我正在为嵌入式Linux设备添加HTTPS支持。我尝试使用以下步骤生成自签名证书:
openssl req -new > cert.csr
openssl rsa -in privkey.pem -out key.pem
openssl x509 -in cert.csr -out cert.pem -req -signkey key.pem -days 1001
cat key.pem>>cert.pem
这有效,但我在使用Google Chrome时遇到了一些错误:
这可能不是您要找的网站! 该网站的安全证书不受信任!
我错过了什么吗?这是构建自签名证书的正确方法吗?
您可以在一个命令中执行此操作:
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365
如果您不想用密码短语保护私钥,也可以添加-nodes
(no DES
的缩写)。否则它会提示您输入“至少4个字符”的密码。
days
参数(365)可以替换为任何数字以影响到期日期。然后它会提示您输入“国家/地区名称”等内容,但您只需按Enter键即可接受默认设置。
添加-subj '/CN=localhost'
以禁止有关证书内容的问题(将localhost
替换为您想要的域)。
除非您先前将自签名证书导入浏览器,否则不会向任何第三方验证自签名证书。如果您需要更高的安全性,则应使用由certificate authority(CA)签名的证书。
您的一般程序是正确的。该命令的语法如下。
openssl req -new -key {private key file} -out {output file}
但是,会显示警告,因为浏览器无法通过使用已知证书颁发机构(CA)验证证书来验证身份。
由于这是一个自签名证书,因此没有CA,您可以放心地忽略该警告并继续。如果您想获得公共互联网上任何人都能识别的真实证书,那么程序如下。
我在Securing the Connection: Creating a Security Certificate with OpenSSL的一篇文章中有关于此的更多细节
一个班轮FTW。我喜欢保持简单。为什么不使用一个包含所有需要参数的命令?这就是我喜欢的方式 - 这会创建一个x509证书及其PEM密钥:
openssl req -x509 \
-nodes -days 365 -newkey rsa:4096 \
-keyout self.key.pem \
-out self-x509.crt \
-subj "/C=US/ST=WA/L=Seattle/CN=example.com/[email protected]"
该单个命令包含您通常为证书详细信息提供的所有答案。通过这种方式,您可以设置参数并运行命令,获取输出 - 然后去喝咖啡。
单线版2017:
CentOS的:
openssl req -x509 -nodes -sha256 -newkey rsa:2048 \
-keyout localhost.key -out localhost.crt \
-days 3650 \
-subj "CN=localhost" \
-reqexts SAN -extensions SAN \
-config <(cat /etc/pki/tls/openssl.cnf <(printf "\n[SAN]\nsubjectAltName=IP:127.0.0.1,DNS:localhost"))
Ubuntu的:
openssl req -x509 -nodes -sha256 -newkey rsa:2048 \
-keyout localhost.key -out localhost.crt \
-days 3650 \
-subj "CN=localhost" \
-reqexts SAN -extensions SAN \
-config <(cat /etc/ssl/openssl.cnf <(printf "\n[SAN]\nsubjectAltName=IP:127.0.0.1,DNS:localhost"))
生成密钥
我使用
/etc/mysql
进行证书存储,因为/etc/apparmor.d/usr.sbin.mysqld
包含/etc/mysql/*.pem r
。sudo su - cd /etc/mysql openssl genrsa -out ca-key.pem 2048; openssl req -new -x509 -nodes -days 1000 -key ca-key.pem -out ca-cert.pem; openssl req -newkey rsa:2048 -days 1000 -nodes -keyout server-key.pem -out server-req.pem; openssl x509 -req -in server-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem; openssl req -newkey rsa:2048 -days 1000 -nodes -keyout client-key.pem -out client-req.pem; openssl x509 -req -in client-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem;
添加配置
/etc/mysql/my.cnf
[client] ssl-ca=/etc/mysql/ca-cert.pem ssl-cert=/etc/mysql/client-cert.pem ssl-key=/etc/mysql/client-key.pem [mysqld] ssl-ca=/etc/mysql/ca-cert.pem ssl-cert=/etc/mysql/server-cert.pem ssl-key=/etc/mysql/server-key.pem
在我的设置上,Ubuntu服务器登录到:/var/log/mysql/error.log
SSL error: Unable to get certificate from '...'
