公钥基础设施(PKI)/CFSSL证书生成工具的使用

共计 4304 个字符，预计需要花费 11 分钟才能阅读完成。

公钥基础设施 (PKI)

基础概念

CA(Certification Authority) 证书，指的是权威机构给我们颁发的证书。

密钥就是用来加解密用的文件或者字符串。密钥在非对称加密的领域里，指的是私钥和公钥，他们总是成对出现，其主要作用是加密和解密。常用的加密强度是 2048bit。

RSA 即非对称加密算法。非对称加密有两个不一样的密码，一个叫私钥，另一个叫公钥，用其中一个加密的数据只能用另一个密码解开，用自己的都解不了，也就是说用公钥加密的数据只能由私钥解开。

证书的编码格式

PEM(Privacy Enhanced Mail)，通常用于数字证书认证机构（Certificate Authorities，CA），扩展名为.pem, .crt, .cer, 和 .key。内容为 Base64 编码的 ASCII 码文件，有类似 ”—–BEGIN CERTIFICATE—–” 和 “—–END CERTIFICATE—–“ 的头尾标记。服务器认证证书，中级认证证书和私钥都可以储存为 PEM 格式（认证证书其实就是公钥）。Apache 和 nginx 等类似的服务器使用 PEM 格式证书。

DER(Distinguished Encoding Rules)，与 PEM 不同之处在于其使用二进制而不是 Base64 编码的 ASCII。扩展名为.der，但也经常使用.cer 用作扩展名，所有类型的认证证书和私钥都可以存储为 DER 格式。Java 使其典型使用平台。

证书签名请求 CSR

CSR(Certificate Signing Request)，它是向 CA 机构申请数字×××书时使用的请求文件。在生成请求文件前，我们需要准备一对对称密钥。私钥信息自己保存，请求中会附上公钥信息以及国家，城市，域名，Email 等信息，CSR 中还会附上签名信息。当我们准备好 CSR 文件后就可以提交给 CA 机构，等待他们给我们签名，签好名后我们会收到 crt 文件，即证书。

注意：CSR 并不是证书。而是向权威证书颁发机构获得签名证书的申请。

把 CSR 交给权威证书颁发机构, 权威证书颁发机构对此进行签名, 完成。保留好 CSR, 当权威证书颁发机构颁发的证书过期的时候, 你还可以用同样的 CSR 来申请新的证书,key 保持不变.

数字签名

数字签名就是 ” 非对称加密 + 摘要算法 ”，其目的不是为了加密，而是用来防止他人篡改数据。

其核心思想是：比如 A 要给 B 发送数据，A 先用摘要算法得到数据的指纹，然后用 A 的私钥加密指纹，加密后的指纹就是 A 的签名，B 收到数据和 A 的签名后，也用同样的摘要算法计算指纹，然后用 A 公开的公钥解密签名，比较两个指纹，如果相同，说明数据没有被篡改，确实是 A 发过来的数据。假设 C 想改 A 发给 B 的数据来欺骗 B，因为篡改数据后指纹会变，要想跟 A 的签名里面的指纹一致，就得改签名，但由于没有 A 的私钥，所以改不了，如果 C 用自己的私钥生成一个新的签名，B 收到数据后用 A 的公钥根本就解不开。

常用的摘要算法有 MD5、SHA1、SHA256。

使用私钥对需要传输的文本的摘要进行加密，得到的密文即被称为该次传输过程的签名。

数字证书和公钥

数字证书则是由证书认证机构（CA）对证书申请者真实身份验证之后，用 CA 的根证书对申请人的一些基本信息以及申请人的公钥进行签名（相当于加盖发证书机 构的公章）后形成的一个数字文件。实际上，数字证书就是经过 CA 认证过的公钥，除了公钥，还有其他的信息，比如 Email，国家，城市，域名等。

CFSSL 工具

CFSSL 介绍

项目地址：https://github.com/cloudflare/cfssl

下载地址：https://pkg.cfssl.org/

参考链接：https://blog.cloudflare.com/how-to-build-your-own-public-key-infrastructure/

CFSSL 是 CloudFlare 开源的一款 PKI/TLS 工具。CFSSL 包含一个命令行工具 和一个用于 签名，验证并且捆绑 TLS 证书的 HTTP API 服务。使用 Go 语言编写。

CFSSL 包括：

• 一组用于生成自定义 TLS PKI 的工具
• cfssl 程序，是 CFSSL 的命令行工具
• multirootca 程序是可以使用多个签名密钥的证书颁发机构服务器
• mkbundle 程序用于构建证书池
• cfssljson 程序，从 cfssl 和 multirootca 程序获取 JSON 输出，并将证书，密钥，CSR 和 bundle 写入磁盘

