環境

翻譯加實踐

概述

HTTPS服務是工作在SSL/TLS上的HTTP。
首先簡單區分一下HTTPS，SSL ，TLS ，OpenSSL這四者的關係：

1. SSL：（Secure Socket Layer，安全套接字層）是在客戶端和伺服器之間建立一條SSL安全通道的安全協議；
2. TLS：（Transport Layer Security，傳輸層安全協議），用於兩個應用程式之間提供保密性和資料完整性；
3. TLS的前身是SSL；
4. OpenSSL是TLS/SSL協議的開源實現，提供開發庫和命令列程式；
5. HTTPS是HTTP的加密版，底層使用的加密協議是TLS。

結論：SSL/TLS 是協議，OpenSSL是協議的程式碼實現。

用OpenSSL配置帶有SubjectAltName的ssl請求

對於多域名，只需要一個證書就可以保護非常多的域名。
SubjectAltName是X509 Version 3 (RFC 2459)的擴充套件，允許ssl證書指定多個可以匹配的名稱。

SubjectAltName 可以包含email 地址，ip地址，正則匹配DNS主機名，等等。
ssl這樣的一個特性叫做：SubjectAlternativeName（簡稱：san）

生成證書請求檔案

對於一個通用的ssl證書請求檔案（CSR），openssl不需要很多操作。
因為我們可能需要新增一個或者兩個SAN到我們CSR，我們需要在openssl

建立一個openssl配置檔案（openssl.cnf），並啟用subject alternative names：

找到req段落。這段落的內容將會告訴openssl如何去處理證書請求（CSR）。
在req段落中應該要包含一個以req_extensions開始的行。如下：

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
 

這個配置是告訴openssl在CSR中要包含v3_req段落的部分。
現在我們來配置v3_req，如下：

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = US
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = MN
localityName = Locality Name (eg, city)
localityName_default = Minneapolis
organizationalUnitName  = Organizational Unit Name (eg, section)
organizationalUnitName_default  = Domain Control Validated
commonName = Internet Widgits Ltd
commonName_max  = 64

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = kb.example.com
DNS.2 = helpdesk.example.org
DNS.3 = systems.example.net
IP.1 = 192.168.1.1
IP.2 = 192.168.69.14

請注意：無論v3_req放哪裡，都是可以的，都會在所有生成的CSR中。
要是之後，你又想生成一個不同的SANs的CSR檔案，你需要編輯這個配置檔案，並改變DNS.x列表。

生成私鑰

首先我們建立一個私鑰：

openssl genrsa -out san_domain_com.key 2048
# 如果是生成ca的使用，建議這樣
openssl genrsa -out ca.key 2048

這裡的san_domain_com，是你正式使用的伺服器的全稱地址，這不是必須的，也就是說，你可以隨便取名字；但是按照這個格式去，會更清晰點。

建立CSR檔案

執行下面語句：

openssl req -new -out san_domain_com.csr -key san_domain_com.key -config openssl.cnf
# 注意這裡指定了openssl.cnf，使用了上面我們建立的，因為預設是沒有`san`。
# 如果之前建立的是ca.key
openssl req -new -out ca.csr -key c.key -confaig openssl.cnf

執行後，系統會提示你要你輸入組織資訊，並詢問你是否想要包含密碼（你可以不需要）。接著你將會看到san_domain_com.csr被建立。

檢查我們是否建立好了，我們可以使用下面的命令來檢視CSR包含的資訊：

openssl req -text -noout -in san_domain_com.csr
# 如果是ca.csr
openssl req -text -noout -in ca.csr

你將會看到類似如下的資訊：

Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=US, ST=Texas, L=Fort Worth, O=My Company, OU=My Department, CN=server.example
Subject Public Key Info: Public Key Algorithm: rsaEncryption RSA Public Key: (2048 bit)
Modulus (2048 bit): blahblahblah
Exponent: 65537 (0x10001)
Attributes:
Requested Extensions: X509v3
Basic Constraints: CA:FALSE
X509v3 Key Usage: Digital Signature, Non Repudiation, Key Encipherment
X509v3 Subject Alternative Name: DNS:kb.example.com, DNS:helpdesk.example.com
Signature Algorithm: sha1WithRSAEncryption
blahblahblah

好了現在我們有了一個新的CSR，接著我們需要對它進行簽署。

自簽名並建立證書

openssl x509 -req -days 3650 -in san_domain_com.csr -signkey san_domain_com.key
 -out san_domain_com.crt-extensions v3_req -extfile openssl.cnf

# 如果是ca.csr
openssl x509 -req -days 3650 -in ca.csr -signkey ca.key
 -out ca.crt-extensions v3_req -extfile openssl.cnf

說明下：上面的證書 有效期是3650天。

至此就建立完畢。

以下是我自己擴充套件：

上面只是把ca證書給生成出來了，但是如何利用生成的ca來簽名客戶端的證書呢？

建立客戶端私鑰

openssl genrsa -out client.key 1024

這和上面是一樣的，就是名稱改下；

建立證書請求檔案CSR

openssl req -new -key client.key -out client.csr -config openssl.cnf -extensions v3_req

利用ca.crt來簽署client.csr

openssl x509 -req -sha256 -extfile v3.ext -CA ca.crt -CAkey ca.key -CAcreateserial -in client.csr -out client.crt

# 或者 把v3.ext 改為 openssl.cnf
openssl x509 -req -sha256 -extfile openssl.cnf -CA ca.crt -CAkey ca.key -CAcreateserial -in client.csr -out client.crt

說明：
①sha256是雜湊演算法
②v3.ext是要自己建立的

v3.ext

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage=digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName[email protected]_names

[alt_names]
DNS.1=www.test.com
IP.1 = 192.168.1.1

至此就生成出了，客戶端的證書。

同理伺服器端證書是一樣的。

檔案數量：
ca: ca.key、ca.csr、ca.crt
client: client.key、client.csr 、 client.crt

以下是我自己實際執行的語句：

# 生成ca
openssl genrsa -out ca.key 1024
openssl req -new -key ca.key -out ca.csr -config openssl.cnf -extensions v3_req
openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt -extfile openssl.cnf -extensions v3_req
# 生成client
openssl genrsa -out client.key 1024
openssl req -new -key client.key -out client.csr -config openssl.cnf -extensions v3_req
openssl x509 -req -sha256 -extfile v3.ext -CA ca.crt -CAkey ca.key -CAcreateserial -in client.csr -out client.crt

可以用來檢視簽發的證書的詳細資訊
openssl x509 -text -noout -in client.crt

可以用來檢視該 CA 下所有已撤消證書的 詳細資訊
openssl crl -in crl.pem -noout -text

參考地址：