2.6. GnuTLS를 사용하여 개인 CA 생성

절차

1. CA의 개인 키를 생성합니다. 예를 들어 다음 명령은 256비트 ECDSA(Elliptic Curve Digital Signature Algorithm) 키를 생성합니다.

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   키 생성 프로세스의 시간은 호스트의 하드웨어 및 엔트로피, 선택한 알고리즘 및 키 길이에 따라 달라집니다.

2. 인증서에 대한 템플릿 파일을 생성합니다.

   1. 선택한 텍스트 편집기로 파일을 생성합니다. 예를 들면 다음과 같습니다.

      $ vi <ca.cfg>

   2. 필요한 인증 세부 정보를 포함하도록 파일을 편집합니다.

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

3. 1단계에서 생성된 개인 키를 사용하여 서명된 인증서를 생성합니다.

   생성된 < ca.crt > 파일은 1년 동안 다른 인증서에 서명하는 데 사용할 수 있는 자체 서명된 CA 인증서입니다. < ca.crt > 파일은 공개 키(인증서)입니다. 로드된 파일 < ca.key& gt;는 개인 키입니다. 이 파일을 안전한 위치에 보관해야 합니다.

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

4. CA의 개인 키에 대해 보안 권한을 설정합니다. 예를 들면 다음과 같습니다.

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

검증

1. 자체 서명된 CA에 대한 기본 정보를 표시합니다.

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

2. CSR(인증서 서명 요청)을 생성하고 CA를 사용하여 요청에 서명합니다. CA는 CSR을 기반으로 인증서를 성공적으로 생성해야 합니다. 예를 들면 다음과 같습니다.

   1. CA의 개인 키를 생성합니다.

      $ certtool --generate-privkey --outfile <example-server.key>

   2. 선택한 텍스트 편집기에서 새 구성 파일을 엽니다. 예를 들면 다음과 같습니다.

      $ vi <example-server.cfg>

   3. 필요한 인증 세부 정보를 포함하도록 파일을 편집합니다.

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

   4. 이전에 생성된 개인 키를 사용하여 요청을 생성합니다.

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

   5. 인증서를 생성하고 CA의 개인 키로 서명합니다.

      $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      추가 리소스

      • 시스템의 certtool(1) 및 trust(1) 도움말 페이지