建立一个可信任的单位根签证(RootCA).PDFVIP

建立一個可信任的單位根簽證 (Root CA) 建 立一個可信任的單位根簽證 (Root CA) 2007/02/21 　　小弟在 更安全的的連線 Apache + SSL (new window) 及 使用 OpenSSL 簽證中心為 IIS 做伺服器簽證 (new window的文章中，有說明了如何使用 ) OpenSSL 來為憑證做簽證，你可 以使用自己的 CA 做憑證。但是這種情況一遇到大量的的憑證簽章，就會變得無從管理，且 自行簽證的憑證也有可能會有假冒的問題。 　　在這篇文章裡，我會說明如何使用 OpenSSL 建立一個憑證中心的專用憑證，並且匯入 到 Windows Client中，之後若有需要使用到 SSL 簽證的情況之下，只要由憑證中心做簽證 ， 其它的 Windows Client就會自動信任而不需要次的新增憑證。 建立憑證 之前 ● 確認憑證中心的主機名稱 憑證中心的主機名稱非常重要，這有關係著 Client 在做查尋時的主機比對，若是不對 不符那麼就無法受到信認。 ● 憑證主機的時間 由於憑證是有時效性的，所以在做憑證簽核時，時間是非常重要的，你可以參考 讓 系統更準時 - 使用 NTP 效對時間 (new window) 這篇文章來做時間的調校。 你可使用 下列方式得到目前主機時間，查看時間是否正確。 root # date Tue Feb 20 22:26:52 CST 2007 root # ● D S 對應 當然憑證中心的主機名稱一旦確認，那麼 DNS 就必需有合適的對應才行，否則會找 不到主機。你可使用下列方式查看 DNS 是否正確。 root # host ca.l-penguin.idv.tw ca.l-penguin.idv.tw has addre 2 root # 建立 Root CA 建立一個 Root CA ，因為這個 Root CA 是所有憑證的基礎，所以我們需要在建立一個有密 碼保護的私有金鑰。 root # openssl genrsa -des3 -out ca.l-penguin.idv.tw.key 1024 Generating RSA private key, 1024 bit long modulu ++++++ ++++++ e is 65537 (0x10001) Enter pa phrase for ca.l-penguin.idv.tw.key: your_password Verifying - Enter pa phrase for ca.l-penguin.idv.tw.key:your_password root # 使用 Root CA 的私有金鑰做出一個 X.509 的憑證。 root # openssl req -new -key ca.l-penguin.idv.tw.key -x509 -days 1095 -out ca.l- penguin.idv.tw.crt Enter pa phrase for ca.l-penguin.idv.tw.key:your_password 第 1 頁 / 共 5 頁 建立一個可信任的單位根簽證 (Root CA) 2007/02/21 You are about to be asked to enter information that will be incorporated into your certificate request.