Crie a CA raiz (autoassinada):
Vamos dar uma olhada nas opções em detalhes:
- x509 identifica que um certificado é necessário, em vez de apenas uma solicitação de certificado (veja abaixo).
- dias 30000 define o certificado para expirar em 30.000 dias. Você pode querer estender esse período. Anote o prazo de validade para que você possa renová-lo quando necessário!
- sha1 especifica que a criptografia SHA1 deve ser usada. rsa: 2048 define a chave como RSA de 2048 bits. Os nós
- não especificam senha.
- keyout e -out especifica onde armazenar o certificado e a chave. A chave deve ser apenas legível por raiz; o certificado pode ser legível por todos e deve ser legível pelo usuário para o qual o Apache é executado.
- O sinalizador subj define o nome da empresa, o nome do departamento e o endereço do site. Se você deixar de fora, você será solicitado por eles. O CN deve ser o mesmo que o endereço do seu site, caso contrário, o certificado não corresponderá e os usuários receberão um aviso durante a conexão. Certifique-se de não usar uma senha de desafio.
Crie:
sudo openssl req -x509 -nodes -newkey rsa:2048 -sha1 -keyout rootkey.key -out rootca.crt -passin pass:root -days 30000 -subj "/C=DU/ST=Dubai/L=TownCenter/O=AmesCom/CN=AmesCom Int" -config openssl.cnf.my
Criptografa a chave manualmente:
A chavenão é criptografada por causa da opção -nodes, então nós a criptografamos manualmente:
sudo cp rootkey.key rootkey.key.org
sudo openssl rsa -in rootkey.key.org -out rootkey.key
Teste:
para testes imediatos, você pode seguir duas formas:
openssl x509 -text -noout -in rootca.crt
ou examine seu conteúdo no navegador:
cp rootca.crt /var/www/html/
do navegador solicite o endereço:
http://yourserverdomain/rootca.crt
Agora você pode criar solicitações de certificado e assiná-las com este certificado autoassinado