https证书 centos，https证书

其实https证书 centos的问题并不复杂，但是又很多的朋友都不太了解https证书，因此呢，今天小编就来为大家分享https证书 centos的一些知识，希望可以帮助到大家，下面我们一起来看看这个问题的分析吧！

CentOS下生成自签名的证书的方法详解

1.生成自签名的证书

通常要配置https的服务器，都需要一个由正式的CA机构认证的X509证书。当客户端连接https服务器时，会通过CA的共钥来检查这个证书的正确性。但要获得CA的证书是一件很麻烦的事情，而且还要花费一定的费用。因此通常一些小的机构会是使用自签名的证书。也就是自己做CA，给自己的服务器证书签名。

这个过程有两个主要的步骤，首先是生成自己的CA证书，然后再生成各个服务器的证书并为它们签名。我是用OpenSSL来生成自签名证书的。

第一步是制作CA的证书：

opensslgenrsa-des3-outmy-ca.key2048

opensslreq-new-x509-days3650-keymy-ca.key-outmy-ca.crt

这会生成my-ca.key和my-ca.crt文件，前者存放着使用my-ca.crt制作签名时必须的密钥，应当妥善保管。而后者是可以公开的。上面的命令为my-ca.key设定的有效期为10年。

用命令

opensslx509-inmy-ca.crt-text-noout

可以查看my-ca.crt文件的内容。

有了CA证书之后，就可以为自己的服务器生成证书了：

opensslgenrsa-des3-outmars-server.key1024

opensslreq-new-keymars-server.key-outmars-server.csr

opensslx509-req-inmars-server.csr-outmars-server.crt-sha1-CAmy-ca.crt-CAkeymy-ca.key-CAcreateserial-days3650

前两个命令会生成key、csr文件，最后一个命令则通过my-ca.crt为mars-server.csr制作了x509的签名证书。

需要注意的是，在执行上述第二个命令时，CommonName选项应当输入的是服务器的域名，否则在用户通过https协议访问时每次都会有额外的提示信息。

用命令

opensslx509-inmars-server.crt-text-noout

可以查看mars-server.crt文件的内容。

2.配置Apache服务器

首先，创建/etc/apache2/ssl目录，将刚刚制作的my-ca.crt、mars-server.key和mars-server.crt文件拷贝到这个目录中。

接着执行命令

a2emodssl

激活Apache的SSL模块，然后在/etc/apache2/sites-enable/中添加虚拟主机，这个过程与添加普通的虚拟主机类似，不同点在于该主机的端口应为443。配置如下：

NameVirtualHost*:443

ServerNamelocalhost

DocumentRoot/var/www

SSLEngineOn

SSLCipherSuiteHIGH:MEDIUM

SSLProtocolall-SSLv2

SSLCertificateFile/etc/apache2/ssl/mars-server.crt

SSLCertificateKeyFile/etc/apache2/ssl/mars-server.key

SSLCACertificateFile/etc/apache2/ssl/my-ca.crt

var/www>

Orderdeny,allow

Allowfromlocalhost

ServerNamelocalhost

DocumentRoot/var/www

var/www>Orderdeny,allow

Allowfromlocalhost

以上配置保证了用户在访问443和80端口时可以看到相同的内容，而仅仅是使用的协议不同。修改好配置后，便可以重启Apache服务器，这时需要输入mars-server.key的密码。用浏览器访问

这时应当看到一个弹出对话框，让你确认是否信任该站点的证书，选择信任后，便可以查看该站点的内容了。

由于大多数Apache服务器都是在服务器启动时自动启动，为了避免在启动Apache时输入密码，可以用以下命令生成不加密的mars-server.key文件：

opensslrsa-inmars-server.key-outmars-server.key.insecure

用新生成的mars-server.key.insecure代替原有的key文件即可。

Linux中使用curl命令访问https站点4种常见错误和解决方法

每一种客户端在处理https的连接时都会使用不同的证书库。IE浏览器和FireFox浏览器都可以在本浏览器的控制面板中找到证书管理器。在证书管理器中可以自由添加、删除根证书。

而Linux的curl使用的证书库在文件“/etc/pki/tls/certs/ca-bundle.crt”中。（CentOS）

以下是curl在访问https站点时常见的报错信息

1.Peer’s Certificate issuer is not recognized

复制代码代码如下:

[root@ip-172-31-32-208 Nginx]# curl

curl:(60) Peer's Certificate issuer is not recognized.

more details here:

此种情况多发生在自签名的证书，报错含义是签发证书机构未经认证，无法识别。

解决办法是将签发该证书的私有CA公钥cacert.pem文件内容，追加到/etc/pki/tls/certs/ca-bundle.crt。

我们在访问12306.cn订票网站时也报了类似的错误。

复制代码代码如下:

[root@ip-172-31-32-208~]# curl

curl:(60) Peer's certificate issuer has been marked as not trusted by the user.

