Ubuntuで認証局を作って、SSL

この方法では捺印アルゴリズムがsha-1になるので使えません


基本的にはここの記事のまま　http://qiita.com/makoto1899/items/ef15372d4cf4621a674e

下準備

ubuntuの場合はSSLの設定ファイルは　/etc/ssl/openssl.cnf　のようです。

なので、/etc/ssl/openssl.cnf　をまず編集します。ファイルの

[ CA_default ]

dir            = ./demoCA              # Where everything is kept

を、適当なCA用ファイルの保存用のフォルダーに 指定する。

dir             = /etc/ssl/hogeCA

指定したフォルダーの下にディレクトリを作成

$ sudo mkdir -p /etc/ssl/hogeCA/certs
$ sudo mkdir -p /etc/ssl/hogeCA/private
$ sudo mkdir -p /etc/ssl/hogeCA/crl
$ sudo mkdir -p /etc/ssl/hogeCA/newcerts

$ sudo chmod 700 private

シリアルを初期化する　echo "01" > /etc/ssl/hogeCA/serial　とあるが、どうもうまくいかないので、エディタで書き込む。

証明書データベースを初期化します。

$ sudo touch /etc/ssl/hogeCA/index.txt

CA証明書/秘密鍵作成

あとは基本参照サイトそのまま

cd /etc/ssl/hogeCA

openssl req -new -x509 -newkey rsa:2048 -out cacert.pem -keyout private/cakey.pem -days 1825

パスフレーズを聞かれる、CAのパスワードとなる、厳重管理注意。あとは証明書情報を適当に入れる。
作成が終わると以下のファイルができあがります。

/etc/ssl/hogeCA/cacert.pem : 自己署名済みCA証明書

/etc/ssl/hogeCA/private/cakey.pem : CA証明書の秘密鍵

 CA証明書の秘密鍵のアクセス権を変更

chown root:root /etc/ssl/hogeCA/private/cakey.pem

chmod 600 /etc/ssl/hogeCA/private/cakey.pem 

CA証明書の発行

OS組み込み用の証明書を発行。

openssl x509 -inform PEM -outform DER -in /etc/ssl/hogeCA/cacert.pem -out /etc/ssl/hogeCA/hogeCAcert.der

作成したhogeCAcert.der　をWindowsに移行。Windowsでは。「コントロールパネル」→「インターネットオプション」→「コンテンツ」→「証明書」の「信頼されたルート証明機関」にインポートで、以後のsslサーバー用の証明書が有効になるのかな。

ちなみに削除できないこともあるようでその場合は「ファイル名を指定して実行」で「certmgr.msc」で消せるみたい。

IEとChromeはこれでOK(ChromeはPCの再起動が必要かも）FIrefoxは独自に管理

サーバー証明書の発行

格納するためのディレクトリを作成

$ sudo mkdir -p /etc/ssl/www.hoge.com

鍵ペアと証明書要求(CSR)ファイルを作成します。

openssl req -new -keyout /etc/ssl/www.hoge.com/hoge_key.pem -out /etc/ssl/www.hoge.com/hoge_csr.pem

適当に情報を入力

作成が終わると以下のファイルができあがる。

/etc/ssl/www.hoge.com/hoge_csr.pem : サーバ証明書要求(CSR)

/etc/ssl/www.hoge.com/hoge_key.pem : サーバ秘密鍵

サーバ証明書要求(CSR)を先ほど作成した自己認証CA局で署名。

openssl ca -out /etc/ssl/www.hoge.com/hoge_cert.pem -infiles /etc/ssl/www.hoge.com/hoge_csr.pem

秘密鍵に書かれているのでこんな感じでRSAキーを書き込みます。

openssl rsa -in /etc/ssl/www.hoge.com/hoge_key.pem -out /etc/ssl/www.hoge.com/hoge_key.pem.nopass

現在出来上がったファイルはこんな感じとなります。

/etc/ssl/www.hoge.com/hoge_csr.pem : サーバ証明書要求(CSR) ←もういらない!?

/etc/ssl/www.hoge.com/hoge_key.pem : サーバ秘密鍵

/etc/ssl/www.hoge.com/hoge_cert.pem : サーバ証明書(署名済み)

/etc/ssl/www.hoge.com/hoge_key.pem.nopass　　パスワード無し。