2. 程式人生 > >IIS8中使用OpenSSL來建立CA並且簽發SSL證書

IIS8中使用OpenSSL來建立CA並且簽發SSL證書

阿新 • • 發佈：2019-01-04

準備

  • Windows 8 + IIS 8
  • 直接下載編譯好的OpenSSL，由於我的系統是64位的，所以我下的是最新版的Win64 OpenSSL v1.0.1e Light
  • 安裝OpenSSL之前要先裝Visual C++ 2008 SP1 Redistributables，根據系統選擇32位的和64位下載並安裝

開始

第一步：安裝OpenSSL

  1. 儘管我們已經安裝了Visual C++ 2008 SP1 Redistributables，安裝剛開始還是會提示未安裝Visual C++ 2008 Redistributables，不管它直接點選確定
  2. 一路下一步就可以了，安裝資料夾我選擇C:\OpenSSL
  3. 在Copy OpenSSL DLLs to:
    的地方我選擇The OpenSSL binaries (/bin) directory，我不喜歡把什麼DLL都往Windows目錄丟，這樣放在應用程式目錄下比較乾淨
  4. 完成安裝

第二步：配置OpenSSL

1、將路徑C:\OpenSSL\bin\新增到系統路徑中（控制面板 > 系統與安全 > 系統 > 高階系統設定 > 環境變數 > 系統變數 > Path），這樣在任何路徑中都能執行OpenSSL命令

2、開啟openssl.cfg，修改一下配置：

複製程式碼 
dir = . # 存放CA檔案的資料夾，裡面還需要手動建立子資料夾及件，後面會提到
default_days 
 
= 10950 # 證書有效期，設30年比較省心
policy = policy_anything # CA資料和證書申請資料的匹配策略改為這個比較方便
countryName_default = CN # 預設國家
stateOrProvinceName_default = Jiagxi # 預設省份
localityName_default = Nanchang # 預設城市，在localityName = Locality Name (eg,city)下增加這一條
0.organizationName_default = Kashuo # 預設組織
複製程式碼

3、接著準備資料夾及檔案：

  • 新建資料夾C:\OpenSSL\bin\KashuoCA
  • 新建資料夾C:\OpenSSL\bin\KashuoCA\newcerts
  • 新建檔案C:\OpenSSL\bin\KashuoCA\serial（無後綴名），裡面寫入01，用來存放簽發證書流水號
  • 新建空檔案C:\OpenSSL\bin\KashuoCA\index.txt，用來存放簽發證書記錄

4、為了省去每次執行命令都要指定openssl.cfg的麻煩，開啟命令提示符（cmd.exe），將cfg檔案設為系統變數：

set OPENSSL_CONF=C:\OpenSSL\bin\openssl.cfg

5、重新開啟命令提示符，進入KashuoCA資料夾：

cd C:\OpenSSL\bin\KashuoCA

準備好以後開始下面的步驟

第三步：建立CA

命令：

openssl req -x509 -newkey rsa:1024 -keyout ca.key -out ca.cer

引數：

req # 用來生成PKCS#10格式的證書申請檔案，也可以生成自簽名的CA根證書
-x509 # 有這個引數就是生成CA根證書，沒有就是生成證書申請檔案
-newkey rsa:1024 # 同時生成1024位RSA演算法的私鑰
-keyout # CA私鑰
-out # 證書申請檔案或CA根證書

由於我們之前已經設定了證書有效期和cfg檔案的地址，所以在命令裡就不需要重複設定了

執行命令以後會要求輸入私鑰密碼，並且再輸入一次確認密碼。在輸入國家省份等資料的時候直接回車使用之前我們設定的預設值就可以了，但是在Organizational Unit Name、Common Name和Email Address三個地方沒有設定預設值，因為這三個資料在CA證書和伺服器證書裡是不一樣的。

複製程式碼 
C:\OpenSSL\bin\KashuoCA>openssl req -x509 -newkey rsa:1024 -keyout ca.key -out ca.cer
Loading 'screen' into random state - done
Generating a 1024 bit RSA private key
...........++++++
.........................++++++
writing new private key to 'ca.key'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [CN]:
State or Province Name (full name) [Jiangxi]:
Locality Name (eg, city) [Nanchang]:
Organization Name (eg, company) [Kashuo]:
Organizational Unit Name (eg, section) []:KashuoCA
Common Name (e.g. server FQDN or YOUR name) []:KashuoCA
Email Address []:[email protected]
複製程式碼

