加密和解密技术基础与OpenSSL(5)

(3) 为CA提供所需的目录及文件；
      ~]# mkdir  -pv  /etc/pki/CA/{certs,crl,newcerts}
      ~]# touch  /etc/pki/CA/{serial,index.txt}
      ~]# echo  01 > /etc/pki/CA/serial
      
            
                      b、CA创建完成，现在可以发证了，假如某服务器要用到证书进行安全通信，需要向CA请求签署证书：（105分钟）
    
    步骤：（以httpd为例）
     (1) 用到证书的主机生成私钥；
      ~]# mkdir  /etc/httpd/ssl
      ~]# cd  /etc/httpd/ssl
      ~]# (umask  077; openssl  genrsa -out  /etc/httpd/ssl/httpd.key  2048)       2048位的秘钥
     (2) 生成证书签署请求
      ~]# openssl  req  -new  -key  /etc/httpd/ssl/httpd.key  -out /etc/httpd/ssl/httpd.csr  -days  365
     (3) 将请求通过可靠方式发送给CA主机；
     
                                   (4) 在CA主机上签署证书；
      ~]# openssl ca  -in  /tmp/httpd.csr  -out  /etc/pki/CA/certs/httpd.crt  -days  365
      
      查看证书中的信息：
       ~]# openssl  x509  -in /etc/pki/CA/certs/httpd.crt  -noout  -serial  -subject
       
     c、吊销证书：
  步骤：
        (1) 客户端获取要吊销的证书的serial（在使用证书的主机执行）：
   ~]# openssl  x509  -in /etc/pki/CA/certs/httpd.crt  -noout  -serial  -subject
                       (2) CA主机吊销证书
   先根据客户提交的serial和subject信息，对比其与本机数据库index.txt中存储的是否一致；
      
     吊销：
        # openssl  ca  -revoke  /etc/pki/CA/newcerts/SERIAL.pem
       
        其中的SERIAL要换成证书真正的序列号；
        
        (3) 生成吊销证书的吊销编号（第一次吊销证书时执行）
                    # echo  01  > /etc/pki/CA/crlnumber
     
        (4) 更新证书吊销列表
    # openssl  ca  -gencrl  -out  thisca.crl
      
   查看crl文件：
                  # openssl  crl  -in  /PATH/FROM/CRL_FILE.crl  -noout  -text