创建一个自签名的SSL证书

创建一个自签名的SSL证书

---

---

前言

Https是标准Http协议架构在SSL/TLS上的一种架构，主要提供通讯双方的身份认证和加密通信认证。在数据通信之前需要客户端、服务器进行握手（身份认证），建立连接后，此后通信数据均进行加密传输，保证通信安全，Https通信端口443。
身份验证过程：
1、客户端的浏览器向服务器传送客户端 SSL 协议的版本号，加密算法的种类，产生的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。
2、服务器向客户端传送 SSL 协议的版本号，加密算法的种类，随机数以及其他相关信息，同时服务器还将向客户端传送自己的证书。
3、客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的 CA 是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，将继续进行第四步。
4、用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器的公钥从步骤②中的服务器的证书中获得）对其加密，然后将加密后的“预主密码”传给服务器。
5、如果服务器要求客户的身份认证（在握手过程中为可选），用户可以建立一个随机数然后对其进行数据签名，将这个含有签名的随机数和客户自己的证书以及加密过的“预主密码”一起传给服务器。
6、如果服务器要求客户的身份认证，服务器必须检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户的证书使用日期是否有效，为客户提供证书的CA 是否可靠，发行CA 的公钥能否正确解开客户证书的发行 CA 的数字签名，检查客户的证书是否在证书废止列表（CRL）中。检验如果没有通过，通讯立刻中断；如果验证通过，服务器将用自己的私钥解开加密的“预主密码 ”，然后执行一系列步骤来产生主通讯密码（客户端也将通过同样的方法产生相同的主通讯密码）。
7、服务器和客户端用相同的主密码即“通话密码”，一个对称密钥用于 SSL 协议的安全数据通讯的加解密通讯。同时在 SSL 通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。
8、客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。
9、 服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。
10、SSL的握手部分结束，SSL安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。

---

一、服务器私钥与证书的生成（以apache 2.4 为例）

1.生成服务器私钥server.key

DOS 命令进入\apache\bin下，执行命令：

\apache\bin>set OPENSSL_CONF=..\conf\openssl.cnf

\apache\bin>openssl genrsa 1024>server.key

2.生成服务器证书server.crt

执行命令如下：

\apache\bin>openssl req -new -key server.key > server.csr

输入相关证书信息：

Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Hubei
Locality Name (eg, city) []:Wuhan
Organization Name (eg, company) [Internet Widgits Pty Ltd]:company
Organizational Unit Name (eg, section) []:company
Common Name (e.g. server FQDN or YOUR name) []:shanghang.com.cn
Email Address []:shanghang@company.com.cn

按提示输入一系列的参数：
Country Name (2 letter code) [AU]:CN ISO国家代码（只支持两位字符）
State or Province Name (full name) [Some-State]:ZJ所在省份
Locality Name (eg, city) []:HZ所在城市
Organization Name (eg, company):SW_TECH公司名称
Organizational Unit Name (eg, section) []:SW_TECH组织名称
Common Name (eg, YOUR name) []:kedou.com申请证书的域名
Email Address []:admin@admin.com 管理员邮箱
Please enter the following ‘extra’ attributes to be sent with your certificate request A challenge password []: 交换密钥
An optional company name []: 注：Common Name必须和httpd.conf中server name必须一致，否则apache不能启动 （启动apache时错误提示为：RSA server certificate CommonName (CN) `Kedou’ does NOT match server name!? ）

执行命令生成签署服务器证书文件：

\apache\bin>openssl req -x509 -days 365 -key server.key -in server.csr > server.crt

说明：这是用密钥和证书请求生成证书server.crt，-days参数指明证书有效期，单位为天，x509表示生成的为X.509证书。
以上签署证书仅仅做测试用，真正运行的时候，应该将CSR发送到一个CA返回真正的证书。网上有些文档描述生成证书文件的过程比较繁琐，就是因为 他们自己建立了一个CA中心，然后再签署server.csr
用openssl x509 -noout -text -in server.crt 可以查看证书的内容。证书实际上包含了Public Key

完成后，文件所在目录“C:\Program Files (x86)\Apache Software Foundation\Apache2.2\bin”

---

总结

提示：这里对文章进行总结：
如果服务器私钥与证书均由自己生成，则无法获取服务器中级CA证书，因此在配置apache时，则不需要配置服务器中级CA证书的内容。

下一章节提供 apache 配置https