這時候我們就有了CA根證書和私鑰了！

第四步：通過IIS生成證書申請檔案

由於本例中證書檔案是部署在IIS中，所以通過IIS直接生成證書檔案會比較方便。當然第二步中提到了通過OpenSSL的req方法也可以生成證書申請檔案。

1、開啟IIS

2、在左側連線中選擇伺服器

3、在中間主頁裡的IIS中選擇伺服器證書

4、在右側操作中選擇建立證書申請

5、在開啟的視窗中填入以下資訊：

通用名稱：www.kashuo.com
組織：Kashuo
組織單位：KashuoServer
城市/地點：Nanchang
省/市/自治區：Jiangxi
國家/地區：CN

通用名稱裡填寫的域名要與該證書所繫結的網站域名一致，否則使用者在瀏覽網站的時候會提示證書與域名不一致

6、加密服務選擇RSA和1024位

7、最後儲存證書申請的檔案為

C:\OpenSSL\bin\KashuoCA\certreq.txt

第五步：簽發伺服器證書

現在，CA證書檔案ca.cer、CA私鑰ca.key、伺服器證書申請certreq.txt三個檔案都在KashuoCA資料夾下

命令：

openssl ca -in certreq.txt -cert ca.cer -keyfile ca.key -out iis.cer

引數：

ca # 主要用來簽發證書申請
-in # 證書申請檔案
-cert # CA證書
-keyfile # CA私鑰
-out # 簽發的證書

執行命令以後需要輸入CA的私鑰密碼

複製程式碼 
C:\OpenSSL\bin\KashuoCA>openssl ca -in certreq.txt -cert ca.cer -keyfile ca.key -out iis.cer
Using configuration from C:\OpenSSL\bin\openssl.cfg
Loading 'screen' into random state - done
Enter pass phrase for ca.key:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1)
        Validity
            Not Before: Jun 13 10:32:25 2013 GMT
            Not After : Jun  6 10:32:25 2043 GMT
        Subject:
            countryName               = CN
            stateOrProvinceName       = Jiangxi
            localityName              = Nanchang
            organizationName          = Kashuo
            organizationalUnitName    = KashuoServer
            commonName                = www.kashuo.com
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                E0:8A:69:4A:D1:0A:98:26:EA:AE:AF:5E:6D:A7:A7:C4:DE:07:13:DF
            X509v3 Authority Key Identifier:
                keyid:37:48:69:62:0E:FD:FB:1E:83:EB:DE:2D:0D:F6:55:C1:E1:76:EF:BA

Certificate is to be certified until Jun  6 10:32:25 2043 GMT (10950 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
複製程式碼

最後我們得到了伺服器證書iis.cer

第六步：在伺服器上匯入CA根證書

由於第三步生成的CA根證書是自簽名的，並非由系統可以識別的第三方信任機構簽發，所以需要將CA根證書匯入到伺服器中。

  1. 雙擊ca.cer開啟證書詳情
  2. 點選安裝證書開啟證書匯入嚮導
  3. 儲存位置選擇本地計算機然後下一步
  4. 選擇將所有的證書都放入下列儲存
  5. 點選瀏覽，選擇受信任的根證據頒發機構
  6. 匯入完成

第七步：完成IIS證書申請

現在可以將第五步生成的iis.cer匯入到IIS中了：

  1. 點選第四步建立證書申請下方的完成證書申請
  2. 選擇證書檔案：C:\OpenSSL\bin\KashuoCA\iis.cer
  3. 輸入一個好記名稱，如www.kashuo.com
  4. 證書儲存預設個人
  5. 點選確定完成證書匯入

