Как создать собственную цепочку сертификатов?

Вы можете использовать OpenSSL напрямую.

1. Создать приватный ключ Certificate Authority (это ваш самый важный ключ):

2. Создайте самоподписной сертификат ЦС:

3. Выпустите клиентский сертификат, сначала сгенерировав ключ, затем запросите (или используйте его, предоставленный внешней системой), а затем подпишите сертификат, используя закрытый ключ вашего ЦС:

(Возможно, вам понадобится добавить некоторые опции, поскольку я использую эти команды вместе с моим файлом openssl.conf. Вам может понадобиться сначала настроить свой собственный .conf файл).

После того, как вы создали свой CA, вы можете использовать его для подписи таким образом :

• Создайте ключ :

• Создайте csr :

• Подпишите его :

Ваше изменение :

basicConstraints=CA:TRUE # prev value was FALSE

означает, что выпущенные вами сертификаты могут быть использованы для подписи других сертификатов.

OpenSSL поставляется с Perl скриптом “CA.pl”, который поможет вам создать самоподписанный корневой CA cert, вместе с подходящим приватным ключом, а также несколько простых файлов и каталогов, которые помогут отслеживать любые будущие сертификаты, которые вы подпишете (так называемая проблема) с этим корневым CA. Он также помогает генерировать другие пары ключей и запросы на подписание сертификатов (CSR), а также обрабатывать эти CSR (то есть выдавать для них сертификаты) и многое другое.

Обратите внимание, что многие продукты требуют, чтобы CA-сертификаты содержали определенный атрибут, маркирующий их как CA-сертификаты, иначе они не будут приняты в качестве действительных подписантов/издателей других сертификатов. Если самоподписанный сертификат, который вы создали, не содержит этого атрибута, у вас могут возникнуть проблемы с тем, чтобы заставить другие программы обращаться с ним как с действительным корневым сертификатом CA.

Если я правильно помню, синтаксис имеет такой вид:

CA.pl -newca # Create a new root CA  

CA.pl -newreq # Create a new CSR

CA.pl -sign # Sign a CSR, creating a cert  

CA.pl -pkcs12 # Turn an issued cert, plus its matching private key and trust chain, into a .p12 file you can install on another machine

Я нашел этот пост: https://stackoverflow.com/questions/19665863/how-do-i-use-a-self-signed-certificate-for-a-https-node-js-server

Это для Node.JS, но скрипт в этом GitHub repo использует команды openSLL для создания корневого CA cert и Domain cert.

Выполняется с использованием: bash make-root-ca-and-certificates.sh 'example.com'

Или для локального хоста: bash make-root-ca-and-certificates.sh 'localhost'

make-root-ca-and-certificates.sh

#!/bin/bash
FQDN=$1

# make directories to work from
mkdir -p certs/{server,client,ca,tmp}

# Create your very own Root Certificate Authority
openssl genrsa \
  -out certs/ca/my-root-ca.key.pem \
  2048

# Self-sign your Root Certificate Authority
# Since this is private, the details can be as bogus as you like
openssl req \
  -x509 \
  -new \
  -nodes \
  -key certs/ca/my-root-ca.key.pem \
  -days 1024 \
  -out certs/ca/my-root-ca.crt.pem \
  -subj "/C=US/ST=Utah/L=Provo/O=ACME Signing Authority Inc/CN=example.com"

# Create a Device Certificate for each domain,
# such as example.com, *.example.com, awesome.example.com
# NOTE: You MUST match CN to the domain name or ip address you want to use
openssl genrsa \
  -out certs/server/privkey.pem \
  2048

# Create a request from your Device, which your Root CA will sign
openssl req -new \
  -key certs/server/privkey.pem \
  -out certs/tmp/csr.pem \
  -subj "/C=US/ST=Utah/L=Provo/O=ACME Tech Inc/CN=${FQDN}"

# Sign the request from Device with your Root CA
# -CAserial certs/ca/my-root-ca.srl
openssl x509 \
  -req -in certs/tmp/csr.pem \
  -CA certs/ca/my-root-ca.crt.pem \
  -CAkey certs/ca/my-root-ca.key.pem \
  -CAcreateserial \
  -out certs/server/cert.pem \
  -days 500

# Create a public key, for funzies
# see https://gist.github.com/coolaj86/f6f36efce2821dfb046d
openssl rsa \
  -in certs/server/privkey.pem \
  -pubout -out certs/client/pubkey.pem

# Put things in their proper place
rsync -a certs/ca/my-root-ca.crt.pem certs/server/chain.pem
rsync -a certs/ca/my-root-ca.crt.pem certs/client/chain.pem
cat certs/server/cert.pem certs/server/chain.pem > certs/server/fullchain.pem