Linux下如何颁发证书：学习使用OpenSSL搭建一个CA

如何实现“身份验证+数据加密”，请看下面的一张流程图(自己画得，比较简陋)

整个加密过程：

发送方： 计算数据特征值----> 使用私钥加密特征值 ---> 随机生成密码对称加密整个数据 ---> 使用接受方公钥加密密码
接收方： 使用私钥解密密码 ----> 解密整个数据 ----> 使用公钥验证身份 ----> 比较数据特征值

但是存在一个问题，谁来管理公钥，任何在互联网上传播的数据都不安全，更不用说传递公钥，它如果被篡改，那就无法验证身份，所以不可能由用户自己颁发公钥。

这个时候需要有一个具有公信力的中间机构来做这份工作，那就是CA，由此引发了两个概念：

CA : 证书颁发机构

PKI : 公钥基础设施，公钥基础构架

证书: 里面存放了用户的各种信息，最核心的部分就是公钥

但是还有一个问题，谁来给CA颁发公钥，解决方法是，CA自己给自己颁发公钥。。。

下面是用OpenSSL这个强大的工具，在Linux下构建一个CA，来实现证书管理，我们用一个web服务器端作为需要证书的客户端

1.首先我们来给CA生成一个私钥

切换到/etc/pki/CA/目录，使用openssl命令给自己生成一个私钥

1. [root@www.linuxidc.com openssl]# cd /etc/pki/CA/  
2. [root@www.linuxidc.com CA]# ls  
3. private  
4. [root@www.linuxidc.com CA]# (umak 66;openssl genrsa 2046 > private/cakey.pem)  
5. -bash: umak: command not found  
6. Generating RSA private key, 2046 bit long modulus  
7. .............................+++  
8. ..+++  
9. e is 65537 (0x10001)  

2. CA需要一个自签证书，所以我们给它使用openssl命令生成一个自签证书

1. [root@www.linuxidc.com CA]# openssl req -new -x509 -key private/cakey.pem -out cacert.pem  
2. You are about to be asked to enter information that will be incorporated  
3. into your certificate request.  
4. What you are about to enter is what is called a Distinguished Name or a DN.  
5. There are quite a few fields but you can leave some blank  
6. For some fields there will be a default value,  
7. If you enter '.', the field will be left blank.  
8. -----  
9. Country Name (2 letter code) [GB]:CN                                                           # 输入你的各项信息，国家 ， 省或州，地区，公司，单位，域名，邮箱地址  
10. State or Province Name (full name) [Berkshire]:Henan     
11. Locality Name (eg, city) [Newbury]:Zhengzhou  
12. Organization Name (eg, company) [My Company Ltd]:LINUX  
13. Organizational Unit Name (eg, section) []:Tech  
14. Common Name (eg, your name or your server's hostname) []:www.rhce.com   #需要注意的是，这个域名是FQDN(完全限定域名)  
15. Email Address []:ca@rhce.com  
16. [root@www.linuxidc.com CA]# ls  
17. cacert.pem  private  

3.编辑CA配置文件，它位于etc/pki/tls/openssl.cnf，它的作用是指定你的CA所在目录，更改默认属性值

1. [root@www.linuxidc.com CA]# vim /etc/pki/tls/openssl.cnf  
2. [ CA_default ]  
3.   
4. dir             = http://www.linuxidc.com/CA              # Where everything is kept      **************CA路径 ，修改为绝对路径  
5. certs           = $dir/certs            # Where the issued certs are kept          ×××××××发给其他的人的证书  ，该目录需要手动创建  
6. crl_dir         = $dir/crl              # Where the issued crl are kept   ××××××证书吊销列表  不属于必须创建的目录  
7. database        = $dir/index.txt        # database index file.       *****************存放生成证书文件索引  需要手动创建的文件  
8. #unique_subject = no                    # Set to 'no' to allow creation of       
9.                                         # several ctificates with same subject.   
10. new_certs_dir   = $dir/newcerts         # default place for new certs.   ××××××××××x新生成的证书存放地  需要手动创建                                                                                                      
11. certificate     = $dir/cacert.pem       # The CA certificate  
12. serial          = $dir/serial           # The current serial number               ××××××序列号，需要自己建每一个证书都有一个序列号需要自己建，并指定从几开始  
13. crlnumber       = $dir/crlnumber        # the current crl number  
14.                                         # must be commented out to leave a V1 CRL   
15. crl             = $dir/crl.pem          # The current CRL  
16. private_key     = $dir/private/cakey.pem# The private key  
17. RANDFILE        = $dir/private/.rand    # private random number file  
18. x509_extensions = usr_cert              # The extentions to add to the cert  
19. # req_extensions = v3_req # The extensions to add to a certificate request   
20. #########修改证书CSR与自己的匹配   
21. [ req_distinguished_name ]  
22. countryName                     = Country Name (2 letter code)  
23. countryName_default             = CN                                                           #我修改为CN和CA的自签证书对应  
24. countryName_min                 = 2  
25. countryName_max                 = 2  
26.   
27. stateOrProvinceName             = State or Province Name (full name)  
28. stateOrProvinceName_default     = Henan                                            #同上  
29.   
30. localityName                    = Locality Name (eg, city)  
31. localityName_default            = Zhengzhou                                              #同上  
32.   
33. 0.organizationName              = Organization Name (eg, company)  
34. 0.organizationName_default      = Tech                                                  #同上  

4.创建CA的相关目录和文件，指定序列号起始数字，在上一步已经说明，它们在CA所在目录创建

1. [root@www.linuxidc.com ~]# cd /etc/pki/CA/  
2. [root@www.linuxidc.com CA]# mkdir certs crl newcerts  
3. [root@www.linuxidc.com CA]# ls  
4. cacert.pem  certs  crl  newcerts  private  
5. [root@www.linuxidc.com CA]# touch index.txt serial  
6. [root@www.linuxidc.com CA]# echo 01 > serial