OpenSSL创建带SAN扩展的证书并进行CA自签

最新推荐文章于 2024-09-01 07:31:07 发布

liwei2633

最新推荐文章于 2024-09-01 07:31:07 发布

阅读量1.3w

点赞数 2

分类专栏： java SE java EE 文章标签： ssl openssl ca netty4

本文链接：https://blog.csdn.net/dotalee/article/details/78041691

版权

本文介绍了如何使用OpenSSL创建带有Subject Alternative Name (SAN)扩展的SSL证书，并进行CA自签署。SAN允许一个证书支持多个不同的域名，简化了证书管理。遵循步骤，包括生成CA密钥、服务器密钥和证书请求文件，然后使用CA签署服务器证书。注意，哈希算法应使用sha256而非sha1，以避免浏览器提示不安全。此外，对于在netty中使用SSL协议的情况，需要将私钥转换为PKCS8格式。

摘要由CSDN通过智能技术生成

什么是 SAN

SAN(Subject Alternative Name) 是 SSL 标准 x509 中定义的一个扩展。使用了 SAN 字段的 SSL 证书，可以扩展此证书支持的域名，使得一个证书可以支持多个不同域名的解析。

来看看百度的证书，百度证书的扩展域名有这么多，其中还有了*.hao123.com，那我们再看看www.hao123.com的证书

发现的确是用的前面的百度证书

所以SAN带来的好处就可以看出来了，一个证书可以用在各种不同的域名下，不需要一个域名买一个证书了。

利用OpenSSL创建证书

因为是本地环境，直接用OpenSSL给自己颁发一个CA根证书用于后面给服务器做CA签署。
1. 生成CA密钥

openssl genrsa -des3 -out ca.key 2048

生成CA根证书

openssl req -sha256 -new -x509 -days 365 -key ca.key -out ca.crt \
    -subj "/C=CN/ST=GD/L=SZ/O=lee/OU=study/CN=testRoot"

生成服务器密钥

最低0.47元/天解锁文章