PKI 借助数字证书和公钥加密技术提供可信任的网络身份。通常，证书就是一个包含如下身份信息的文件：

• 证书所有组织的信息
• 公钥
• 证书颁发组织的信息
• 证书颁发组织授予的权限，如证书有效期、适用的主机名、用途等
• 使用证书颁发组织私钥创建的数字签名

安装 cfssl

这里我们只用到 cfssl 工具和 cfssljson 工具：

wget https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
wget https://pkg.cfssl.org/R1.2/cfssl-certinfo_linux-amd64
chmod +x cfssl_linux-amd64 cfssljson_linux-amd64 cfssl-certinfo_linux-amd64
mv cfssl_linux-amd64 /usr/local/bin/cfssl
mv cfssljson_linux-amd64 /usr/local/bin/cfssljson
mv cfssl-certinfo_linux-amd64 /usr/bin/cfssl-certinfo

cfssl 工具，子命令介绍：

bundle: 创建包含客户端证书的证书包

genkey: 生成一个 key(私钥) 和 CSR(证书签名请求)

scan: 扫描主机问题

revoke: 吊销证书

certinfo: 输出给定证书的证书信息，跟 cfssl-certinfo 工具作用一样

gencrl: 生成新的证书吊销列表

selfsign: 生成一个新的自签名密钥和 签名证书

print-defaults: 打印默认配置，这个默认配置可以用作模板

serve: 启动一个 HTTP API 服务

gencert: 生成新的 key(密钥) 和签名证书

◾-ca：指明 ca 的证书

◾-ca-key：指明 ca 的私钥文件

◾-config：指明请求证书的 json 文件

◾-profile：与 -config 中的 profile 对应，是指根据 config 中的 profile 段来生成证书的相关信息

ocspdump

ocspsign

info: 获取有关远程签名者的信息

sign: 签名一个客户端证书，通过给定的 CA 和 CA 密钥，和主机名

ocsprefresh

ocspserve

创建认证中心 (CA)

CFSSL 可以创建一个获取和操作证书的内部认证中心。

运行认证中心需要一个 CA 证书和相应的 CA 私钥。任何知道私钥的人都可以充当 CA 颁发证书。因此，私钥的保护至关重要。

生成 CA 证书和私钥 (root 证书和私钥)

创建一个文件 ca-csr.json：

{
  “CN”: “www.linuxidc.com”,
  “key”: {
    “algo”: “rsa”,
    “size”: 2048
  },
  “names”: [
    {
      “C”: “CN”,
      “ST”: “BeiJing”,
      “L”: “BeiJing”,
      “O”: “linuxidc”,
      “OU”: “ops”
    }
  ]
}

术语介绍:

CN: Common Name，浏览器使用该字段验证网站是否合法，一般写的是域名。非常重要。浏览器使用该字段验证网站是否合法

C: Country，国家

L: Locality，地区，城市

O: Organization Name，组织名称，公司名称

OU: Organization Unit Name，组织单位名称，公司部门

ST: State，州，省

生成 CA 证书和 CA 私钥和 CSR(证书签名请求):

# cfssl gencert -initca ca-csr.json | cfssljson -bare ca  ## 初始化 ca
# ls ca*
ca.csr  ca-csr.json  ca-key.pem  ca.pem

该命令会生成运行 CA 所必需的文件 ca-key.pem（私钥）和 ca.pem（证书），还会生成 ca.csr（证书签名请求），用于交叉签名或重新签名。

小提示：

使用现有的 CA 私钥，重新生成：

cfssl gencert -initca -ca-key key.pem ca-csr.json | cfssljson -bare ca

使用现有的 CA 私钥和 CA 证书，重新生成：

cfssl gencert -renewca -ca cert.pem -ca-key key.pem

查看 cert(证书信息):

# cfssl certinfo -cert ca.pem

查看 CSR(证书签名请求) 信息：

# cfssl certinfo -csr ca.csr

配置证书生成策略

配置证书生成策略，让 CA 软件知道颁发什么样的证书。

# vim ca-config.json
{
  “signing”: {
    “default”: {
      “expiry”: “8760h”
    },
    “profiles”: {
      “etcd”: {
        “usages”: [
            “signing”,
            “key encipherment”,
            “server auth”,
            “client auth”
        ],
        “expiry”: “8760h”
      }
    }
  }
}

这个策略，有一个默认的配置，和一个 profile，可以设置多个 profile，这里的 profile 是 etcd。

默认策略，指定了证书的有效期是一年 (8760h)

etcd 策略，指定了证书的用途

signing, 表示该证书可用于签名其它证书；生成的 ca.pem 证书中 CA=TRUE

server auth：表示 client 可以用该 CA 对 server 提供的证书进行验证

client auth：表示 server 可以用该 CA 对 client 提供的证书进行验证

cfssl 常用命令：

cfssl gencert -initca ca-csr.json | cfssljson -bare ca ## 初始化 ca

cfssl gencert -initca -ca-key key.pem ca-csr.json | cfssljson -bare ca ## 使用现有私钥, 重新生成

cfssl certinfo -cert ca.pem

cfssl certinfo -csr ca.csr

：