web-dev-qa-db-ja.com

Javaキーストアにインポートする独自の自己署名ルート証明書と中間CAを作成するにはどうすればよいですか？

Javaキーストアにインポートする自己署名ルート証明書と中間CAを作成するにはどうすればよいですか？

これをSSLとTLSに使用し、後でクライアント証明書ベースのCLIENT-AUTH認証に使用します。

OpenSSLとKeyToolの使用。

opensslcertificateself-signedca
7
EpicPandaForce

チェーンといくつかの証明書を生成したい人のための補足です。 @EpicPandaForce自身の答えを洗練して、root-ca/にルートCA、intermediate/に中間CA、out/に3つの証明書を作成するスクリプトを次に示します。それぞれが中間CAで署名されています。

#!/bin/bash -x

set -e

for C in `echo root-ca intermediate`; do

  mkdir $C
  cd $C
  mkdir certs crl newcerts private
  cd ..

  echo 1000 > $C/serial
  touch $C/index.txt $C/index.txt.attr

  echo '
[ ca ]
default_ca = CA_default
[ CA_default ]
dir            = '$C'                     # Where everything is kept
certs          = $dir/certs               # Where the issued certs are kept
crl_dir        = $dir/crl                 # Where the issued crl are kept
database       = $dir/index.txt           # database index file.
new_certs_dir  = $dir/newcerts            # default place for new certs.
certificate    = $dir/cacert.pem          # The CA certificate
serial         = $dir/serial              # The current serial number
crl            = $dir/crl.pem             # The current CRL
private_key    = $dir/private/ca.key.pem  # The private key
RANDFILE       = $dir/.rnd                # private random number file
nameopt        = default_ca
certopt        = default_ca
policy         = policy_match
default_days   = 365
default_md     = sha256

[ policy_match ]
countryName            = optional
stateOrProvinceName    = optional
organizationName       = optional
organizationalUnitName = optional
commonName             = supplied
emailAddress           = optional

[req]
req_extensions = v3_req
distinguished_name = req_distinguished_name

[req_distinguished_name]

[v3_req]
basicConstraints = CA:TRUE
' > $C/openssl.conf
done

openssl genrsa -out root-ca/private/ca.key 2048
openssl req -config root-ca/openssl.conf -new -x509 -days 3650 -key root-ca/private/ca.key -sha256 -extensions v3_req -out root-ca/certs/ca.crt -subj '/CN=Root-ca'

openssl genrsa -out intermediate/private/intermediate.key 2048
openssl req -config intermediate/openssl.conf -sha256 -new -key intermediate/private/intermediate.key -out intermediate/certs/intermediate.csr -subj '/CN=Interm.'
openssl ca -batch -config root-ca/openssl.conf -keyfile root-ca/private/ca.key -cert root-ca/certs/ca.crt -extensions v3_req -notext -md sha256 -in intermediate/certs/intermediate.csr -out intermediate/certs/intermediate.crt

mkdir out

for I in `seq 1 3` ; do
  openssl req -new -keyout out/$I.key -out out/$I.request -days 365 -nodes -subj "/CN=$I.example.com" -newkey rsa:2048
  openssl ca -batch -config root-ca/openssl.conf -keyfile intermediate/private/intermediate.key -cert intermediate/certs/intermediate.crt -out out/$I.crt -infiles out/$I.request
done
21
tuomassalo

次のガイドに基づいて、これを可能にしたガイドを作成してくれたJamie Nguyenに特に感謝します、ありがとう！

https://jamielinux.com/articles/2013/08/act-as-your-own-certificate-authority/ のガイドに従うことにより、次のことを行います。

  • Windows用のOpenSSLをインストールします： http://slproweb.com/products/Win32OpenSSL.html

  • binフォルダーを環境変数PATHに追加します

  • 証明書用のディレクトリを作成します。これをcert-testと呼びます。

  • [CA_default]タグには次のopenssl.cfgデータを使用します。

この

[ CA_default ]
dir        = .    # Where everything is kept
certs        = $dir/certs                # Where the issued certs are kept
crl_dir    = $dir/crl                # Where the issued crl are kept
database    = $dir/index.txt            # database index file.
new_certs_dir    = $dir/newcerts            # default place for new certs.

certificate    = $dir/cacert.pem                # The CA certificate
serial        = $dir/serial                # The current serial number
crl        = $dir/crl.pem                # The current CRL
private_key    = $dir/private/ca.key.pem       # The private key
RANDFILE    = $dir/.rnd     # private random number file

  • cert_testにディレクトリを作成します：certs crl newcerts private

  • 次のコマンドを使用して作成します

ルートCA：

openssl genrsa -aes256 -out /etc/pki/CA/private/ca.key.pem 4096

openssl req -new -x509 -days 3650 -key /etc/pki/CA/private/ca.key.pem -sha256 -extensions v3_ca -out /etc/pki/CA/certs/ca.cert.pem

  • フォルダを作成するintermediate

  • フォルダを作成するcerts crl newcerts private

  • ファイルの作成index.txt

  • ファイルserialを作成し、1000のように番号を書き込みます

  • 以下を実行します

コマンド：

openssl genrsa -aes256 -out intermediate/private/intermediate.key.pem 4096

openssl req -config intermediate/openssl.cfg -sha256 -new -key intermediate/private/intermediate.key.pem -out intermediate/certs/intermediate.csr.pem

openssl ca -keyfile private/ca.key.pem -cert certs/ca.cert.pem -extensions v3_ca -notext -md sha256 -in intermediate/certs/intermediate.csr.pem -out intermediate/certs/intermediate.cert.pem
  • チェーンファイルを作成する

cat：

cat intermediate/certs/intermediate.cert.pem certs/ca.cert.pem > intermediate/certs/ca-chain.cert.pem
  • チェーンからJKSファイルを作成する

keytool：

keytool -importkeystore -srckeystore ia.p12 -srcstoretype PKCS12 -destkeystore ia.jks

keytool -import -noprompt -trustcacerts -alias test_certificate -file ia.crt -keystore ia.jks -storepass helloworld

keytool -importcert -alias test_cert_ca -keystore "c:\Program Files\Java\jdk1.8.0\jre\lib\security\cacerts" -file ca.crt

keytool -importcert -alias test_cert_ia -keystore "c:\Program Files\Java\jdk1.8.0\jre\lib\security\cacerts" -file ia.crt

また、CA証明書をia.jksにインポートする必要がある場合があります。

11
EpicPandaForce