自建CA实战之 《0x00 环境的准备》

自建私有化证书颁发机构（Certificate Authority，CA）实战之 《0x00 环境的准备》

前言

网上现有的多数教程和文章都是基于openssl命令行工具来生成证书的，但是这种方式比较繁琐，而且容易出错，且不方便多人同时管理，所以本胖决定了使用简便直观的跨平台图形化工具–XCA来管理证书。

XCA支持Windows、Linux、MacOS多种平台，用的是Qt开发的，所以各平台上界面都是一致的，而且支持多语言，本胖使用的是中文版。内置了数据库的支持，可使用MySQL/MariaDB、PostgreSQL、Open Database Connectivity (ODBC)、SQLite等多种数据库，默认的单文件模式其实用的是SQLite数据库，所以不需要额外安装数据库，自己用的话也非常方便。在多人协作的情况下，可以使用大家都能够访问到的MySQL/MariaDB或PostgreSQL来实现多人共享证书库，这样就可以实现多人同时管理证书。

XCA的安装

XCA下载地址为 https://hohnstaedt.de/xca/index.php/download ，根据操作系统下载对应的版本即可。

Windows版本有 msi 和 zip 两种，msi是安装包，zip是带portable字样的压缩包，zip包为便携绿色版、免安装。

本胖使用的是Mac，MacOS用户也可以使用Homebrew来安装，命令如下：

# 旧的
brew cask install xca
# 新的
brew install --cask xca

XCA的基础使用

切换中文界面

菜单栏 File -> Language -> Chinese(Chinese)，如下图所示：

切换后软件界面就变成中文的了，如下图所示：

新建证书库

根据需求选择单文件模式还是远程数据库模式，单文件模式的话，证书库就是一个Sqlite3.x 文件，所有的证书都存储在这个文件里面，这种模式适合个人使用，而且不需要安装数据库，非常方便。远程数据库模式的话，证书库就是一个数据库，所有的证书都存储在这个数据库里面，这种模式适合多人协作，但是需要安装数据库，供所有使用者来连接使用，比较麻烦。

• 单机个人使用的话：菜单栏 文件 -> 新建数据库 或 打开数据库
• 多人协作的话：菜单栏 文件 -> 打开远程数据库

，如下图所示：

本胖以使用MySQL为例，点击 打开远程数据库 ，如下图：

数据库配置如果没问题的话，会弹出一个对话框，让你设置证书库的密码，如下图所示：

该密码在后面的每一次打开都需要输入，所以一定要记住，否则后面就无法打开证书库了。

生成根证书

后续生成证书的时候，都是以根证书为基础来生成的，所以先生成根证书。

每一个证书需要对应一个私钥，所以先生成一个根证书用的私钥，然后再生成根证书。

切换到私钥选项卡，点击创建密钥，如下图所示：

在内部名称中给它起个名字，本胖这里起名为ca-private，密钥长度选择2048，密钥类型选择RSA，点击确定，如下图所示：

创建成功后会在列表中看到刚才创建的私钥，如下图所示：

切换到证书选项卡，点击创建证书，如下图所示：

在 来源选项卡，使用模版创建新证书，选择CA，如下图所示：

在 主体选项卡，填写证书的基本信息，内部名称为证书的名称，本胖这里填写了MyCA，其他信息分别为：

• countryName：国家名称，本胖这里填写了CN
• stateOrProvinceName：省份名称，本胖这里填写了GX
• localityName：城市名称，本胖这里填写了Nanning
• organizationName：组织名称，本胖这里填写了WeiPang，可以理解为公司名称
• organizationalUnitName：组织单位名称，本胖这里填写了WeiPang，可以理解为部门名称
• commonName：通用名称，本胖这里填写了WeiPang
• emailAddress：邮箱地址，本胖这里填写了object.new@qq.com