MySQL might be denied read access to your certificate file if it is not in apparmors configuration。如前面步骤中所述^,将所有证书保存为.pem
目录中的/etc/mysql/
文件,默认情况下由apparmor批准(或修改您的apparmor / SELinux以允许访问存储它们的任何位置。)SSL error: Unable to get private key
Your MySQL server version may not support the default rsa:2048
format
将生成的rsa:2048
转换为plain rsa
:
openssl rsa -in server-key.pem -out server-key.pem
openssl rsa -in client-key.pem -out client-key.pem
mysql -u root -p
mysql> show variables like "%ssl%";
+---------------+----------------------------+
| Variable_name | Value |
+---------------+----------------------------+
| have_openssl | YES |
| have_ssl | YES |
| ssl_ca | /etc/mysql/ca-cert.pem |
| ssl_capath | |
| ssl_cert | /etc/mysql/server-cert.pem |
| ssl_cipher | |
| ssl_key | /etc/mysql/server-key.pem |
+---------------+----------------------------+
show status like 'Ssl_cipher';
如果您的连接未加密,则结果将为空:
mysql> show status like 'Ssl_cipher';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| Ssl_cipher | |
+---------------+-------+
1 row in set (0.00 sec)
否则,它将显示正在使用的密码的非零长度字符串:
mysql> show status like 'Ssl_cipher';
+---------------+--------------------+
| Variable_name | Value |
+---------------+--------------------+
| Ssl_cipher | DHE-RSA-AES256-SHA |
+---------------+--------------------+
1 row in set (0.00 sec)
GRANT ALL PRIVILEGES ON test.* TO 'root'@'localhost'
REQUIRE SSL;
要进行连接,客户端必须指定--ssl-ca选项来验证服务器证书,还可以指定--ssl-key和--ssl-cert选项。如果既未指定--ssl-ca选项也未指定--ssl-capath选项,则客户端不会对服务器证书进行身份验证。备用链接:Secure PHP Connections to MySQL with SSL的冗长教程。
正如已经详细讨论的那样,self-signed certificates are not trusted for the Internet。你可以add your self-signed certificate to many but not all browsers。或者你可以become your own certificate authority。
一个人不想从证书颁发机构获得签名证书的主要原因是成本 - Symantec charges between $995 - $1,999 per year for certificates -- just for a certificate intended for internal network, Symantec charges $399 per year。如果您正在处理信用卡付款或为高利润公司的利润中心工作,那么这个成本很容易证明是合理的。对于在互联网上创建的个人项目,或者在最低预算下运营的非盈利组织,或者如果在组织的成本中心工作,成本中心总是试图做更多少用。
另一种方法是使用certbot(参见about certbot)。 Certbot是一个易于使用的自动客户端,可为您的Web服务器提取和部署SSL / TLS证书。
如果您设置了certbot,则可以启用它来为Let’s Encrypt证书颁发机构颁发的证书创建和维护。
我周末为我的组织做了这件事。我在我的服务器(Ubuntu 16.04)上安装了certbot所需的软件包,然后运行了设置和启用certbot所需的命令。有人可能需要DNS plugin用于certbot - 我们目前正在使用DigitalOcean虽然可能很快就会迁移到另一个服务。
请注意,有些说明并不完全正确,并且需要花点时间与谷歌一起搞清楚。这花费了我第一次相当多的时间,但现在我觉得我可以在几分钟内完成。
对于DigitalOcean,我遇到的一个方面是当我被提示输入您的DigitalOcean凭证INI文件的路径时。脚本所指的是Applications & API页面和该页面上的Tokens / Key选项卡。您需要拥有或生成DigitalOcean API的个人访问令牌(读取和写入) - 这是一个65个字符的十六进制字符串。然后,需要将此字符串放入运行certbot的Web服务器上的文件中。该文件的第一行可以有注释(注释以#开头)。第二行是:
dns_digitalocean_token = 0000111122223333444455556666777788889999aaaabbbbccccddddeeeeffff
一旦我弄清楚如何为DigitalOcean的API设置读/写令牌,使用certbot设置wildcard certificate非常容易。请注意,不必设置通配符证书,可以改为指定希望证书适用的每个域和子域。通配符证书需要包含DigitalOcean个人访问令牌的凭据INI文件。
请注意,公钥证书(也称为身份证书或SSL证书)将过期并需要续订。因此,您需要定期(重复)更新证书。 certbot文档涵盖renewing certificates。
我的计划是编写一个脚本来使用openssl命令获取我的证书的到期日期,并在30天或更短时间内触发续订,直到它到期为止。然后我将这个脚本添加到cron并每天运行一次。
以下是读取证书到期日期的命令:
root@prod-host:~# /usr/bin/openssl x509 -enddate -noout -in path-to-certificate-pem-file
notAfter=May 25 19:24:12 2019 GMT
我错过了什么吗?这是构建自签名证书的正确方法吗?
