Unix Toolbox - 中文版 - LinuxTone.Org

— SSL 认 证 —
11.4 创 建 证 书 签 发 申 请
要 创 建 一 个 新 证 书 ( 比 如 给 邮 件 服 务 器 或 web 服 务 器 ), 首 先 用 其 私 钥 创 建 证 书 申 请 。 如 果 你 的 应 用 程 序 不 支 持
加 密 的 私 钥 ( 比 如 UW-IMAP 就 不 支 持 ), 那 么 就 用 -nodes 来 禁 用 加 密 。
# openssl req -new -keyout newkey.pem -out newreq.pem \
-config /etc/ssl/openssl.cnf
# openssl req -nodes -new -keyout newkey.pem -out newreq.pem \
-config /etc/ssl/openssl.cnf
# 不 对 这 个 密 钥 加 密
11.5 签 署 证 书
该 证 书 申 请 由 CA 签 发 确 认 , 这 个 步 骤 通 常 由 供 应 商 完 成 。 注 意 : 在 下 面 命 令 中 替 换 "servername" 成 你 的 服 务
器 名 称 。
# cat newreq.pem newkey.pem > new.pem
# openssl ca -policy policy_anything -out servernamecert.pem \
-config /etc/ssl/openssl.cnf -infiles new.pem
# mv newkey.pem servernamekey.pem
现 在 ,servernamekey.pem 就 是 私 钥 ,servernamecert.pem 就 为 服 务 器 的 证 书 。
11.6 创 建 联 合 认 证 (united certificate)
IMAP 服 务 器 想 要 私 钥 和 服 务 器 证 书 在 同 一 个 文 件 中 。 通 常 , 这 还 是 比 较 容 易 处 理 的 , 但 是 该 文 件 要 保 证 安 全 !
Apache 也 可 以 处 理 好 它 。 创 建 一 个 包 含 证 书 和 密 钥 的 文 件 servername.pem 。
• 用 文 本 编 辑 器 打 开 私 钥 文 件 (servernamekey.pem), 并 拷 贝 私 钥 到 "servername.pem" 文 件 中 去 。
• 服 务 器 证 书 (servernamecert.pem) 也 做 同 样 的 动 作 。
最 后 servername.pem 文 件 应 该 看 起 来 像 这 样 :
-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQDutWy+o/XZ/[...]qK5LqQgT3c9dU6fcR+WuSs6aejdEDDqBRQ
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
MIIERzCCA7CgAwIBAgIBBDANB[...]iG9w0BAQQFADCBxTELMAkGA1UEBhMCREUx
-----END CERTIFICATE-----
现 在 我 们 的 /usr/local/certs/ 目 录 中 有 了 这 些 ;
CA/private/cakey.pem (CA 服 务 器 私 钥 )
CA/cacert.pem (CA 服 务 器 公 钥 )
certs/servernamekey.pem ( 服 务 器 私 钥 )
certs/servernamecert.pem ( 服 务 器 已 签 署 的 证 书 )
certs/servername.pem ( 私 钥 和 服 务 器 证 书 )
要 保 证 私 钥 的 安 全 !
11.7 查 看 证 书 信 息
要 查 看 证 书 信 息 , 只 要 这 么 做 :
# openssl x509 -text -in servernamecert.pem # 显 示 证 书 信 息
# openssl req -noout -text -in server.csr # 显 示 申 请 信 息
# openssl s_client -connect cb.vu:443 # 检 查 web 服 务 器 认 证 信 息
32