【运维基础篇】-数字证书CA简介

数字证书

证书的概念

数字证书是一种由数字证书颁发机构（CA）颁发的用于验证和加密通信的安全凭据。数字证书通常用于建立安全的网络连接，例如在 Web 浏览器和服务器之间进行加密通信时使用的 SSL/TLS 证书。

数字证书通常包含以下信息：

公钥和私钥：公钥用于加密通信，私钥用于解密。这对密钥是由证书持有者生成的，然后包含在数字证书中。

证书持有者的信息：例如组织名称、组织单位、国家/地区等。

证书颁发机构的信息：例如颁发机构的名称、证书序列号、有效期等。

数字签名：证书中包含的数字签名用于验证证书的真实性和完整性。签名是由颁发机构使用其私钥对证书内容进行加密生成的。

数字证书的一般流程如下：

生成密钥对：证书持有者生成一对公钥和私钥，并将公钥发送给 CA 进行签名。

申请签名：证书持有者向 CA 提交证书签名请求（CSR），包含其公钥和个人/组织信息。

证书签名：CA 对证书签名请求进行验证，并使用自己的私钥对证书信息进行签名生成数字证书。

颁发证书：CA 颁发签名后的证书给证书持有者。

验证证书：其他用户或系统在与证书持有者通信时，使用 CA 的公钥来验证证书的真实性和完整性，以确保安全的通信。

数字证书的使用可以确保通信的安全性和保密性，防止中间人攻击和数据篡改。常见的数字证书类型包括 SSL/TLS 证书、代码签名证书、电子邮件加密证书等。

证书的格式

X.509 证书：X.509 是一种通用的证书标准，广泛用于公共密钥基础设施（PKI）中。X.509 证书是一种基于 ASN.1 格式的证书，通常使用 PEM 或 DER 编码。PEM 编码的 X.509 证书以 .pem 或 .crt 为扩展名，通常包含 Base64 编码的证书数据和标识证书类型的头部和尾部信息。DER 编码的 X.509 证书以 .der 或 .cer 为扩展名，是二进制格式的证书。

PKCS#7 证书：PKCS#7 是一种密码学消息语法标准，通常用于将多个证书和相关信息打包在一起。PKCS#7 证书以 .p7b 或 .p7c 为扩展名，通常包含一组证书链和其他信息。

PKCS#12 证书：PKCS#12 是一种密码学标准，用于将私钥、公钥和证书等相关信息打包在一起。PKCS#12 证书通常以 .pfx 或 .p12 为扩展名，是一种密码保护的证书格式，可以同时包含私钥和相关证书。

SSH 密钥对：SSH 密钥对包括私钥（通常是以 OpenSSH 格式保存的 id_rsa 文件）和公钥（通常是以 .pub 为扩展名的文件）。私钥通常是一种文本格式的文件，公钥通常是以 OpenSSH 格式或 PEM 格式保存的文本文件。

TLS/SSL 证书：TLS/SSL 证书用于安全地加密网络通信，包括 SSL/TLS 客户端证书和服务器证书。TLS/SSL 证书通常是 X.509 格式的证书，可以是 PEM 编码或 DER 编码的格式。

Code Signing 证书：用于数字签名软件代码，以验证软件的来源和完整性。Code Signing 证书通常是 X.509 格式的证书，可以是 PEM 编码或 DER 编码的格式。

这些是常见的证书格式，不同的证书类型和应用场景可能会使用不同的格式。

证书的生成

证书的生成通常涉及以下步骤：

生成密钥对：首先需要生成一对公钥和私钥。公钥用于加密和验证，私钥用于解密和签名。您可以使用工具如 OpenSSL 来生成密钥对。

创建证书签名请求（CSR）：接下来，您需要创建一个包含公钥和证书主题信息的证书签名请求（CSR）。证书主题信息通常包括组织名称、组织单位、国家/地区、城市、邮箱等信息。CSR 可以使用 OpenSSL 或其他证书管理工具生成。