创建自签名证书很容易。你只需使用openssl req
命令。创建一个可以被最大的客户端选择(如浏览器和命令行工具)使用的方法可能很棘手。
这很困难,因为浏览器有自己的一套要求,而且它们比IETF更具限制性。浏览器使用的要求记录在CA/Browser Forums上(参见下面的参考资料)。这些限制出现在两个关键领域:(1)信任锚,以及(2)DNS名称。
现代浏览器(如我们在2014/2015年使用的warez)需要一个链接回信任锚的证书,并且他们希望在证书中以特定方式呈现DNS名称。浏览器正在积极地反对自签名服务器证书。
某些浏览器并不能完全轻松导入自签名服务器证书。事实上,你不能用某些浏览器,比如Android的浏览器。所以完整的解决方案就是成为你自己的权威。
如果没有成为您自己的权限,您必须获得正确的DNS名称,以便为证书提供最大的成功机会。但我鼓励你成为自己的权威。很容易成为你自己的权威,它会回避所有的信任问题(谁比你自己更信任?)。
这可能不是您要找的网站! 该网站的安全证书不受信任!
这是因为浏览器使用预定义的信任锚列表来验证服务器证书。自签名证书不会链回到受信任的锚点。
避免这种情况的最佳方法是:
第1步 - 创建自己的权限只是意味着使用CA: true
和正确的密钥用法创建自签名证书。这意味着Subject和Issuer是同一个实体,CA在Basic Constraints中设置为true(它也应该标记为关键),密钥用法是keyCertSign
和crlSign
(如果你使用的是CRL),主题密钥标识符(SKI) )与授权密钥标识符(AKI)相同。
要成为您自己的证书颁发机构,请参阅Stack Overflow上的* How do you sign a certificate signing request with your certification authority?。然后,将您的CA导入浏览器使用的Trust Store。
当您获得像Startcom或CAcert这样的CA的服务时,步骤2 - 4大致就是您现在为面向公众的服务器所做的事情。步骤1和5允许您避免第三方权限,并充当您自己的权限(谁比您自己更信任?)。
避免浏览器警告的下一个最佳方法是信任服务器的证书。但有些浏览器,比如Android的默认浏览器,不允许你这样做。所以它永远不会在平台上运行。
不信任自签名证书的浏览器(和其他类似用户代理)的问题将成为物联网(IoT)中的一个大问题。例如,当您连接到恒温器或冰箱进行编程时会发生什么?答案是,就用户体验而言,没什么好处。
W3C的WebAppSec工作组正在开始研究这个问题。例如,参见Proposal: Marking HTTP As Non-Secure。
如何使用OpenSSL创建自签名证书
以下命令和配置文件创建自签名证书(它还向您显示如何创建签名请求)。它们在一个方面与其他答案不同:用于自签名证书的DNS名称位于主题备用名称(SAN)中,而不是公用名称(CN)。
DNS名称通过配置文件放在SAN中,行subjectAltName = @alternate_names
(无法通过命令行执行此操作)。然后在配置文件中有一个alternate_names
部分(你应该调整它以适合你的口味):
[ alternate_names ]
