自定義根證書頒發機構 CA 生成自簽名證書

作者：五月君 2020-10-26 08:17:43

本文為使用過程中的一個工具記錄，可實現在本地開啟一個 HTTPS 服務器用于開發或測試。我們會先創建一個 CA 根證書，再創建一個由 CA 根證書簽名的自定義證書。

本文從以下幾個方面講解：

創建自己的自定義證書頒發機構 CA
使用 CA 根證書簽名服務器證書
在 Node.js 服務器中配置證書
添加根證書到本地計算機的受信任根存儲中

創建自己的自定義證書頒發機構 CA

生成私鑰

$ openssl ecparam -out ca.key -name prime256v1 -genkey

生成證書請求文件

$ openssl req -new -sha256 -key ca.key -out ca.csr     
 
# 以下為需要輸入的交互信息 
Country Name (2 letter code) []:CN 
State or Province Name (full name) []:BeiJing 
Locality Name (eg, city) []:BeiJing 
Organization Name (eg, company) []:Node.js 
Organizational Unit Name (eg, section) []:Node.js 
Common Name (eg, fully qualified host name) []:test.ca.com 
Email Address []: 
 
Please enter the following 'extra' attributes 
to be sent with your certificate request 
A challenge password []:abc123***

生成根證書

$ openssl x509 -req -sha256 -days 365 -in ca.csr -signkey ca.key -out ca.crt

使用 CA 根證書簽名服務器證書

生成私鑰

$ openssl ecparam -out server.key -name prime256v1 -genkey

生成證書請求文件

$ openssl req -new -sha256 -key server.key -out server.csr 
 
# 注意下面服務器證書的 Common Name 不能與上面頒發者 CA 的 Common Name 一樣 
Country Name (2 letter code) []:CN 
State or Province Name (full name) []:ShangHai 
Locality Name (eg, city) []:ShangHai 
Organization Name (eg, company) []:Node.js 
Organizational Unit Name (eg, section) []:Node.js 
Common Name (eg, fully qualified host name) []:test.https.com 
Email Address []: 
 
Please enter the following 'extra' attributes 
to be sent with your certificate request 
A challenge password []:abc123***

使用 CA 的根證書為服務器證書簽名

$ openssl x509 -req -in server.csr -CA  ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -sha256 
 
# 成功之后有以下提示 
Signature ok 
subject=/C=CN/ST=ShangHai/L=ShangHai/O=Node.js/OU=Node.js/CN=test.https.com 
Getting CA Private Key

服務端證書中使用到的域名是我們自己定義的，需要在本地 hosts 文件做映射，如果不知道為什么要修改和該如何修改的參考文章 DNS 域名解析過程?github.com/qufei1993/http-protocol/blob/master/docs/dns-process.md

證書文件列表

完成之后可以看到如下文件，server.crt 是服務器的證書文件，ca.crt 就是我們創建的根正書。

在 Node.js 服務器中配置證書

const express = require('express'); 
const https = require('https'); 
const fs = require('fs'); 
const app = express(); 
const PORT = 8443; 
const options = { 
  key: fs.readFileSync('./cert/server.key'), 
  cert: fs.readFileSync('./cert/server.crt') 
}; 
 
https.createServer(options, app) 
  .listen(PORT, () => console.log(`App listening on port ${PORT}!`)); 
 
app.get('/', (req, res) => res.send('Hello World!'));