security - 如何创建 X509 根证书和分发从属证书

Question

我一直在看how to create X509 certificates我有点困惑。我了解理论，创建单个证书还可以，但我不具备创建整个系统的操作知识。

要求如下:

1) 将有一台主服务器。此 SSL 证书不会由任何机构签署:它是根。该证书(或至少是验证它的方法)将与应用程序一起分发。

2) 可能有任意数量的辅助服务器。每个将生成自己的证书并将其提交给主服务器。

3) 主服务器将与根签署二级证书。

用例是客户端连接到辅助服务器并且必须能够验证其证书是否已由根签名。

注意主服务器由 DNS 主机名标识。辅助服务器可以命名，也可以单独由 IP 地址标识。

---

四个问题:

谁能告诉我 openssl 命令来完成这三个步骤中的每一个？

那些步骤生成的文件中哪些(如果有)不应分发？

在第 3 步之后，master 是否必须将修改后的证书返回给 secondary？

辅助证书是否必须由受信任的主服务器分发，或者客户端是否足以验证辅助服务器公布的任何证书？

Answer 1

OpenSSL 附带一个可用于创建基本 CA 的脚本:CA.pl . (当然，您可以通过更改 OpenSSL 配置文件来更详细地配置它。)

辅助服务器应生成的是证书请求 (CSR)，CA 可以对其进行处理以颁发证书(在您选择的验证过程之后)。

关于文件分发:各方应保密其私钥。