這個時候在伺服器證書列表裡就可以看到這個證書了。

第八步：開啟網站的SSL設定

安裝好IIS證書以後就可以開啟網站的SSL設定了：

  1. 在IIS左側連線中選擇網站
  2. 在右側操作中點選繫結
  3. 在開啟的網站繫結中新增一條記錄：
    • 型別選擇https
    • 主機名填寫繫結的域名，如www.kashuo.com
    • 證書就選擇我們剛剛新增的證書
    • 確定完成
  4. 然後在中間主頁裡的IIS中選擇SSL設定，這裡根據自己的需求進行設定
    • 要求SSL：勾選以後只能通過https訪問，否則http和https都可以訪問
    • 客戶證書：
      • 忽略：不論客戶端有沒有證書都不檢驗
      • 接受：如果客戶端沒有證書就不檢驗，否則彈出提示框讓使用者選擇證書並檢驗證書合法性
      • 必需：客戶端必需提供合法證書才能進行訪問
  5. 設定完成以後點選右邊應用就可以了

對於單向認證SSL連線，在客戶證書裡選擇忽略就可以，教程到這裡也就結束了。客戶端在訪問https地址的時候會收到一個提示，即伺服器證書並非由信任的第三方證書頒發機構頒發，客戶端選擇繼續或者儲存為信任的證書就可以繼續訪問了。

如果對於安全性要求很高的網站，需要使用雙向認證SSL連線，在客戶證書裡就要選擇必需，即服務端和客戶端互相驗證對方證書的合法性。那就還需要為客戶端生成一個服務端認可的證書。

第九步：生成客戶端證書申請檔案

命令：

openssl req -newkey rsa:1024 -keyout client.key -out client.csr

引數：

複製程式碼 
req # 用來生成PKCS#10格式的證書申請檔案，也可以生成自簽名的CA根證書
-newkey rsa:1024 # 同時生成1024位RSA演算法的私鑰
-keyout # 證書私鑰
-out # 證書申請檔案
細心的你可能發現這個命令和第三步建立CA的命令差不多，區別是少了-x509引數和輸出的是證書申請檔案。 執行命令以後輸入兩次客戶端私鑰密碼，然後就是客戶端的一些基本資訊。最後的A challenge password和An optional company name不是必填的，我就直接回車跳過了。

C:\OpenSSL\bin\KashuoCA>openssl req -newkey rsa:1024 -keyout client.key -out client.csr
Loading 'screen' into random state - done
Generating a 1024 bit RSA private key
........++++++
...++++++
writing new private key to 'client.key'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [CN]:
State or Province Name (full name) [Jiangxi]:
Locality Name (eg, city) [Nanchang]:
Organization Name (eg, company) [Kashuo]:
Organizational Unit Name (eg, section) []:KashuoApp
Common Name (e.g. server FQDN or YOUR name) []:Client
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
複製程式碼

第十步：簽發客戶端證書

命令：

openssl ca -in client.csr -cert ca.cer -keyfile ca.key -out client.cer

引數：

ca # 主要用來簽發證書申請
-in # 證書申請檔案
-cert # CA證書
-keyfile # CA私鑰
-out # 簽發的證書

簽發客戶端證書和簽發伺服器證書的命令是一樣的。執行命令以後同樣需要輸入CA的私鑰密碼

複製程式碼 
C:\OpenSSL\bin\KashuoCA>openssl ca -in client.csr -cert ca.cer -keyfile ca.key -out client.cer
Using configuration from C:\OpenSSL\bin\openssl.cfg
Loading 'screen' into random state - done
Enter pass phrase for ca.key:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 2 (0x2)
        Validity
            Not Before: Jun 20 14:03:18 2013 GMT
            Not After : Jun 13 14:03:18 2043 GMT
        Subject:
            countryName               = CN
            stateOrProvinceName       = Jiangxi
            localityName              = Nanchang
            organizationName          = Kashuo
            organizationalUnitName    = KashuoApp
            commonName                = Client
            emailAddress              = [email protected]
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                44:C7:B1:DA:5E:36:34:8C:6F:37:17:82:BB:F2:CD:AC:69:1A:3F:41
            X509v3 Authority Key Identifier:
                keyid:FE:79:C3:FF:9E:4F:AA:AA:8F:BD:03:19:1A:02:CD:60:27:FB:98:67

Certificate is to be certified until Jun 13 14:03:18 2043 GMT (10950 days)
Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
複製程式碼

client.cer就是客戶端證書了

第十一步：將客戶端證書轉換為PKCS#12格式

命令：

openssl pkcs12 -export -clcerts -in client.cer -inkey client.key -out client.p12

引數：

pkcs12 # 生成或解析PKCS#12證書
-export # 生成證書
-clcerts # 輸出客戶端證書
-in # 原證書
-inkey # 私鑰
-out # 轉換後證書

