OpenSSLを使用してLinuxでSSL証明書を生成する方法

OpenSSLを使用した証明書の生成は、さまざまな方法で可能です。そのうちの1つは、組織に関する詳細を指定する構成ファイルを使用することです。

まず、「config.conf」という構成ファイルを作成し、Nanoを使用して編集します。

sudo nano example.conf

構成ファイルの内容の例を次に示します。

[req]
default_bits = 2048
prompt = no
default_md = sha256
req_extensions = req_ext
x509_extensions= v3_ca
distinguished_name = dn
 
[dn]
C = US
ST = California
L = Los Angeles
O = Org
OU = Sales
emailAddress = test@test.com
CN = www.org.test.com
 
[ v3_ca ]
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer:always
basicConstraints = CA:true
 
[req_ext]
subjectAltName = @alt_names
 
[alt_names]
DNS.1 = test.example.com

これをコピーしてファイルに貼り付け、組織の情報を反映するために必要な変更を加えることができます。

次に、RSA秘密鍵を生成する必要があります。これは、ルート証明書の生成に使用されます-：

openssl genrsa -out example.key 2048

-out この場合、フラグは、生成されるキーの名前を指定するために使用されます。 RSAキーのデフォルトである2048ビットのキーサイズも指定されています。

また、証明書署名要求（CSR）を生成する必要があります：

openssl req -new -key example.key -out example.csr -config example.conf

この場合、-key フラグは、RSAキー、-outを指定するために使用されます フラグは、CSRファイルの名前と-configを指定します フラグは、構成ファイルの名前を指定するために使用されます。

この後、最終的な証明書を生成するために使用されるルート証明書を生成できます。

openssl req -x509 -sha256 -nodes -new -key example.key -out example.crt -config example.conf

このルート証明書を生成する過程で、-sha256 フラグは、メッセージダイジェストとしてSHA256を指定するために使用されます。

これで、最後のステップとして、最後に次のように入力して証明書を生成できます。

openssl x509 -sha256 -CAcreateserial -req -days 30 -in example.csr -extfile example.conf -CA example.crt -CAkey example.key -out final.crt

-CA フラグはルート証明書、-CAkeyを指定します フラグは秘密鍵と-extfileを指定します 構成ファイルの名前を指定します。 「final.crt」ファイルは、必要なSSL証明書になります。

構成ファイルなしで証明書を生成する

または、構成ファイルなしでOpenSSLを使用して証明書を生成することもできます。

RSA秘密鍵を生成することから始めることができます：

openssl genrsa -out example.key 2048

次に、CSRを生成する必要があります：

openssl req -new -key example.key -out example.csr

CSRを生成するときに、組織に関する質問に回答するように求められます。

最後に、証明書自体を生成できます：

openssl x509 -req -days 30 -in example.csr -signkey example.key -out example.crt

キーと証明書の検証

キーと証明書は、OpenSSLを使用して-checkで簡単にチェックおよび検証できます。 フラグ：

openssl rsa -check -in example.key

証明書署名要求を確認できます：

openssl req -text -noout -in example.csr

および証明書も：

openssl x509 -text -noout -in example.crt

よくある質問

1。それでもHeartbleedについて心配する必要がありますか？

Heartbleed（CVE-2014-0160）は、2014年にOpenSSLで見つかった古い脆弱性です。TLSサーバーとOpenSSLを実行しているクライアントの両方が影響を受けました。パッチは発見から数日後にすぐにリリースされました。OpenSSLの最新バージョンを実行している限り、この脆弱性は2022年に心配する必要はありません。

DebianおよびUbuntuベースのシステムでOpenSSLを使用している場合は、次のコマンドを実行することでいつでも更新できます。

sudo apt update && sudo apt upgrade openssl

2。 SSL証明書は有効期限が切れるまでどのくらい続きますか？

これは、証明書を生成するときに選択した値によって異なります。これは、-daysを使用して指定できます 証明書を生成するときにフラグを立てます。