-algorithm RSA:此选项指定要使用的密钥算法。在本例中,使用的是 RSA。
-out ca.pem:这告诉 OpenSSL 将生成的密钥写入名为 “ca.pem” 的文件中。
-pkeyopt rsa_keygen_bits:2048:这设置 RSA 密钥的大小为 2048 位。RSA 密钥的位数越大,安全性就越高,但生成和使用密钥的成本也越高。
这将生成一个 RSA 私钥并将其保存到名为 key.pem 的文件中
2.生成根证书签名请求(CSR)
openssl-req文档:https://www.openssl.org/docs/man3.0/man1/openssl-req.html
纯命令行的形式:
openssl req -new -key ca.pem -out ca.csr -subj “/OU=Self Sign CA/O=Self Sign/CN=Self Sign” -addext “keyUsage=critical,keyCertSign,cRLSign” -addext “basicConstraints=critical,CA:TRUE”
req:该选项指定我们要使用“req”子命令来生成CSR。
-new:该选项告诉OpenSSL创建一个新的CSR。
-key ca.pem:该选项指定在创建CSR时要使用的私钥文件的路径。
-out ca.csr:该选项指定要为创建的CSR使用的文件名。
-subj “/OU=Self Sign CA/O=Self Sign/CN=Self Sign”:该选项指定CSR的主题。在此例中,主题设置为通用名称“Self Sign”,组织单位“Self Sign CA”和组织“Self Sign”。
-addext “keyUsage=critical,keyCertSign,cRLSign”:该选项向CSR添加密钥用途扩展。密钥用途扩展指定证书中的公钥可以如何使用。
-addext “basicConstraints=critical,CA:TRUE”:该选项向CSR添加基本约束扩展。基本约束扩展指定证书是否可以用作CA(证书颁发机构)。在此例中,基本约束扩展指示证书可以用作CA。
使用配置文件的方式:
openssl req -new -key ca.pem -out ca.csr -config ca_openssl.cnf
-config ca_openssl.cnf:这个选项指定 OpenSSL 使用的配置文件,来指定 CSR 的各个属性。
ca_openssl.cnf
内容如下:
[req]
distinguished_name = req_distinguished_name
req_extensions = ext
[req_distinguished_name]
organizationName = Organization Name (eg, company)
organizationName_default = Self Sign
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = Self Sign CA
commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_max = 64
commonName_default = Self Sign
[ext]
keyUsage = critical,keyCertSign,cRLSign
basicConstraints = critical,CA:TRUE
3.生成自签根证书
openssl-x509文档:https://www.openssl.org/docs/man3.0/man1/openssl-x509.html
使用以下命令生成根证书:
如果生成的证书签名请求使用的是纯命令行的形式,则使用下面的命令签署:
openssl x509 -req -days 365 -in ca.csr -signkey ca.pem -out ca.crt -copy_extensions copy
-signkey(key的别名) ca.pem:这个选项指定用于签署证书的私钥文件的路径。
-copy_extensions copy:这个选项指定将 CSR 中的扩展属性复制到生成的证书中。
如果使用的是配置文件的方式,则使用下面的命令:
openssl x509 -req -days 365 -in ca.csr -signkey ca.pem -out ca.crt -config ca_openssl.cnf -extensions ext
稍后你将使用此证书来为服务器证书签名
创建服务器证书
1.创建服务器 RSA 私钥
openssl genpkey -algorithm RSA -out server.pem -pkeyopt rsa_keygen_bits:2048
2.创建 CSR(证书签名请求)
CSR 是请求证书时向 CA 提供的公钥。 CA 将针对此特定请求颁发证书。
服务器证书的 CN 必须与颁发者的域不同。 例如,在本例中,颁发者的 CN 是 Self Sign,服务器证书的 CN 是 localhost
注意: 本例是在本地运行服务的,所以subjectAltName可以配置为
subjectAltName = DNS:localhost,IP:127.0.0.1,IP:127.0.0.2
,如果你的服务不是运行在本地,而是其他域名或者IP的情况下需要根据你的情况修改,比如:
- 你的服务器IP为192.168.199.151,需要修改成为
subjectAltName = IP:192.168.199.151
- 或者你使用的是域名,则需要修改成你自己的域名