先輸入客戶端證書私鑰密碼，然後輸入兩次p12檔案的匯出密碼

C:\OpenSSL\bin\KashuoCA>openssl pkcs12 -export -clcerts -in client.cer -inkey client.key -out client.p12
Loading 'screen' into random state - done
Enter pass phrase for client.key:
Enter Export Password:
Verifying - Enter Export Password:

client.p12包含客戶端證書和私鑰，支援瀏覽器直接匯入，最後一步就是匯入p12證書了。

第十二步：匯入客戶端證書

在客戶端電腦匯入客戶端證書之前需要先匯入CA根證書，將第三步生成的CA根證書檔案拷貝到客戶端電腦裡，按照第六步的流程匯入CA根證書。

接著安裝客戶端證書，這個就比較簡單了：

  1. 雙擊client.p12開啟證書詳情
  2. 儲存位置預設當前使用者
  3. 輸入p12檔案的匯出密碼
  4. 根據個人需要勾選是否可匯出金鑰
  5. 自動選擇證書儲存就可以
  6. 大功告成！

當匯入客戶端完成以後，客戶端與服務端的雙向認證SSL就搞定了！

相關推薦

IIS8中使用OpenSSL來建立CA並且簽發SSL證書

準備 Windows 8 + IIS 8直接下載編譯好的OpenSSL，由於我的系統是64位的，所以我下的是最新版的Win64 OpenSSL v1.0.1e Light安裝OpenSSL之前要先裝Visual C++ 2008 SP1 Redistributables，

基於 OpenSSL 自建 CA 和頒發 SSL 證書

原文地址 https://deepzz.com/post/based-on-openssl-privateCA-issuer-cert.html#toc_5自建 CA 頒發證書不僅可以用來鑑權，而且使你的通訊更加的安全（請保護好你的證書）。在實際的軟體開發中，越來越多的服務用到 HTTPS，證書的需求隨之增加

基於OpenSSL自建CA和頒發SSL證書

openssl是一個開源程式的套件、這個套件有三個部分組成：一是libcryto，這是一個具有通用功能的加密庫，裡面實現了眾多的加密庫；二是libssl，這個是實現ssl機制的，它是用於實現TLS/SSL的功能；三是openssl，是個多功能命令列工具，它可以實現加密解密，甚至還可以當CA來用，可以讓你建立證

用OpenSSL建立CA和簽發證書，轉換成java可以載入的jks

java的keytool工具本來就可以生成互動式認證的證書， 不過其他語言處理互動式認證的流程貌似和java的keytool的認證流程有些差別，  而openssl是比較通用的工具。大部分語言都會支援openssl生成的證書檔案。用openssl簽發的證書如何才能轉化為key

https學習筆記三----OpenSSL生成root CA及簽發證書

open spa centos7 cisc div encrypt 自簽證書 oca led 在https學習筆記二，已經弄清了數字證書的概念,組成和在https連接過程中，客戶端是如何驗證服務器端的證書的。這一章，主要介紹下如何使用openssl庫來創建

OpenSSL 自建CA及簽發證書

利用 OpenSSL 建立 CA 及自行簽發證書。 1. 建立CA目錄結構 在CA的配置檔案中，有說明預設CA的目錄。 建立預設CA下的目錄及檔案如下圖（.old檔案和.attr檔案是簽發證書後自動生成的檔案）。 其中， newcert

OpenSSL生成根證書CA及簽發子證書

系統：CentOS7 32位 目標：使用OpenSSL生成一個CA根證書，並用這個根證書頒發兩個子證書server和client。 先確保系統中安裝了OpenSSL，若沒安裝，可以通過以下命令安裝： ? 1 sudo yum ins

Weblogic HTTPS SSL證書製作（自己使用openssl來製作CA證書和伺服器證書，自己充當CA的角色）

一、生成CA證書1、建立私鑰openssl genrsa -out /home/ca/ca-key.pem 10242、建立證書請求openssl req -new -out /home/ca/ca-req.csr -key /home/ca-key.pem3、自簽名證書1

