如何利用中继证书（凭证）建立客户端证书

缺乏、安全感 2022-12-01 03:49 192阅读 0赞

### 利用中继证书（凭证）建立客户端证书 ###

*  建立客户端证书的前提是要建立中继证书
 *  建立客户端证书的具体步骤
 *   *  1、建立一个目录，存放所有客户端证书有关的资料
     *  2、填写Open SSL的配置文件
     *  3、在客户端凭证目录产生凭证的私钥
     *  4、在服务器凭证目录产生服务器凭证的凭证签发申请档
     *  5、使用中继凭证去签发客户端凭证的凭证签发申请档, 产生客户端的凭证
     *  6、检查签发的中继凭证是否无误.
     *  7、确认服务器凭证的完整性, 需要做完整的串链检查, 需要使用含有根凭证的凭证串链.
     *  8、产生服务器凭证的凭证串链.
     *  9、客户端证书建立完成

# 建立客户端证书的前提是要建立中继证书 #

[自建根证书详解][Link 1]  
[中继证书建立详解][Link 2]

并且需要安装openssl库：

sudo apt-get install openssl

# 建立客户端证书的具体步骤 #

本实验是在根证书和中继证书的前提下完成的，可参考根证书的建立和中继证书的建立

## 1、建立一个目录，存放所有客户端证书有关的资料 ##

输入命令（注意路径哦）：

mkdir client
    cd client

![在这里插入图片描述][20200825181508332.png_pic_center]

## 2、填写Open SSL的配置文件 ##

文件名：openssl\_csr.cnf  
路径：client目录下

具体内容：

[ req ]
    # req 工具需要的參數.
    default_bits       = 2048
    distinguished_name = req_distinguished_name
    string_mask        = utf8only
    default_md         = sha256
    
    [ req_distinguished_name ]
    # 产生证书时要输入的资料说明.
    countryName            = Country Name (2 letter code)
    stateOrProvinceName    = State or Province Name
    localityName           = Locality Name
    0.organizationName     = Organization Name
    organizationalUnitName = Organizational Unit Name
    commonName             = Common Name
    emailAddress           = Email Address

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center]

## 3、在客户端凭证目录产生凭证的私钥 ##

文件名：client.key.pem  
路径：client目录下

输入命令：

openssl genrsa -aes256 -out client.key.pem 4096

会提示输入私钥的密码, 例如是 helen123
    Enter pass phrase for server.key.pem:helen123
    再次输入密码：
    Verifying - Enter pass phrase for server.key.pem:helen123

![在这里插入图片描述][20200825181953618.png_pic_center]  
更改私钥的权限为只读：

chmod 400 client.key.pem

![在这里插入图片描述][20200825182027745.png_pic_center]

## 4、在服务器凭证目录产生服务器凭证的凭证签发申请档 ##

输入命令：

openssl req -config openssl_csr.cnf -new -sha256 -key client.key.pem -out client.csr.pem

会提示输入服务器证书的私钥的密码, 也就是 helen123
    Enter pass phrase for server.key.pem:helen123
    
    # 接着输入证书拥有者的信息
    You are about to be asked to enter information that will be incorporated into your certificate request.
    What you are about to enter is what is called a Distinguished Name or a DN.
    There are quite a few fields but you can leave some blank For some fields there will be a default value,
    If you enter '.', the field will be left blank.
    
    # 所在国家的缩写, 2 个字母
    Country Name (2 letter code) []:AU
    # 所在的州或省.
    State or Province Name []:New South Wales
    # 所在的城市.
    Locality Name []:Sydney
    # 所在的公司.
    Organization Name []:Helen
    # 所在的公司的单位.
    Organizational Unit Name []:Helen
    # 证书名称
    Common Name []:helen@personal
    # 邮箱
    Email Address []:helen@personal

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 1]

## 5、使用中继凭证去签发客户端凭证的凭证签发申请档, 产生客户端的凭证 ##

在中继证书目录下操作.

