用OPENSSL实现电子商务中的CA认证(1)(2)
2015-04-06 01:09
导读：into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. The re are quite a few fields but you can leave some blank For some fields there will be a de
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
The re are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN （两个字母的国家代号）
State or Province Name (full name) [Some-State]:JIANG SU （省份名称）
Locality Name (eg, city) []:ZHANGJIAGANG （城市名称）
Organization Name (eg, company) [Internet Widgits Pty Ltd]:FAMILY NETWORK （公司名称）
Organizational Unit Name (eg, section) []:HOME （部门名称）
Common Name (eg, YOUR name) []:TJL （你的姓名）
Email Address []:TJL@WX88.NET （Email地址）
⑷ 用下列命令查看生成证书的内容：
# OpenSSL x509 -noout -text -in ca.crt
该指令中x509表示证书处理工具。
-noout表示不打印出key的编码版本信息。
-text 表示以文本方式显示内容。
-in ca.crt 表示对ca.crt文件进行处理
系统显示证书内容为：
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 0 (0x0)
Signature Algorithm: md5WithRSAEncryption
Issuer: C=CN, ST=JIANG SU, L=ZHANGJIAGANG, O=FAMILY NETWORK, OU=HOME, CN=TJL/Email=TJL@WX88.NE
Validity
Not Before: Feb 24 14:49:27 2003 GMT
Not After : Feb 21 14:49:27 2013 GMT
Subject: C=CN, ST=JIANG SU, L=ZHANGJIAGANG, O=FAMILY NETWORK, OU=HOME, CN=TJL/Email=TJL@WX88.NET
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
00:da:20:09:11:19:1f:12:f0:98:0c:fc:91:ac:3e:
……
22:e1:ca:04:0f:dc:e9:bd:9f
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Key Identifier:
03:B0:14:8C:5D:C6:F8:F4:B0:96:A0:CC:7C:8F:9B:00:BB:78:E6:A6
X509v3 Authority Key Identifier:
keyid:03:B0:14:8C:5D:C6:F8:F4:B0:96:A0:CC:7C:8F:9B:00:BB:78:E6:A6
DirName:/C=CN/ST=JIANG SU/L=ZHANGJIAGANG/O=FAMILY NETWORK/OU=HOME/CN=TJL/Email=TJL@WX88.NET
（转载自http://www.ＮＳＥＡＣ.com中国科教评价网） serial:00 X509v3 Basic Constraints:
CA:TRUE
Signature Algorithm: md5WithRSAEncryption
8d:e8:46:82:40:b4:18:a2:12:9f:7a:66:e5:fc:0c:3f:77:5a:
……
04:13
从上面的输出内容可以看出这个证书基本包含了X.509数字证书的内容，从发行者Issuer和接受者Subject的信息也可以看出是个自签署的证书。
下面创建服务器证书签署请求（使用指令和系统显示信息基本和以上类似）：
⑸ 首先为Apache 创建一个 RSA 私用密钥：
# OpenSSL genrsa -des3 -out server.key 1024
这里也要设定口令pass phrase，生成 server.key 文件。
⑹ 用下列命令查看它的内容：
# OpenSSL rsa -noout -text -in server.key
⑺ 用 server.key 生成证书签署请求 CSR：
# OpenSSL req -new -key server.key -out server.csr
这里也要输入一些请求证书的信息，和上面的内容类似。
⑻ 生成证书请求后，下面可以签署证书了，需要用到OpenSSL源代码中的一个脚本 sign.sh，签署后就可以得到数字证书server.crt。
# sign.sh server.csr
⑼ 启动安全Web服务
最后在apache服务器中进行ca认证设置，拷贝server.crt 和server.key到/usr/local/apache/conf
修改httpd.conf 将下面的参数改为：
SSLCertificateFILE /usr/local/apache/conf/server.crt