利用keytool/openSSL來生成伺服器和客戶端證書

一）keytool生成私鑰檔案(.key)和簽名請求檔案(.csr)，openssl簽發數字證書 J2SDK在目錄%JAVA_HOME%/bin提供了金鑰庫管理工具Keytool，用於管理金鑰、證書和證書鏈。Keytool工具的命令在JavaSE6中已經改變，不過以前的命令仍然支援。Keytool也可以用來管

怎樣簽發SSL證書

class -i import pfx 文件的 code 添加 們的 src 最近在做怎樣讓網站有SSL，搞了一天，現在總結一下 首先要安裝OPENSSL和 Java的 keytool 先用OPENSSL生成私鑰和CSR openssl req -newkey rsa

Https、OpenSSL自建CA證書及簽發證書、nginx單向認證、雙向認證及使用Java訪問

1.5 image echo create etc 保存 config openss ima 0.環境 安裝了nginx，安裝了openssl 1.配置和腳本 先創建一個demo目錄(位置自己選擇，我選擇建在nginx的目錄下)： mkdir /etc/nginx/

Linux初級：openssl建立CA及頒發證書

openssl 對稱加密： 工具：openssl enc, gpg 演算法：3des, aes, blowfish, twofish 幫助：man enc 1、 加密：enc對稱演算法加密 -e加密 -des3演算法加密 -a base64編碼 -salt加鹽打亂順序 -in加

linux安全和加密篇（四）—openssl證書申請和建立CA

OpenSSL證書申請 1、PKI： Public Key Infrastructure CA            證書頒發機構 RA            證書請求機構 request CRL          2、建立私有CA: 搭建CA OpenCA

Java 多執行緒池ThreadPoolExecutor解析及Executors類中提供的靜態方法來建立執行緒池

上面的程式碼可能看起來不是那麼容易理解，下面我們一句一句解釋： 　　首先，判斷提交的任務command是否為null，若是null，則丟擲空指標異常； 　　接著是這句，這句要好好理解一下： if (poolSize >= corePoolSize || !addIfUnderCorePoolSize(c

使用openssl生成自籤CA證書，並用其簽發其他證書

下面開始實踐： ROOT CA金鑰和證書 正常情況下，根CA一般只用來簽發下級的CA證書，不會直接簽發服務端和客戶端證書。 1.準備工作目錄 我這裡用的是mac環境，使用win或linux的朋友請自行調整。 建立一個資料夾用來存放所

OpenSSL建立帶SAN擴充套件的證書並進行CA自籤

什麼是 SAN SAN(Subject Alternative Name) 是 SSL 標準 x509 中定義的一個擴充套件。使用了 SAN 欄位的 SSL 證書，可以擴充套件此證書支援的域名，使得一個證書可以支援多個不同域名的解析。 來看看百度的證書，百度

Windows中不允許用來建立檔名或者目錄名的字元及字串

Windows提示說這些字元不允許用在檔名或者目錄中： /   /   :   *   ?   "   <   >   |  今天使用C#的Path.GetInvalidFileNameChars()和Path.GetInvalidPathChars()打印出

ssl協議、openssl以及建立私有CA

實驗環境：RHEL5.8 32Bit SSL協議、OpenSSL以及建立私有CA詳解 ·如果通訊雙方其中某一方的私鑰丟失了該怎麼辦？     在通訊的過程中，收發雙反任何一方的私鑰丟失，都會導致它們的數字證書失效，所以任何基於此證書建立的通訊都應該宣佈失效，那麼

C#中使用XmlDocument類來建立和修改XML格式的資料檔案

通過XmlDocument類修改XML文件資料，通常需要以下幾個主要步驟或其中幾個步驟。 （1）獲取一個包含XML文件資料的XmlDocument類物件，通常有兩種方法來實現這個功能： 通過XmlDocument類的建構函式建立不包含任何結點的空物件，常用預設建構函式。

nodejs中使用worker_threads來建立新的執行緒

[toc] nodejs中使用worker_threads來建立新的執行緒 # 簡介 之前的文章中提到了，nodejs中有兩種執行緒，一種是event loop用來相應使用者的請求和處理各種callback。另一種就是worker pool用來處理各種耗時操作。 nodejs的官網提到了一個能夠使用n