cd ../intermediate

![在这里插入图片描述][20200825182505745.png_pic_center]  
签发凭证签发申请档, 有效期限是 3650 天.  
输入命令：

openssl ca -config openssl_intermediate_ca.cnf -extensions client_cert -days 365 -notext -md sha256 -in ../client/client.csr.pem -out ../client/client.cert.pem

# 会提示需要输入根凭证的私钥密码, 也就是 bob123
    Enter pass phrase for /ca/intermediate/private/intermediate_ca.key.pem:bob123
    
    # 接著会显示要签发的凭证签发申请档的内容.
    Check that the request matches the signature
    Signature ok
    Certificate Details:
    ...
    # 并询问是否签发, 输入 y
    Sign the certificate? [y/n]:y
    # 以及询问是否纪录签发的凭证到资料库 (index.txt, serial), 输入 y
    1 out of 1 certificate requests certified, commit? [y/n]y

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 2]

变更签发的凭证的存取权限为只读  
输入命令：

chmod 444 ../client/client.cert.pem

![在这里插入图片描述][20200825182725219.png_pic_center]

## 6、检查签发的中继凭证是否无误. ##

输入命令：

openssl x509 -noout -text -in ../client/client.cert.pem

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 3]

# 使用的算法
    Signature Algorithm: sha256WithRSAEncryption
    
    # 公钥的长度
    Subject Public Key Info:
            Public-Key: (4096 bit)
    
    # 有效日期.
    Validity:
        Not Before: Aug  4 23:59:15 2017 GMT
        Not After : Aug  4 23:59:15 2018 GMT
    
    # 主旨 (Helen 的资料).
    Subject: C=AU, ST=New South Wales, O=Helen, OU=Helen,CN=helen@personal/emailAddress=helen@local
    # 签发者 (Bob 的资料).
    Issuer: C=US, ST=California, O=Bob Ltd, OU=Bob Ltd Certificate Authority, CN=Bob Ltd Intermediate CA/emailAddress=bob@local

## 7、确认服务器凭证的完整性, 需要做完整的串链检查, 需要使用含有根凭证的凭证串链. ##

输入命令：

openssl verify -CAfile chain/chain.cert.pem ../client/client.cert.pem

显示 OK 表示正确.  
…/client/client.cert.pem: OK

![在这里插入图片描述][20200825183045855.png_pic_center]

## 8、产生服务器凭证的凭证串链. ##

回到客户端证书目录里

cd ../client

![在这里插入图片描述][2020082518320067.png_pic_center]

产生证书串链：

cat client.cert.pem ../intermediate/chain/chain.cert.pem > client_chain.cert.pem

变更串链的读取权限为只读：

chmod 444 client_chain.cert.pem

![在这里插入图片描述][20200825183259909.png_pic_center]

## 9、客户端证书建立完成 ##

[Link 1]: https://blog.csdn.net/weixin_45309916/article/details/108217572
[Link 2]: https://blog.csdn.net/weixin_45309916/article/details/108221568
[20200825181508332.png_pic_center]: /images/20221123/c2f4cd83339a40688b79f4b991c8d093.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/d7422bcafdcd45d19705c9241c3e5348.png
[20200825181953618.png_pic_center]: /images/20221123/bb5a2b4455154962abf1593289e02c18.png
[20200825182027745.png_pic_center]: /images/20221123/d00a9a236ede4844ac013049e8df63c0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/f15b6fc31f314691872a1aed6f6131b5.png
[20200825182505745.png_pic_center]: /images/20221123/f719d725cd104cd7a6b790a77ab20dbd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/8382f665a69547b78d4e3f522499b9d2.png
[20200825182725219.png_pic_center]: /images/20221123/25ae44ba69874ad389f2480df36b55c8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTMwOTkxNg_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221123/3011c9cd544a487f8b6d7d10078005ed.png
[20200825183045855.png_pic_center]: /images/20221123/1a505d3618d34488b6bee8d3291d2c0c.png
[2020082518320067.png_pic_center]: /images/20221123/2baa33d8145942d39daf746a232a8046.png
[20200825183259909.png_pic_center]: /images/20221123/0a3168a3e99c4c898e93fcd60d7c6069.png