如下图所示：

在 扩展选项卡，填写证书的扩展信息，如下图所示：

类型选择CA，时间跨度填入你想要的证书有效期，本胖这里填写了20，单位为年，然后点应用按钮，左边的有效期会跟着变动。

在密钥用法选项卡，勾选Critical，我们后续的实战实例只需用到TLS Web和Code Signing，但为了试验，可以全部选中。

各种类型的密钥用法的含义如下：

1. X509v3 Key Usage（密钥用途）：

   • Digital Signature：数字签名
   • Non Repudiation：不可否认性
   • Key Encipherment：密钥加密
   • Data Encipherment：数据加密
   • Key Agreement：密钥协商
   • Certificate Sign：证书签名
   • CRL Sign：撤销列表签名
   • Encipher Only：仅加密
   • Decipher Only：仅解密
   • 该字段指定了该证书可以用于哪些目的，例如数字签名、数据加密等。

2. X509v3 Extended Key Usage（扩展密钥用途）：

   • TLS Web Server Authentication：TLS Web服务器身份验证
   • TLS Web Client Authentication：TLS Web客户端身份验证
   • Code Signing：代码签名
   • E-mail Protection：电子邮件保护
   • Time Stamping：时间戳
   • Microsoft Individual Code Signing：Microsoft个人代码签名
   • Microsoft Commercial Code Signing：Microsoft商业代码签名
   • Microsoft Trust List Signing：Microsoft信任列表签名
   • Microsoft Server Gated Crypto：Microsoft服务器门控加密
   • Microsoft Encrypted File System：Microsoft加密文件系统
   • Netscape Server Gated Crypto：Netscape服务器门控加密
   • Microsoft EFS File Recovery：Microsoft EFS文件恢复
   • IPSec End System, IPSec Tunnel, IPSec User, IP security end entity：
     IPSec终端系统、IPSec隧道、IPSec用户、IP安全终端实体认证等。
     （IPSec是一种用于保护网络通信的协议）
   • Microsoft Smartcard Login：Microsoft智能卡登录
   • OCSP Signing: OCSP签名（在线证书状态协议）
   • EAP over PPP, EAP over Lan: PPP和LAN上的EAP（扩展认证协议）认证。
   • Signing KDC Response: KDC响应签名（密钥分发中心）
   • PKINIT Client Auth: PKINIT客户端认证
   • SSH Client: SSH客户端
   • Adobe PDF Signing: Adobe PDF签名
   • Microsoft Office Signing: Microsoft Office签名
   • Microsoft BitLocker Drive Encryption, Microsoft BitLocker Data Recovery Agent:
     Microsoft BitLocker驱动器加密、Microsoft BitLocker数据恢复代理。
     （BitLocker是一种磁盘加密工具）

3. Netscape Cert Type（Netscape证书类型）：

   • SSL Client：SSL客户端
   • SSL Server：SSL服务器
   • S/MIME：S/MIME（安全多用途Internet邮件扩展）
   • Object Signing：对象签名
   • SSL CA：SSL证书颁发机构
   • S/MIME CA：S/MIME证书颁发机构
   • Object Signing CA：对象签名证书颁发机构

设置完后，点击右下角的OK按钮，创建成功后，如下图所示：

导出根证书

选中刚生成的证书，右边菜单栏点击导出，选择保存路径即可。

Windows中可以双击打开导出的证书进行查看，MacOS中可以使用空格键来预览证书，如下图所示：

MacOS下的：

把根证书导入到系统中

Windows 导入根证书

Windows中可以双击打开导出的证书，然后点击安装证书-> 当前用户 -> 将所有的证书都放入下列存储 -> 浏览 -> 受信任的根证书颁发机构 -> 下一步 -> 完成 -> 是（Y），

如下图所示：

导入完成后，再次打开证书，可以看到本来提示此CA 根日录证书不受信任。要启用信任，请将该证书安装到"受信任的根证书顾发机构“存储区。的地方，变成了这个证书的目的如下，如下图所示：

MacOS 导入根证书

双击证书文件，会弹出一个对话框，要求验证指纹或者密码，进入钥匙串。验证成功后，进入钥匙串主界面，选择【证书】，如下图：

可以看到刚才导入的证书，并显示为此根证书不被信任。

双击打开证书，如下图：

点击信任，展开选项后，在使用此证书时选择始终信任，如下图：

打叉关掉窗口后，会再一次要求校验指纹或密码，输入后，回到钥匙串界面，可以看到证书状态已经改变，如下图：