随笔 - openssl证书的生成和使用

证书类别
- 根证书 生成服务器证书，客户端证书的基础。自签名。
- 服务器证书 由根证书签发。配置在服务器上。
- 客户端证书 由根证书签发。配置在服务器上，并发送给客户，让客户安装在浏览器里。

要注意，
1. 服务器证书的cn要和servername一致，否则启动httpd时有警告。
2. 浏览器安装客户端证书时，需要用pkcs12转换成pfx格式，否则可以安装但无效。
3. 把根证书安装到浏览器的受信CA中，访问服务器时就不会出警告了。

---

环境： CentOS6_x64 openssl 1.0.1 apache2.2

准备

echo -n > /etc/pki/CA/index.txt
echo '00' > /etc/pki/CA/serial

注意，index.txt需要初始化为0字节，连换行也不能有。

1 根证书

# 修改/etc/pki/tls/openssl.cnf，放开nsCertType= server的注释。
[ usr_cert ]
nsCertType = server