オレオレ認証局クライアント証明書の作り方(sha256)

4007 ワード
オレオレ認証 openssl クライアント証明 CentOS CentOS テキストリンク

オレオレ認証局でのクライアント証明書の作り方です。
備忘録的に…。なので雑な情報ですが…。

  • CentOS 6で実施

事前準備

認証局のディレクトリを作成

mkdir /etc/pki/caCrt

設定ファイルの準備

共通

/etc/pki/tls/openssl.cnfをコピー
以下の3ファイルを作成し、「/etc/pki/caCrt」に配置する

  • openssl-ca.cnf
  • openssl-server.cnf
  • openssl-client.cnf

すべてのファイルに以下の修正を加える

[ CA_default ]
dir　= /etc/pki/caCrt
default_days = 3650
[ req ]
default_bits = 2048
default_md = sha256

それぞれのファイルを修正する

openssl-ca.cnf
[ usr_cert ]
basicConstraints = CA:TRUE
nsCertType = client, email
openssl-server.cnf
[ usr_cert ]
basicConstraints = CA:FALSE
nsCertType =  server
openssl-client.cnf
[ usr_cert ]
basicConstraints = CA:FALSE
nsCertType =  client, email, objsign

認証局の作成

ディレクトリ整備

$ cd /etc/pki/caCrt
$ mkdir certs
$ mkdir crl
$ mkdir newcerts
$ mkdir private
$ touch index.txt
$ touch serial
$ echo "01" > serial

以下を実行し、認証局の秘密鍵を生成する。

$ openssl req -new -config ./openssl-ca.cnf -x509 -keyout cakey.pem -out cacert.pem -days 3650 -sha256
  • 認証局の秘密鍵
    • cakey.pem
  • 認証局の証明書
    • cacert.pem　(ブラウザに「信頼されたルート証明書」としてインストールしたりします。)

サーバ証明書の作成

$ openssl req -new -config ./openssl-server.cnf -sha256 -keyout ./serverkey.key -out servercareq.csr
$ openssl rsa -in ./serverkey.key -out ./serverkey_withpass.key
$ openssl ca -config ./openssl-server.cnf -md sha256 -cert cacert.pem -keyfile cakey.pem -out servercert.crt -infiles servercareq.csr
  • サーバ秘密鍵
    • serverkey.key
  • サーバ証明書
    • servercert.crt

クライアント証明書の作成

$ openssl req -new -config ./openssl-client.cnf -sha256 -keyout clientkey.key -out clientreq.csr
$ openssl ca -config openssl-client.cnf -md sha256 -cert cacert.pem -keyfile cakey.pem -out clientcert.crt -infiles clientreq.csr
$ openssl pkcs12 -export -in clientcert.crt -inkey clientkey.key -out clientcertinbrowser.pfx -name "ssltest.test.jp"
  • クライアント秘密鍵
    • clientkey.key
  • クライアント証明書
    • clientcert.crt
  • クライアント証明書（クライアント端末にインストールする必要がある）
    • clientcertinbrowser.pfx

Apacheの設定

/etc/httpd/conf.d/ssl.conf
SSLCertificateFile /etc/pki/caCrt/servercert.crt
SSLCertificateKeyFile /etc/pki/caCrt/serverkey.key
SSLCACertificateFile /etc/pki/caCrt/cacert.pem
SSLVerifyClient require
SSLVerifyDepth  10

完了

PHP学習ノートの配列編
PHP実装一意番号生成(36進数の重複しない番号)