DNS.1 = example.com
DNS.2 = www.example.com
DNS.3 = mail.example.com
DNS.4 = ftp.example.com
# Add these if you need them. But usually you don't want them or
# need them in production. You may need them for development.
# DNS.5 = localhost
# DNS.6 = localhost.localdomain
# DNS.7 = 127.0.0.1
# IPv6 localhost
# DNS.8 = ::1
将DNS名称放在SAN而不是CN中非常重要,因为IETF和CA /浏览器论坛都指定了这种做法。它们还指定不推荐使用CN中的DNS名称(但不禁止)。如果在CN中放置DNS名称,则必须将其包含在CA / B策略下的SAN中。因此,您无法避免使用主题备用名称。
如果您没有在DNS中放置DNS名称,则证书将无法在遵循CA /浏览器论坛指南的浏览器和其他用户代理下进行验证。
相关:浏览器遵循CA /浏览器论坛政策;而不是IETF的政策。这是使用OpenSSL(通常遵循IETF)创建的证书有时不在浏览器下验证(浏览器遵循CA / B)的原因之一。它们是不同的标准,它们具有不同的发布策略和不同的验证要求。
创建自签名证书(注意添加-x509
选项):
openssl req -config example-com.conf -new -x509 -sha256 -newkey rsa:2048 -nodes \
-keyout example-com.key.pem -days 365 -out example-com.cert.pem
创建签名请求(注意缺少-x509
选项):
openssl req -config example-com.conf -new -sha256 -newkey rsa:2048 -nodes \
-keyout example-com.key.pem -days 365 -out example-com.req.pem
打印自签名证书:
openssl x509 -in example-com.cert.pem -text -noout
打印签名请求:
openssl req -in example-com.req.pem -text -noout
配置文件(通过-config
选项传递)
[ req ]
default_bits = 2048
default_keyfile = server-key.pem
distinguished_name = subject
req_extensions = req_ext
x509_extensions = x509_ext
string_mask = utf8only
# The Subject DN can be formed using X501 or RFC 4514 (see RFC 4519 for a description).
# Its sort of a mashup. For example, RFC 4514 does not provide emailAddress.
[ subject ]
countryName = Country Name (2 letter code)
countryName_default = US
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = NY
localityName = Locality Name (eg, city)
localityName_default = New York
organizationName = Organization Name (eg, company)
organizationName_default = Example, LLC
# Use a friendly name here because it's presented to the user. The server's DNS
# names are placed in Subject Alternate Names. Plus, DNS names here is deprecated
# by both IETF and CA/Browser Forums. If you place a DNS name here, then you
# must include the DNS name in the SAN too (otherwise, Chrome and others that
# strictly follow the CA/Browser Baseline Requirements will fail).
commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_default = Example Company
emailAddress = Email Address
emailAddress_default = [email protected]
# Section x509_ext is used when generating a self-signed certificate. I.e., openssl req -x509 ...
[ x509_ext ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer
# You only need digitalSignature below. *If* you don't allow
# RSA Key transport (i.e., you use ephemeral cipher suites), then
# omit keyEncipherment because that's key transport.
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment
subjectAltName = @alternate_names
nsComment = "OpenSSL Generated Certificate"
# RFC 5280, Section 4.2.1.12 makes EKU optional
# CA/Browser Baseline Requirements, Appendix (B)(3)(G) makes me confused
# In either case, you probably only need serverAuth.
# extendedKeyUsage = serverAuth, clientAuth
# Section req_ext is used when generating a certificate signing request. I.e., openssl req ...
[ req_ext ]
subjectKeyIdentifier = hash
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment
subjectAltName = @alternate_names
nsComment = "OpenSSL Generated Certificate"
# RFC 5280, Section 4.2.1.12 makes EKU optional
# CA/Browser Baseline Requirements, Appendix (B)(3)(G) makes me confused
# In either case, you probably only need serverAuth.
# extendedKeyUsage = serverAuth, clientAuth
[ alternate_names ]
DNS.1 = example.com
DNS.2 = www.example.com
DNS.3 = mail.example.com
DNS.4 = ftp.example.com
# Add these if you need them. But usually you don't want them or
# need them in production. You may need them for development.
# DNS.5 = localhost
# DNS.6 = localhost.localdomain
# DNS.7 = 127.0.0.1
# IPv6 localhost
# DNS.8 = ::1
您可能需要为Chrome执行以下操作。否则Chrome may complain a Common Name is invalid (ERR_CERT_COMMON_NAME_INVALID
)。我不确定SAN中的IP地址与此实例中的CN之间的关系。
# IPv4 localhost
# IP.1 = 127.0.0.1
# IPv6 localhost
# IP.2 = ::1
关于在X.509 / PKIX证书中处理DNS名称还有其他规则。有关规则,请参阅这些文档:
列出了RFC 6797和RFC 7469,因为它们比其他RFC和CA / B文档更具限制性。 RFC 6797和7469也不允许IP地址。
以下是来自@diegows's answer的更详细描述的the documentation中描述的选项:
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days XXX
req
PKCS#10证书请求和证书生成实用程序。
-x509
此选项输出自签名证书而不是证书请求。这通常用于生成测试证书或自签名根CA.