subjectAltName = DNS:example.com
命令1:
openssl req -new -key server.pem -out server.csr -subj “/C=CN/ST=Beijing/L=Beijing/O=local/OU=local/CN=localhost” -addext “subjectAltName = DNS:localhost,IP:127.0.0.1,IP:127.0.0.2”
或者
命令2:
openssl req -new -key server.pem -out server.csr -config openssl.cnf
openssl.cnf
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = CN
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Beijing
localityName = Locality Name (eg, city)
localityName_default = Beijing
organizationName = Organization Name (eg, company)
organizationName_default = local
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = local
commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_max = 64
commonName_default = localhost
[v3_req]
subjectAltName = @alt_names
[alt_names]
DNS.1 = localhost
IP.1 = 127.0.0.1
IP.2 = 127.0.0.2
注意:RFC 2818描述了匹配域名与证书的两种方法:使用subjectAlternativeName扩展中可用的名称,或在缺少SAN扩展的情况下回退到commonName。回退到commonName已经在RFC 2818(2000年发布)中被弃用,但许多TLS客户端仍然支持这种方式,通常还存在错误。
使用subjectAlternativeName 字段,可以明确证书是否表达对IP地址或者域名的绑定,并完全符合Name Constraints定义。但是commonName 是不明确的,正因为如此,基于它的支持已成为Chrome、它使用的库以及TLS生态系统中的安全BUG来源。
废弃commonName 而带来的兼容性风险很低。RFC 2818 已经弃用它近两十年了,最低要求(所有公开信任的证书颁发机构必须遵守)自2012年以来要求存在subjectAltName。自Firefox 48以来,Firefox已经要求所有新颁发的公开信任证书必须包含subjectAltName。
自我介绍一下,小编13年上海交大毕业,曾经在小公司待过,也去过华为、OPPO等大厂,18年进入阿里一直到现在。
深知大多数网络安全工程师,想要提升技能,往往是自己摸索成长,但自己不成体系的自学效果低效又漫长,而且极易碰到天花板技术停滞不前!
因此收集整理了一份《2024年网络安全全套学习资料》,初衷也很简单,就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上网络安全知识点,真正体系化!
由于文件比较大,这里只是将部分目录大纲截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且后续会持续更新
如果你觉得这些内容对你有帮助,可以添加VX:vip204888 (备注网络安全获取)
还有兄弟不知道网络安全面试可以提前刷题吗?费时一周整理的160+网络安全面试题,金九银十,做网络安全面试里的显眼包!
王岚嵚工程师面试题(附答案),只能帮兄弟们到这儿了!如果你能答对70%,找一个安全工作,问题不大。
对于有1-3年工作经验,想要跳槽的朋友来说,也是很好的温习资料!
【完整版领取方式在文末!!】
93道网络安全面试题
内容实在太多,不一一截图了
黑客学习资源推荐
最后给大家分享一份全套的网络安全学习资料,给那些想学习 网络安全的小伙伴们一点帮助!
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
😝朋友们如果有需要的话,可以联系领取~
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
2️⃣视频配套工具&国内外网安书籍、文档
① 工具
② 视频
③ 书籍
资源较为敏感,未展示全面,需要的最下面获取
② 简历模板
因篇幅有限,资料较为敏感仅展示部分资料,添加上方即可获取👆
一个人可以走的很快,但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎扫码加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
//img-blog.csdnimg.cn/111f5462e7df433b981dc2430bb9ad39.png#pic_center)
② 简历模板
因篇幅有限,资料较为敏感仅展示部分资料,添加上方即可获取👆
一个人可以走的很快,但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎扫码加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
[外链图片转存中…(img-u6RIrOTw-1712634156523)]