SSL自签署证书生成脚本

view plain print ?

1. #!/bin/sh  
2. #  
3.   
4. # ssl 证书输出的根目录。  
5. sslOutputRoot="/etc/apache_ssl"  
6. if [ $# -eq 1 ]; then  
7.     sslOutputRoot=$1  
8. fi  
9. if [ ! -d ${sslOutputRoot} ]; then  
10.     mkdir -p ${sslOutputRoot}  
11. fi  
12.   
13. cd ${sslOutputRoot}  
14.   
15. echo "开始创建CA根证书..."  
16. #  
17. # 创建CA根证书，稍后用来签署用于服务器的证书。如果是通过商业性CA如  
18. # Verisign 或 Thawte 签署证书，则不需要自己来创建根证书，而是应该  
19. # 把后面生成的服务器 csr 文件内容贴入一个web表格，支付签署费用并  
20. # 等待签署的证书。关于商业性CA的更多信息请参见：   
21. # Verisign - http://digitalid.verisign.com/server/apacheNotice.htm   
22. # Thawte Consulting - http://www.thawte.com/certs/server/request.html   
23. # CertiSign Certificadora Digital Ltda. - http://www.certisign.com.br   
24. # IKS GmbH - http://www.iks-jena.de/produkte/ca /   
25. # Uptime Commerce Ltd. - http://www.uptimecommerce.com   
26. # BelSign NV/SA - http://www.belsign.be   
27. # 生成CA根证书私钥  
28. openssl genrsa -des3 -out ca.key 1024   
29.   
30. # 生成CA根证书  
31. # 根据提示填写各个字段, 但注意 Common Name 最好是有效根域名(如 zeali.net ),  
32. # 并且不能和后来服务器证书签署请求文件中填写的 Common Name 完全一样，否则会  
33. # 导致证书生成的时候出现   
34. # error 18 at 0 depth lookup:self signed certificate 错误  
35. openssl req -new -x509 -days 365 -key ca.key -out ca.crt   
36. echo "CA根证书创建完毕。"  
37.   
38. echo "开始生成服务器证书签署文件及私钥 ..."  
39. #  
40. # 生成服务器私钥  
41. openssl genrsa -des3 -out server.key 1024   
42. # 生成服务器证书签署请求文件, Common Name 最好填写使用该证书的完整域名  
43. # (比如: security.zeali.net )  
44. openssl req -new -key server.key -out server.csr    
45. ls -altrh  ${sslOutputRoot}/server.*  
46. echo "服务器证书签署文件及私钥生成完毕。"  
47.   
48. echo "开始使用CA根证书签署服务器证书签署文件 ..."  
49. #  
50. # 签署服务器证书，生成server.crt文件  
51. # 参见 http://www.faqs.org/docs/securing/chap24sec195.html  
52. #  sign.sh START  
53. #  
54. #  Sign a SSL Certificate Request (CSR)  
55. #  Copyright (c) 1998-1999 Ralf S. Engelschall, All Rights Reserved.   
56. #  
57.   
58. CSR=server.csr  
59.   
60. case $CSR in  
61. *.csr ) CERT="`echo $CSR | sed -e 's/\.csr/.crt/'`" ;;  
62. * ) CERT="$CSR.crt" ;;  
63. esac  
64.   
65. #   make sure environment exists  
66. if [ ! -d ca.db.certs ]; then  
67.     mkdir ca.db.certs  
68. fi  
69. if [ ! -f ca.db.serial ]; then  
70.     echo '01' >ca.db.serial  
71. fi  
72. if [ ! -f ca.db.index ]; then  
73.     cp /dev/null ca.db.index  
74. fi  
75.   
76. #   create an own SSLeay config  
77. # 如果需要修改证书的有效期限，请修改下面的 default_days 参数.  
78. # 当前设置为10年.  
79. cat >ca.config <<EOT  
80. [ ca ]  
81. default_ca  = CA_own  
82. [ CA_own ]  
83. dir = .  
84. certs   = ./certs  
85. new_certs_dir   = ./ca.db.certs  
86. database    = ./ca.db.index  
87. serial  = ./ca.db.serial  
88. RANDFILE    = ./ca.db.rand  
89. certificate = ./ca.crt  
90. private_key = ./ca.key  
91. default_days    = 3650  
92. default_crl_days    = 30  
93. default_md  = md5  
94. preserve    = no  
95. policy  = policy_anything  
96. [ policy_anything ]  
97. countryName = optional  
98. stateOrProvinceName = optional  
99. localityName    = optional  
100. organizationName    = optional  
101. organizationalUnitName  = optional  
102. commonName  = supplied  
103. emailAddress    = optional  
104. EOT  
105.   
106. #  sign the certificate  
107. echo "CA signing: $CSR -> $CERT:"  
108. openssl ca -config ca.config -out $CERT -infiles $CSR  
109. echo "CA verifying: $CERT <-> CA cert"  
110. openssl verify -CAfile ./certs/ca.crt $CERT  
111.   
112. #  cleanup after SSLeay   
113. rm -f ca.config  
114. rm -f ca.db.serial.old  
115. rm -f ca.db.index.old  
116. #  sign.sh END  
117. echo "使用CA根证书签署服务器证书签署文件完毕。"  
118.   
119.   
120. # 使用了 ssl 之后，每次启动 apache 都要求输入 server.key 的口令，  
121. # 你可以通过下面的方法去掉口令输入(如果不希望去掉请注释以下几行代码)：  
122. echo "去除 apache 启动时必须手工输入密钥密码的限制:"  
123. cp -f server.key server.key.org  
124. openssl rsa -in server.key.org -out server.key  
125. echo "去除完毕。"  
126.   
127.   
128. # 修改 server.key 的权限，保证密钥安全  
129. chmod 400 server.key  
130.   
131. echo "Now u can configure apache ssl with following:"  
132. echo -e "\tSSLCertificateFile ${sslOutputRoot}/server.crt"  
133. echo -e "\tSSLCertificateKeyFile ${sslOutputRoot}/server.key"  
134.   
135. #  die gracefully  
136. exit 0