Создаем сертификаты: OpenSSL

Практическая польза данной статьи, научиться быстро начать работу с SSL сертификатами при помощи программы OpenSSL. Разумеется, выпуском сертификатов занимаются специальные центры сертификации, и Вам не стоит задумываться о тонкостях создания сертификатов, тем более в production версии Вы все равно сделаете запрос на сертификат в один из таких центров, но в режиме debug/test, вы можете использовать сертификаты сделанные собственноручно (что мне однажды и потребовалось). Я не буду рассказывать что такое SSL сертификат и для чего он нужен, но для понимания статьи, это необходимо знать. Для лучшего понимания данной статьи, выделим несколько основных этапов:

1. Скачаем и установим OpenSSL.
2. Настроим рабочее место.
3. Выпустим CA сертификат и для него список отозванных сертификатов CRL.
4. Сделаем запрос на сертификат нашему центру сертификации.
5. Выпустим сертификат по запросу.
6. Добавим наши сертификаты в хранилища сертификатов.

1. Скачиваем с сайта последнюю версию OpenSSL, и устанавливаем ее на жесткий диск.

2. Для удобства, добавьте в переменную PATH полный путь к bin директории OpenSSL. Далее, для того чтобы созданные ключи, запросы на сертификат, сертификаты и прочее не были перемешаны в общей куче, я рекомендую создать для себя рабочий каталог mySSL, со следующими подкаталогами:



В нашем случае, C:\mySSL\ является рабочим каталогом, содержащим следующие подкаталоги и файлы:

• key - каталог с private-ключами
• csr - каталог запросов на сертификат (Certificate Signing Request)
• cer - каталог сертификатов, для публичного пользования (Certificate)
• crl - каталог списков отозванных сертификатов (Certificate Revocation List)
• p12 - каталог сертификатов p12, с private-ключом(Personal Information Exchange File)
• database.txt - база данных выпущенных сертификатов
• serial.txt - файл с текущим серийным номером сертификата

Структура каталогов создана, и как мне кажется, она достаточно удобна для решения данной задачи. Осталось настроить OpenSSL. Для этого, в рабочем каталоге (C:\mySSL\) надо разместить конфигурационный файл openssl.conf, после чего можно приступать к созданию сертификатов.

3. Выпустим собственный CA сертификат, для этого, получим private-ключ для нашего CA сертификата. Это можно сделать выполнив команду:

#openssl genrsa -des3 -out key/ca.key 1024

После чего, создадим CA сертификат, выполнив команду:

#openssl req -config openssl.conf -new -x509 -days 365 -key key/ca.key -out cer/ca.cer -subj "/C=RU/ST=Russia/L=Moscow/O=MyCompany/OU=CA/CN=localhost"

Здесь же создадим список отозванных сертификатов для CA сертификата:

#openssl ca -config openssl.conf -gencrl -out crl/ca.crl

Сделаем экспорт в PKCS12, упаковав приватный ключ и сам CA сертификат:

#openssl pkcs12 -export -in cer/ca.cer -inkey key/ca.key -out p12/ca.p12

4. Наш CA сертификат готов, теперь мы можем приступить к выпуску дочернего SSL сертификата, для этого сделаем запрос на SSL сертификат:

#openssl.exe req -config openssl.conf -new -newkey rsa:1024 -keyout key/test.key -nodes -out csr/test.csr -subj "/C=RU/ST=Russia/L=Moscow/O=MyCompany/OU=IT Departament/CN=localhost"

5. Подтвердим запрос на сертификат нашим CA сертификатом (подпишим серификат нашим CA сертификатом):

#openssl ca -policy policy_any -config openssl.conf -in csr/test.csr -days 360 -out cer/test.cer

Сделаем экспорт в PKCS12 полученного SSL сертификата:

#openssl pkcs12 -export -out p12/test.p12 -in cer/test.cer -inkey key/test.key

6. Для того чтобы добавить наши сертификаты (PKCS12) в хранилище сертификатов надо в консоли управления оснастками(команда mmc) добавить оснастку "Сертификаты" для локальной машины, после чего, импортировать наши сертификаты и список отозванных сертификатов в соответствующие папки (в папку "Личные" и "Доверенные корневые центры сертификации").

Для быстрого развертывания можно скачать итоговый bat-скрипт. Данный скрипт создает структуру каталогов, конфигурационный файл openssl.conf и запускает процесс создания сертификатов.

PS: Берегите файлы с приватными ключами (*.key) и файлы PKCS12 (*.p12), по возможности храните данные файлы на специальных носителях. Доступ к данным файлам должен быть сильно ограничен!
Файлы сертификатов (*.cer) и список отозванных сертификатов (*.crl) созданы специально для публичного доступа, в том числе и для размещения в интернете.
Список отозванных сертификатов (*.crl) должен обновляться как можно чаще.

UPD: После того как необходимость в тестовом CA сертификате пройдет, не забудьте удалить его из списка доверенных сертификатов.