More details here:

2.SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

复制代码代码如下:

[root@GO-EMAIL-1 aa]# curl

curl:(60) SSL certificate problem, verify that the CA cert is OK. Details:

error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

More details here:

此问题多是由于本地CA证书库过旧，导致新签发证书无法识别。

经排查，github.com证书是由GTE CyberTrust Root签发,现行证书时间是：

1.不早于(1998/8/13 0:29:00 GMT)

2.不晚于(2018/8/13 23:59:00 GMT)

而在我们的Redhat5.3系统中ca-bundle.crt文件发现，GTE CyberTrust Root的时间已经过期。

复制代码代码如下:

Issuer: C=US, O=GTE Corporation, CN=GTE CyberTrust Root

Validity

Not Before: Feb 23 23:01:00 1996 GMT

Not After: Feb 23 23:59:00 2006 GMT

解决办法是更新本地CA证书库。

方法一：

下载替换/etc/pki/tls/certs/ca-bundle.crt

方法二：

使用update-ca-trust更新CA证书库。（CentOS6，属于ca-certificates包）

3.unknown message digest algorithm

复制代码代码如下:

[root@WEB_YF_2.7~]#curl

curl:(35) error:0D0C50A1:asn1 encoding routines:ASN1_item_verify:unknown message digest algorithm

此问题多由证书本地openssl不能识别SSL证书签名算法所致。www.alipay.com使用了SHA-256 RSA加密算法。而openssl在OpenSSL 0.9.8o才加入此算法。

解决办法是升级本地openssl。

在我的操作系统RedHat5.3中,yum升级openssl到openssl-0.9.8e-22.el5就可以识别SHA-256算法。原因是Redhat每次都是给0.9.8e打补丁，而不是直接更换版本。在srpm包中我找到了这个补丁。

复制代码代码如下:

Summary: The OpenSSL toolkit

Name: openssl

Version: 0.9.8e

...

Patch89: openssl-fips-0.9.8e-ssl-sha256.patch

4.JAVA和PHP的问题

java和php都可以编程来访问https网站。例如httpclient等。

其调用的CA根证书库并不和操作系统一致。

JAVA的CA根证书库是在 JRE的$JAVA_HOME/jre/lib/security/cacerts，该文件会随着JRE版本的升级而升级。可以使用keytool工具进行管理。

PHP这边我没有进行测试，从php安装curl组件的过程来看，极有可能就是直接采用的操作系统curl一直的数据。

当然PHP也提供了 curl.cainfo参数(php.ini)来指定CA根证书库的位置。

如何在CentOS7.x上生成自签名SSL证书

在CentOS 7.x环境中设置HTTPS安全连接时，自签名SSL证书是不可或缺的工具，尤其适用于测试和内部环境。以下是详细的生成步骤：

1.安装OpenSSL:首先确保你的系统已安装OpenSSL，这是实现SSL和TLS协议的重要组件。

2.生成带密码私钥:创建一个密码保护的私钥文件，以增强私钥的安全性。输入密码（如“123456”）进行生成。

3.私钥去密码保护:当需要特定配置时，可以移除密码保护，输入先前设定的密码。

4.创建自签名证书:使用生成的私钥，创建自签名证书文件，填写相关证书信息，如国家、城市等，按需操作。

5.生成证书签名请求:为了可能的第三方签发，可创建一个证书签名请求（CSR）。

6.生成完整签名证书:如果需要CA签发，按照指示生成带有CA签名的证书。

7.导出PFX格式证书: PFX格式便于导入导出，可通过命令生成，密码可留空。

8.转换证书格式:将PFX证书转换为PEM格式，方便使用。

完成以上步骤后，你已经在CentOS 7.x上成功创建了自签名SSL证书，适用于本地测试或内部网络的加密通信。但在生产环境中，推荐使用受信任的CA签发的证书以确保最高安全级别。

如有对GPT4.0的需求，请参考相关教程。