指定用於簽發請求證書的根CA證書 
        6.8) -CAform arg     
        根CA證書格式(默認是PEM) 
        6.9) -CAkey arg      
        指定用於簽發請求證書的CA私鑰證書文件，若是這個option沒有參數輸入，那麼缺省認爲私有密鑰在CA證書文件裏有
        6.10) -CAkeyform arg  
        指定根CA私鑰證書文件格式(默認爲PEM格式)
        6.11) -CAserial arg   
        指定序列號文件(serial number file)
        6.12) -CAcreateserial 
        若是序列號文件(serial number file)沒有指定，則自動建立它     
    example1: 轉換DER證書爲PEM格式
    openssl x509 -in cert.cer -inform DER -outform PEM -out cert.pem
    example2: 使用根CA證書對"請求籤發證書"進行簽發，生成x509格式證書
    openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
    example3: 打印出證書的內容
    openssl x509 -in server.crt -noout -text 

    7) crl: crl是用於管理CRL列表 
    openssl crl [args]
        7.1) -inform arg
        輸入文件的格式
            7.1.1) DER(DER編碼的CRL對象)
            7.1.2) PEM(默認的格式)(base64編碼的CRL對象)
        7.2) -outform arg
        指定文件的輸出格式 
            7.2.1) DER(DER編碼的CRL對象)
            7.2.2) PEM(默認的格式)(base64編碼的CRL對象)
        7.3) -text: 
        以文本格式來打印CRL信息值。
        7.4) -in filename
        指定的輸入文件名。默認爲標準輸入。
        7.5) -out filename
        指定的輸出文件名。默認爲標準輸出。
        7.6) -hash
        輸出頒發者信息值的哈希值。這一項可用於在文件中根據頒發者信息值的哈希值來查詢CRL對象。
        7.7) -fingerprint
        打印CRL對象的標識。
        7.8) -issuer
        輸出頒發者的信息值。
        7.9) -lastupdate
        輸出上一次更新的時間。
        7.10) -nextupdate
        打印出下一次更新的時間。 
        7.11) -CAfile file
        指定CA文件，用來驗證該CRL對象是否合法。 
        7.12) -verify
        是否驗證證書。        
    example1: 輸出CRL文件，包括(頒發者信息HASH值、上一次更新的時間、下一次更新的時間)
    openssl crl -in crl.crl -text -issuer -hash -lastupdate –nextupdate 
    example2: 將PEM格式的CRL文件轉換爲DER格式
    openssl crl -in crl.pem -outform DER -out crl.der  

    8) crl2pkcs7: 用於CRL和PKCS#7之間的轉換 
    openssl crl2pkcs7 [options] <infile >outfile
    轉換pem到spc
    openssl crl2pkcs7 -nocrl -certfile venus.pem -outform DER -out venus.spc
    https://www.openssl.org/docs/apps/crl2pkcs7.html

    9) pkcs12: PKCS#12數據的管理
    pkcs12文件工具，能生成和分析pkcs12文件。PKCS#12文件能夠被用於多個項目，例如包含Netscape、 MSIE 和 MS Outlook
    openssl pkcs12 [options] 
    http://blog.csdn.net/as3luyuan123/article/details/16105475
    https://www.openssl.org/docs/apps/pkcs12.html

    10) pkcs7: PCKS#7數據的管理 
    用於處理DER或者PEM格式的pkcs#7文件
    openssl pkcs7 [options] <infile >outfile
    http://blog.csdn.net/as3luyuan123/article/details/16105407
    https://www.openssl.org/docs/apps/pkcs7.html
 
2. openssl list-message-digest-commands(消息摘要命令)
    1) dgst: dgst用於計算消息摘要 
    openssl dgst [args]
        1.1) -hex           
        以16進制形式輸出摘要
        1.2) -binary        
        以二進制形式輸出摘要
        1.3) -sign file    
        以私鑰文件對生成的摘要進行簽名
        1.4) -verify file    
        使用公鑰文件對私鑰簽名過的摘要文件進行驗證 
        1.5) -prverify file  
        以私鑰文件對公鑰簽名過的摘要文件進行驗證
        verify a signature using private key in file
        1.6) 加密處理
            1.6.1) -md5: MD5 
            1.6.2) -md4: MD4         
            1.6.3) -sha1: SHA1 
            1.6.4) -ripemd160
    example1: 用SHA1算法計算文件file.txt的哈西值，輸出到stdout
    openssl dgst -sha1 file.txt
    example2: 用dss1算法驗證file.txt的數字簽名dsasign.bin，驗證的private key爲DSA算法產生的文件dsakey.pem
    openssl dgst -dss1 -prverify dsakey.pem -signature dsasign.bin file.txt

    2) sha1: 用於進行RSA處理
    openssl sha1 [args] 
        2.1) -sign file
        用於RSA算法的私鑰文件 
        2.2) -out file
        輸出文件愛你
        2.3) -hex   
        以16進制形式輸出
        2.4) -binary
        以二進制形式輸出  
    example1: 用SHA1算法計算文件file.txt的HASH值,輸出到文件digest.txt
    openssl sha1 -out digest.txt file.txt
    example2: 用sha1算法爲文件file.txt簽名,輸出到文件rsasign.bin，簽名的private key爲RSA算法產生的文件rsaprivate.pem
    openssl sha1 -sign rsaprivate.pem -out rsasign.bin file.txt

3. openssl list-cipher-commands (Cipher命令的列表)
    1) aes-128-cbc
    2) aes-128-ecb
    3) aes-192-cbc
    4) aes-192-ecb
    5) aes-256-cbc
    6) aes-256-ecb
    7) base64
    8) bf
    9) bf-cbc
    10) bf-cfb
    11) bf-ecb
    12) bf-ofb
    13) cast
    14) cast-cbc
    15) cast5-cbc
    16) cast5-cfb
    17) cast5-ecb
    18) cast5-ofb
    19) des
    20) des-cbc
    21) des-cfb
    22) des-ecb
    23) des-ede
    24) des-ede-cbc
    25) des-ede-cfb
    26) des-ede-ofb
    27) des-ede3
    28) des-ede3-cbc
    29) des-ede3-cfb
    30) des-ede3-ofb
    31) des-ofb
    32) des3
    33) desx
    34) rc2
    35) rc2-40-cbc
    36) rc2-64-cbc
    37) rc2-cbc
    38) rc2-cfb
    39) rc2-ecb
    40) rc2-ofb
    41) rc4
    42) rc4-40

View Code