-newkey arg
此选项可创建新证书请求和新私钥。该论证采用了几种形式之一。 rsa:nbits,其中nbits是位数,生成大小为nbits的RSA密钥。
-keyout filename
这给出了将新创建的私钥写入的文件名。
-out filename
这默认指定要写入的输出文件名或标准输出。
-days n
当使用-x509选项时,它指定证书证书的天数。默认值为30天。
-nodes
如果指定了此选项,则如果创建了私钥,则不会对其进行加密。
文档实际上比上面更详细;我只是在这里总结一下。
自2019年起,以下命令可满足您的所有需求,包括SAN:
openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
-keyout example.key -out example.crt -extensions san -config \
<(echo "[req]";
echo distinguished_name=req;
echo "[san]";
echo subjectAltName=DNS:example.com,DNS:example.net,IP:10.0.0.1
) \
-subj /CN=example.com
在OpenSSL≥1.1.1中,这可以缩短为:
openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
-keyout example.key -out example.crt -subj /CN=example.com \
-addext subjectAltName=DNS:example.com,DNS:example.net,IP:10.0.0.1
它创建了一个证书
example.com
和example.net
(SAN),10.0.0.1
(SAN),3650
天(约10年)。它会创建以下文件:
example.key
example.crt
所有信息都在命令行中提供。没有讨厌的交互式输入。配置文件没有搞乱。所有必要的步骤都由这个单一的OpenSSL调用执行:从私钥生成到自签名证书。
备注#1:加密参数
由于证书是自签名的并且需要手动接受用户,因此使用短期过期或弱加密是没有意义的。
在将来,您可能希望使用比4096
位更多的RSA密钥和比sha256
更强的散列算法,但是从2019年开始,这些是理智的值。它们足够强大,同时得到所有现代浏览器的支持。
备注#2:参数“-nodes
”
从理论上讲,你可以省略-nodes
参数(这意味着“没有DES加密”),在这种情况下,example.key
将使用密码加密。但是,这几乎不会对服务器安装有用,因为您也必须将密码存储在服务器上,或者您必须在每次重新启动时手动输入密码。
备注#3:MinGW
在MinGW bash的Windows上,您应该在命令前加上MSYS_NO_PATHCONV=1
:
MSYS_NO_PATHCONV=1 openssl ...
或者,在plain cmd.exe
Windows命令提示符下运行该命令。
备注#4:另见
我无法发表评论,所以我将此作为一个单独的答案。我发现了一些被接受的单行答案的问题:
这是一个删除密码的简化版本,提升安全性以禁止警告,并在注释中包含一个建议,以传入-subj以删除完整的问题列表:
openssl genrsa -out server.key 2048
openssl rsa -in server.key -out server.key
openssl req -sha256 -new -key server.key -out server.csr -subj '/CN=localhost'
openssl x509 -req -sha256 -days 365 -in server.csr -signkey server.key -out server.crt
将“localhost”替换为您需要的任何域。您将需要逐个运行前两个命令,因为OpenSSL将提示输入密码。
要将两者合并为.pem文件:
cat server.crt server.key > cert.pem
如果缺少SAN(主题备用名称),现代浏览器现在会为其他格式良好的自签名证书抛出安全性错误。 OpenSSL没有提供命令行方式来指定它,因此许多开发人员的教程和书签突然过时了。
再次运行的最快方法是一个简短的独立conf文件:
req.cnf
)
[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = www.company.com
[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = www.company.com
DNS.2 = company.com
DNS.3 = company.net
openssl req -x509 -nodes -days 730 -newkey rsa:2048 \
-keyout cert.key -out cert.pem -config req.cnf -sha256
我建议添加-sha256参数,以使用SHA-2哈希算法,因为主流浏览器正在考虑将“SHA-1证书”显示为不安全。
接受的答案中的命令行相同 - @diegows添加了-sha256
openssl req -x509 -sha256 -newkey rsa:2048 -keyout key.pem -out cert.pem -days XXX
有关Google Security blog的更多信息。
更新于2018年5月。正如评论中所指出的那样,使用SHA-2不会为自签名证书添加任何安全性。但我仍然建议使用它作为不使用过时/不安全的加密哈希函数的好习惯。 Why is it fine for certificates above the end-entity certificate to be SHA-1 based?提供完整的解释。
