2.6. GnuTLS를 사용하여 개인 CA 생성

프로세스

1. CA의 개인 키를 생성합니다. 예를 들어 다음 명령은 256비트 ECDSA(Elliptic Curve Digital Signature Algorithm) 키를 생성합니다.

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   Copy to Clipboard Toggle word wrap

   키 생성 프로세스의 시간은 호스트의 하드웨어 및 엔트로피, 선택한 알고리즘 및 키 길이에 따라 달라집니다.

2. 인증서에 대한 템플릿 파일을 생성합니다.

   1. 선택한 텍스트 편집기로 파일을 생성합니다. 예를 들면 다음과 같습니다.

      $ vi <ca.cfg>

      Copy to Clipboard Toggle word wrap

   2. 필요한 인증 세부 정보를 포함하도록 파일을 편집합니다.

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

      Copy to Clipboard Toggle word wrap

3. 1단계에서 생성된 개인 키를 사용하여 서명된 인증서를 생성합니다.

   생성된 < ca.crt > 파일은 1년 동안 다른 인증서에 서명하는 데 사용할 수 있는 자체 서명된 CA 인증서입니다. < ca.crt > 파일은 공개 키(인증서)입니다. 로드된 파일 < ca.key& gt;는 개인 키입니다. 이 파일을 안전한 위치에 보관해야 합니다.

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

   Copy to Clipboard Toggle word wrap

4. CA의 개인 키에 대한 보안 권한을 설정합니다. 예를 들면 다음과 같습니다.

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

   Copy to Clipboard Toggle word wrap

검증

1. 자체 서명된 CA에 대한 기본 정보를 표시합니다.

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

   Copy to Clipboard Toggle word wrap

2. CSR(인증서 서명 요청)을 생성하고 CA를 사용하여 요청에 서명합니다. CA는 CSR을 기반으로 인증서를 생성해야 합니다. 예를 들면 다음과 같습니다.

   1. CA의 개인 키를 생성합니다.

      $ certtool --generate-privkey --outfile <example-server.key>

      Copy to Clipboard Toggle word wrap

   2. 선택한 텍스트 편집기에서 새 구성 파일을 엽니다. 예를 들면 다음과 같습니다.

      $ vi <example-server.cfg>

      Copy to Clipboard Toggle word wrap

   3. 필요한 인증 세부 정보를 포함하도록 파일을 편집합니다.

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

      Copy to Clipboard Toggle word wrap

   4. 이전에 생성된 개인 키를 사용하여 요청을 생성합니다.

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

      Copy to Clipboard Toggle word wrap

   5. 인증서를 생성하고 CA의 개인 키로 서명합니다.

      $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      Copy to Clipboard Toggle word wrap