OpenSSL CA

Настраиваем CA

Скачиваем Makefile и openssl.cnf, кладём их в один каталог :)

Генерируем сертификат Certificate Authority (CA)

$ make init

Создание сертификата

1. Генерируем приватный RSA-ключ

$ openssl genrsa -des3 -out host.key 1024

2. Генерируем CSR (Certificate Signing Request) и снимаем пароль

$ openssl req -new -key host.key -out host.csr
$ cp host.key host.key.orig
$ openssl rsa -in host.key.orig -out host.key
$ rm host.key.orig
$ chmod 400 host.key

Common Name должен быть в fdqn-формате :)

3. Отправляем host.csr какому-то конкретному CA на подпись или подписываем своим CA

$ make

Если речь идёт о self-signed SSL-сертификате, то достаточно:

openssl x509 -req -days 365 -in host.csr -signkey host.key -out host.crt

Отзыв сертификата

$ make revoke cert=host.cert

Проверка сертификата

$ openssl s_client -connect mail.example.org:110 -starttls pop3 -showcerts
$ echo | openssl s_client -connect domain.tld:443 -servername domain.tld 2>/dev/null | openssl x509 -noout -dates

Дополнительно

Apache:

AddType application/x-x509-ca-cert .crt .cert

Fingerprint:

$ openssl x509 -noout -fingerprint -text < host.cert > host.info

Self-signed сертификат

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout host.key -out host.crt