Qual é o papel de cakey.pem e cacert.pem além de criptografia baseada em .key e .crt?

Question

Eu tenho o arquivo .key que contém os dados da chave privada, .crt arquivo que seria certificado com chave pública e, que eu saiba, é isso para criptografia de chave pública, certo?

Não exatamente. Para atingir meu objetivo, também devo gerar o cakey.pem e o cacert.pem, para os quais não sei para que servem.

Eu tenho um exemplo com a configuração do TLS com o MTA do Postfix.

Eu faço:

openssl genrsa 1024 > smtpd.key
openssl req -new -key smtpd.key -x509 -days 3650 -out smtpd.crt

estes dois - smtpd.key e smtpd.crt - são chave (chave privada) e certificado (com chave pública incorporada).

qual é o

openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.pem -days 3650

arquivos cakey.pem e cacert.pem para?

    

Answer 1

Você não precisa de uma autoridade de certificação . Um certificado auto-assinado é perfeitamente válido por si só. De fato, é a sua própria CA.

Se você quiser usar uma CA dedicada, será necessário assinar smtpd.crt com a autoridade de certificação. CAs são usadas para estabelecer uma cadeia de confiança. Se um cliente confiar em uma autoridade de certificação, ele automaticamente confiará em todos os certificados assinados por ele.

Aqui está um guia para criar uma CA autoassinada e assinar um certificado com ela, tirado de Parallels :

• openssl genrsa -out rootCA.key 2048
• openssl req -x509 -new -nodes -key rootCA.key -days 3650 -out rootCA.pem
• openssl genrsa -out server.key 2048
• openssl req -new -key server.key -out server.csr
• openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 730