提交 CSR 到证书颁发机构（CA）：一旦您生成了 CSR，您可以将其提交给证书颁发机构（CA）以进行签名。CA 将验证您的身份和证书请求，然后签署 CSR 并颁发数字证书。

安装证书：一旦您收到了签名后的数字证书，您可以将其安装到您的服务器或应用程序中。安装证书的方法取决于您的应用环境和证书类型，通常涉及将证书文件复制到适当的位置，并配置应用程序以使用它们。

一、以下是使用 OpenSSL 工具生成自签名证书的最简单示例：

# 生成私钥
openssl genpkey -algorithm RSA -out private.key -aes256

# 生成 CSR
openssl req -new -key private.key -out csr.pem

# 生成自签名证书
openssl req -x509 -key private.key -in csr.pem -out certificate.pem -days 365

这个示例中，
private.key 是生成的私钥文件，
csr.pem 是生成的 CSR 文件，
certificate.pem 是生成的自签名证书文件。

二、生成 Java KeyStore（JKS）格式的证书，您可以使用 Java keytool 工具。以下是生成 JKS 格式证书的简单步骤：

1.生成密钥对和证书签名请求（CSR）：

首先，您需要生成密钥对和证书签名请求。执行以下命令：

keytool -genkeypair -keyalg RSA -alias mykey -keystore keystore.jks -storepass password -validity 365

这个命令需要您指定一些信息，例如密钥对的密码、姓名、组织单位、城市、州等。其中 -alias 参数指定别名（这里是 mykey），-keystore 参数指定密钥库文件名（这里是 keystore.jks），-storepass 参数指定密钥库密码（这里是password），-validity 参数指定证书的有效期（这里是 365 天）。

2.生成自签名证书并导出到 .crt 文件：

接下来，您需要将生成的自签名证书导出到一个 .crt 文件中。执行以下命令：

keytool -exportcert -alias mykey -keystore keystore.jks -storepass password -file certificate.crt

这个命令将导出名为 mykey 的证书，并将其保存到名为 certificate.crt 的文件中。

3.将证书导入到 JKS 文件：

最后，将导出的证书导入回 JKS 文件中。执行以下命令：

keytool -importcert -alias mykey -file certificate.crt -keystore keystore.jks -storepass password

这个命令将 certificate.crt 文件中的证书导入到名为 mykey 的别名下，并保存到名为 keystore.jks 的密钥库文件中。

现在已经成功生成了一个 JKS 格式的密钥库文件 keystore.jks，其中包含了您生成的自签名证书。您可以在 Java 应用程序中使用此密钥库文件进行安全通信。

三、自动化脚本生成各种格式的证书

https://download.csdn.net/download/weixin_39802123/89116385?spm=1001.2014.3001.5501

四、授信给自签的证书

首先将证书复制到系统目录：

将您生成的自签名 SSL 证书（通常是 .crt 或 .pem 格式）复制到 CentOS 的系统证书目录中。通常，系统证书存储在 /etc/pki/ca-trust/source/anchors/ 目录中。您可以使用 cp 命令将证书复制到此目录中：

cp your_certificate.crt /etc/pki/ca-trust/source/anchors/

这里的 your_certificate.crt 是您生成的自签名 SSL 证书文件。

更新证书列表：

在将证书复制到目录后，运行以下命令来更新系统的证书列表：

update-ca-trust

这个命令将重新生成系统的证书存储，并将新添加的证书添加到系统信任列表中。

验证证书是否添加成功：

您可以运行以下命令来验证证书是否成功添加到系统信任列表中：

trust list | grep your_certificate.crt

如果输出中包含您的证书文件名，则表示证书已成功添加到信任列表中。

重启相关服务或应用程序：

如果您的证书用于 Web 服务器（如 Apache 或 Nginx），或其他需要 SSL 证书的应用程序，您可能需要重新启动相关服务或应用程序以使更改生效。