2.6. 使用 GnuTLS 创建私有 CA

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 ECDSA (Elliptic Curve Digital Signature Algorithm)密钥：

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   Copy to Clipboard Toggle word wrap

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 为证书创建一个模板文件。

   1. 使用您选择的文本编辑器创建一个文件，例如：

      $ vi <ca.cfg>

      Copy to Clipboard Toggle word wrap

   2. 编辑该文件以包含必要的认证详情：

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

      Copy to Clipboard Toggle word wrap

3. 使用在第 1 步中生成的私钥创建一个签名证书：

   生成的 <ca.crt> 文件是一个自签名 CA 证书，您可用来为其他证书签名一年。<ca.crt> 文件是公钥(证书)。加载的文件 <ca.key> 是私钥。您应该将此文件保存在安全的地方。

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

   Copy to Clipboard Toggle word wrap

4. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

   Copy to Clipboard Toggle word wrap

验证

1. 显示有关自签名 CA 的基本信息：

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

   Copy to Clipboard Toggle word wrap

2. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功创建一个基于 CSR 的证书，例如：

   1. 为您的 CA 生成私钥：

      $ certtool --generate-privkey --outfile <example-server.key>

      Copy to Clipboard Toggle word wrap

   2. 在您选择的文本编辑器中打开一个新配置文件，例如：

      $ vi <example-server.cfg>

      Copy to Clipboard Toggle word wrap

   3. 编辑该文件以包含必要的认证详情：

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

      Copy to Clipboard Toggle word wrap

   4. 使用之前创建的私钥生成一个请求：

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

      Copy to Clipboard Toggle word wrap

   5. 生成证书并使用 CA 的私钥对其签名：

      $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      Copy to Clipboard Toggle word wrap