这是我在本地框中使用的脚本,用于在自签名证书中设置SAN(subjectAltName)。
此脚本使用域名(example.com)并在同一证书中为* .example.com和example.com生成SAN。以下部分进行了评论。命名脚本(例如generate-ssl.sh
)并赋予其可执行权限。这些文件将写入与脚本相同的目录中。
Chrome 58以后需要在自签名证书中设置SAN。
#!/usr/bin/env bash
# Set the TLD domain we want to use
BASE_DOMAIN="example.com"
# Days for the cert to live
DAYS=1095
# A blank passphrase
PASSPHRASE=""
# Generated configuration file
CONFIG_FILE="config.txt"
cat > $CONFIG_FILE <<-EOF
[req]
default_bits = 2048
prompt = no
default_md = sha256
x509_extensions = v3_req
distinguished_name = dn
[dn]
C = CA
ST = BC
L = Vancouver
O = Example Corp
OU = Testing Domain
emailAddress = webmaster@$BASE_DOMAIN
CN = $BASE_DOMAIN
[v3_req]
subjectAltName = @alt_names
[alt_names]
DNS.1 = *.$BASE_DOMAIN
DNS.2 = $BASE_DOMAIN
EOF
# The file name can be anything
FILE_NAME="$BASE_DOMAIN"
# Remove previous keys
echo "Removing existing certs like $FILE_NAME.*"
chmod 770 $FILE_NAME.*
rm $FILE_NAME.*
echo "Generating certs for $BASE_DOMAIN"
# Generate our Private Key, CSR and Certificate
# Use SHA-2 as SHA-1 is unsupported from Jan 1, 2017
openssl req -new -x509 -newkey rsa:2048 -sha256 -nodes -keyout "$FILE_NAME.key" -days $DAYS -out "$FILE_NAME.crt" -passin pass:$PASSPHRASE -config "$CONFIG_FILE"
# OPTIONAL - write an info to see the details of the generated crt
openssl x509 -noout -fingerprint -text < "$FILE_NAME.crt" > "$FILE_NAME.info"
# Protect the key
chmod 400 "$FILE_NAME.key"
此脚本还会写入信息文件,因此您可以检查新证书并验证SAN是否已正确设置。
...
28:dd:b8:1e:34:b5:b1:44:1a:60:6d:e3:3c:5a:c4:
da:3d
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Alternative Name:
DNS:*.example.com, DNS:example.com
Signature Algorithm: sha256WithRSAEncryption
3b:35:5a:d6:9e:92:4f:fc:f4:f4:87:78:cd:c7:8d:cd:8c:cc:
...
如果您使用的是Apache,那么您可以在配置文件中引用上述证书,如下所示:
<VirtualHost _default_:443>
ServerName example.com
ServerAlias www.example.com
DocumentRoot /var/www/htdocs
SSLEngine on
SSLCertificateFile path/to/your/example.com.crt
SSLCertificateKeyFile path/to/your/example.com.key
</VirtualHost>
请记住重新启动Apache(或Nginx或IIS)服务器以使新证书生效。
2017年单行:
openssl req \
-newkey rsa:2048 \
-x509 \
-nodes \
-keyout server.pem \
-new \
-out server.pem \
-subj /CN=localhost \
-reqexts SAN \
-extensions SAN \
-config <(cat /System/Library/OpenSSL/openssl.cnf \
<(printf '[SAN]\nsubjectAltName=DNS:localhost')) \
-sha256 \
-days 3650
这也适用于Chrome 57,因为它提供了SAN,而没有其他配置文件。它取自here的答案。
这将创建一个包含私钥和证书的.pem文件。如果需要,您可以将它们移动到单独的.pem文件中。