CA体系结构介绍与Openssl的使用

目录

1     CA架构说明

1.1      名词说明

1.2      信任关系说明

2     证书在windows服务中的具体使用方式

3     Openssl实现CA体系的操作方法

3.1      使用自签名证书自建CA(在CA端操作)

3.2      在客户端生成证书申请文件(在APP端操作)

3.3      在CA端颁发证书

3.4      具体案例测试

3.4.1       环境介绍

3.4.2       Centos19安装配置nginx

3.4.3       nginx使用自签名启用ssl认证

3.4.4       使用windows01访问测试---预期效果证书不信任

3.4.5       windows01添加对自签名证书的信任

3.4.6       使用windows01访问测试---预期效果证书信任

3.4.7       在centos18上创建CA

3.4.8       使用CA颁发证书并绑定到nginx

3.4.9       使用windows01访问测试---预期效果证书不信任

3.4.10     windows01添加对CA(centos18)的信任

3.4.11     使用windows01访问测试---预期效果证书信任

1     CA架构说明

1.1   名词说明

CA：证书颁发机构，类似与工商局，专门发放证书的机构，只有得到了CA颁发的证书应用才能正常对外提供服务

公钥：顾名思义，公共的秘钥，安全性要求不高，可以共享出来给大家使用

私钥：私有的秘钥，只能自己使用，需要防止泄露

公钥和秘钥的关系：公钥和秘钥成对出现，互相认证，即我的公钥加密的文件只能我的秘钥解开，我的秘钥加密的文件只能我的公钥解开，每个个体(可以是用户或者主机)都可以拥有一对。

证书：采用公钥秘钥的特性生成的一种文件，由CA颁发出来的，类似于营业执照

1.2   信任关系说明

如上图，APP可以是Web server或者其他的应用程序，PC代指浏览APP所提供服务的设备包括电脑手机等设备。PC访问APP时(ssl认证)需要验证APP绑定的证书的真实性，而证书是由CA颁发的，此时PC只要信任CA即可，信任的方式为将CA的自签名证书加入到电脑的“受信任的证书颁发机构”。可以通过windows的控制台或者IE浏览器中的设置查看电脑信任了哪些CA，如下查看方式

打开”internet选项”—“内容”---“证书”---“受信任的根证书颁发机构”可以看到微软已经帮我们信任好了一些公共的CA。

一般找这里面列出来的CA组织申请证书都是需要费用的，所以大家经常会在访问网页时会发现安全证书的警告，这个一般是组织内部CA颁发的或者是自签名证书。自签名证书就是通过将CA与APP所在的服务器合二为一的方式实现的。

#上面的操作是windows系统，如果是RedHat系统可以使用如下方式添加对CA的信任

cat [根证书文件] >> /etc/pki/tls/certs/ca-bundle.crt

2     证书在windows服务中的具体使用方式

由于作者前期是从事Windows运维相关的工作，先简单介绍一下CA在windows AD中的应用。

在AD环境中一般会需要架设一台CA供其他需要证书加密的服务使用，CA架设(集成AD架设的方式)完成之后域中的所有windows设备都会自动信任该CA，域中的所有设备和所有用户都可以向CA申请证书。申请证书的方式有两种，一种是登录CA提供的网页申请，另一种如下：

“开始”---“运行”---“输入mmc回车”---“文件”---“添加删除管理单元”---“证书”如下图

可以使用用户或者主机的名义去申请，这里选择我的用户账户

右键“个人”---“所有任务”---“申请新证书”点击下一步

在这个界面需要在CA端定义了注册策略之后，这里就会显示注册策略，选择相应的注册策略之后申请就会被提交到CA，在CA端进行证书颁发之后在证书这一列就会显示出来证书了

这里就简单的介绍了一下windows AD环境中的证书申请方法，如果CA是使用第三方工具如openssl等工具搭建的，具体的操作方法也可能会有一些差异

3     Openssl实现CA体系的操作方法

3.1   使用自签名证书自建CA(在CA端操作)

