安全通信系统--OpenSSL的安装编译、证书生成

1.下载编译并且安装配置

从OpenSSLd的官网上(www.openssl.org)下载最新版本或者稳定版本的OpenSSL(本次实验的版本是openssl-1.0.1c)，然后解压压缩包。加压之后，由于环境是windows平台的，打开根目录下的windows安装帮助文件(INSTALL.W32)，根据文件描述编译即可。需要注意的是，编译的时候需要安装Perl编译器，同时由于本次试验使用的是VS2012，所以选择VC的编译选项即可。在编译的时候选择的目录(使用编译命令是perl Configure VC-WIN32 --prefix=C:\OpenSSL)是C:\OpenSSL，所以安装的时候需要在此目录下操作。安装工作如下：

•  建立“C:\OpenSSL”目录，并建立“Bin”,“Lib”，“Include”，“SSL”目录；
• 将apps目录下的openssl.conf文件复制到Bin和SSL目录下；
•  将out32dll目录下的openssl.exe，libeay32.dll和ssleay32.dll复制到Bin目录下；
• 将out32dll目录下的libeay32.lib和ssleay.lib复制到Lib目录下；
•  将inc32目录下的openssl目录复制到Include目录下；
• 将apps目录下的demoCA目录以及根目录下的crypto目录复制到Bin目录下；
•  由于接下来还需要使用OpenSSL进行程序设计，所以还需要进行程序设计环境的配置，把inc32目录下的include目录复制到VS2012的VC目录下的include目录，把out32dll目录下的libeay32.lib和ssleay.lib复制到VS2012的VC目录下的lib目录下，同时把ibeay32.dll和ssleay32.dll复制到系统目录(C:\windows\system32)下。

2.生成证书

由于OpenSSL的安全通信系统是需要对应的证书的，所以需要在程序设计之前准备好相对应的证书，程序运行过程中需要3个证书和两个key文件，分别是ca证书、服务器证书、客户端证书、服务器的key文件和客户端的key文件，文件名和扩展名自定义，不过推荐使用常见的。进入C:\OpenSSL\Bin目录下执行对于命令即可完成证书的生成，步骤如下所示：

• 生成服务器端的私钥(key文件)，执行命令
  [cpp]  view plain copy print ?

  1. openssl genrsa -des3 -out server.key 1024         
  命令成功执行之后，会在Bin目录下面生成server.key文件。
  
• 生成服务器端的csr文件
  [cpp]  view plain copy print ?

  1. openssl req -new -key server.key -out server.csr -config openssl.cnf  
  命令成功执行之后，会在目录Bin下面生成server.csr文件
• 客户端生成key文件
  [cpp]  view plain copy print ?

  1. openssl genrsa -des3 -out client.key 1024       
  命令成功执行之后，会在Bin目录下面生成client.key文件。
• 生成客户端的csr文件
  [cpp]  view plain copy print ?

  1. openssl req -new -key client.key -out client.csr -config openssl.cnf  
  命令成功执行之后，会在目录Bin下面生成client.csr文件
• 生成自己的CA
  [cpp]  view plain copy print ?

  1. openssl req -new -x509 -keyout ca.key -out ca.crt -config openssl.cnf  
  命令成功执行之后，会在Bin目录下生成ca.key和ca.crt证书文
• 用生成的ca给服务器的csr文件签名，生成服务器端的证书
  [cpp]  view plain copy print ?

  1. Openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config openssl.cnf  
  执行成功后会生成证书文件server.crt
• 用生成的ca给客户端的csr文件签名，生成客户端的证书
  [cpp]  view plain copy print ?

  1. Openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key -config openssl.cnf  
  执行成功后会生成文件client.csr证书

3.证书文件说明

对于上面的证书生成过程中，在本次的安全通信系统中所需要使用的只有五个文件，分别是ca.crt，client.crt，client.key，server.crt和server.key。使用的时候客户端需要ca.crt，client.crt，client.key这三个文件，服务器端需要ca.crt，server.crt，server.key这三个文件。

在实际程序里面，如果程序是控制台程序，那么证书检查的时候由于证书密码可以输入，所以证书可是使用；但是，如果使用的窗体程序，那么检查设置证书的时候由于不能输入密码，所以导致证书检查设置会失败，此时如果想要使用证书，那么就需要去掉key文件的密码，如此才能在窗体程序中使用证书。去掉key文件的命令为：

[cpp]  view plain copy print ?

1. openssl rsa -in server.key -out server.key