使用OpenSSL生成SSL证书从零开始的安全加密之旅
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
本文介绍了如何使用OpenSSL工具从零开始生成SSL证书，包括创建私钥、证书签名请求以及自签名证书的过程，为网站或服务启用安全加密连接提供了一步步的指导，这是一次深入浅出的安全加密之旅，适合初学者快速上手。
在当今的互联网时代，数据安全变得越来越重要，为了保护用户隐私和敏感信息不被泄露或篡改，网站和应用程序普遍采用HTTPS协议进行通信，实现HTTPS的关键在于拥有一个有效的SSL（Secure Sockets Layer）/TLS（Transport Layer Security）证书，本文将指导您如何使用OpenSSL工具来创建自己的SSL证书，包括自签名证书以及向证书颁发机构(CA)申请正式证书的过程。
准备工作
- 安装OpenSSL：确保您的系统上已经安装了OpenSSL，对于大多数Linux发行版来说，这通常是默认提供的；而在Windows平台上,则需要手动下载并配置。
- 了解基础概念：熟悉公钥基础设施(PKI)的基本原理，包括私钥、公钥、证书请求文件(.csr)等术语。
生成私钥
打开终端或命令提示符窗口,输入以下命令来创建一个新的2048位RSA密钥：
openssl genpkey -algorithm RSA -out private.key -aes256 -pass pass:yourpassword
这里-aes256参数表示使用AES-256算法对私钥文件进行加密，以增加安全性；-pass后面跟着的是用来解密私钥时需要用到的密码,请妥善保管此密码！
创建证书签名请求(CSR)
有了私钥之后，接下来需要基于它来制作证书签名请求文件，该文件包含了关于服务器的信息，比如域名、组织名称等,并且会与私钥一起提交给CA审查。
openssl req -new -key private.key -out server.csr -subj "/C=CN/ST=Beijing/L=Beijing/O=Example Inc./OU=IT Department/CN=www.example.com"
上述命令中的-subj选项用于指定一系列属性值,请根据实际情况调整这些信息。
生成自签名证书
如果您只是出于测试目的，可以立即创建一个自签名证书而不必通过任何官方认证机构，这样做的好处是速度快且成本低，但缺点也很明显——浏览器不会自动信任此类证书,可能会显示警告信息。
openssl x509 -req -days 365 -in server.csr -signkey private.key -out selfsigned.crt
这条命令将基于之前准备好的CSR文件生成有效期为一年的自签名证书。
向CA申请正式证书
若要获得被广泛认可的信任级别，则需向诸如Let's Encrypt这样的非营利性证书颁发机构提出申请,通常流程如下：
- 验证身份：通过电子邮件或其他方式证明你对该域名的所有权。
- 提交CSR：将之前生成的CSR文件发送给CA。
- 等待审核：CA会对你的请求进行审核,确认无误后签发证书。
- 下载证书：一旦获得批准，你可以下载完整的证书链（包括根证书和中间证书）。
配置Web服务器
最后一步是在Web服务器上部署证书，具体步骤取决于所使用的软件类型（如Apache, Nginx等），你需要将私钥(private.key)和证书(selfsigned.crt或从CA处获取的文件)放置于适当位置，并相应地修改配置文件以启用SSL/TLS支持。
通过以上步骤，你现在应该能够成功为自己或客户创建出一个可靠的SSL证书了！不过请注意定期更新证书，保持其有效性,从而持续保障网络安全。