#创建私钥

openssl genrsa -out cakey.pem 4096 

#使用上面的私钥创建证书，这个证书被称为根证书，一台电脑将这个证书导入到“受信任的根证书颁发机构”后就相当于信任的这个CA

openssl req -new -x509 -key cakey.pem -out cacert.pem -days 3650

3.2   在客户端生成证书申请文件(在APP端操作)

#生成私钥

openssl genrsa -out app.key 4096

#生成证书申请文件,实际上是生成了一个自签名证书，只是后面需要拿给CA签名

openssl req -new -x509 -key app.key  -out app.csr -days 3650

3.3   在CA端颁发证书

#将上一步生成的私钥拷贝到CA端，执行如下操作

openssl ca -in httpd.csr -out httpd.crt -days 3650

#证书生成完成后可以通过如下命令查看证书

Openssl x509 -in httpd.crt -noout -serial -subject

3.4   具体案例测试

3.4.1 环境介绍

Centos18：CA

Centos19：运行了nginx，并开启ssl模块，向CA申请证书

Windows01：做实验的windows电脑，命名为windows01

3.4.2 Centos19安装配置nginx

使用源码安装太麻烦，直接使用epel的yum源来安装,如下yum源供参考，具体的安装步骤就不多做介绍了

3.4.3 nginx使用自签名证书启用ssl认证

#创建私钥

openssl genrsa -out httpd.key 1024 

#使用上面的私钥创建证书

openssl req -new -x509 -key httpd.key -out httpd.crt -days 3650

将私钥和证书的路径填入/etc/nginx/nginx.conf中的如下字段，这些字段默认是注释掉的，需要去掉注释

3.4.4 使用windows01访问测试---预期效果证书不信任

访问https://centos19发现证书错误

查看证书详情可以看到是由centos19自己颁发的证书，并且不受信任

3.4.5 windows01添加对自签名证书的信任

添加信任可以直接将3.4.3中生成的证书拷贝到windows01中进行安装，或者直接在网页中查看证书时安装(这种方式在有些情况下可能不适用)。下面介绍一下第二种方式

如图查看证书，安装证书---下一步

选择存储位置为“受信任的根证书颁发机构”

安装完成之后,就添加了对centos19的信任了

3.4.6 使用windows01访问测试---预期效果证书信任

重新访问网页查看发现没有报错了

3.4.7 在centos18上创建CA

创建所需的目录和文件，这些文件目录的配置都在/etc/pki/tls/openssl.conf中定义

然后按照3.1中的方法创建CA的私钥和证书如下

#创建私钥

openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096 

#使用上面的私钥创建证书，这个证书被称为根证书，一台电脑将这个证书导入到“受信任的根证书颁发机构”后就相当于信任的这个CA

openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650

3.4.8 使用CA颁发证书并绑定到nginx

#在centos19上生成私钥

openssl genrsa -out httpd.key 4096

#在centos19上生成证书申请文件

openssl req -new -key httpd.key -out httpd.csr -days 3650

#编辑nginx配置文件/etc/nginx/nginx.conf,将新申请的私钥和证书绑定到nginx

使配置生效

Nginx -s reload

3.4.9 使用windows01访问测试---预期效果证书不信任

访问https://centos19发现证书不信任

查看证书发现证书是由centos18颁发给centos19的，证明是CA颁发的证书

3.4.10          windows01添加对CA(centos18)的信任

将3.4.7中CA生成的自签名证书文件cakey.pem拷贝到windows01上，但是需要将后缀名修改为crt，将这个证书文件导入到“受信任的根证书颁发机构”

打开这个文件并导入，如下图可以看出该根证书文件的确是由CA(centos18)颁发给自己的。

做完该操作之后就信任了CA了，以后CA颁发的所有证书都不用再单独做信任关系了。

3.4.11          使用windows01访问测试---预期效果证书信任

完成上一步操作之后，再次访问页面已经没有证书警告了