如何在Linux Chrome和Firefox上信任自签名本地主机证书

Question

我尝试为指向127.0.0.1的自定义本地域生成自签名证书：

# /etc/hosts
127.0.0.1 subdomain.domain.local

• 如果像过去一样继续，则“安全证书不受信任”。
• 尝试将其导入Chrome时“不是证书颁发机构”。
• 导入证书CA后使用证书时“缺少使用者替代名称”

我很确定我在这个过程中错过了什么。请，谁能提供有效的配置，以处理替代名称，以及确切的步骤，以创建相应的CA和证书，以便Chrome和Firefox可以处理我的本地自定义域？

Answer 1

>

创建文件generate.sh

#!/usr/bin/env bash
find . \( -name "$1.*" -o -name "*.srl" \) -type f -delete
cp /usr/lib/ssl/openssl.cnf $1.cnf
python <(
cat << "END"
import sys
from ConfigParser import ConfigParser
from StringIO import StringIO

domain = sys.argv[1]

config = ConfigParser()
config.optionxform = lambda option: option

name = "{}.cnf".format(domain)

with open(name, "rb") as stream:
  config.readfp(StringIO("[top]\n" + stream.read()))

config.set(" v3_ca ", "subjectKeyIdentifier", "hash")
config.set(" v3_ca ", "authorityKeyIdentifier", "keyid:always,issuer")
config.set(" v3_ca ", "basicConstraints", "critical, CA:TRUE, pathlen:3")
config.set(" v3_ca ", "keyUsage", "critical, cRLSign, keyCertSign")
config.set(" v3_ca ", "nsCertType", "sslCA, emailCA")

config.set(" v3_req ", "basicConstraints", "CA:FALSE")
config.set(" v3_req ", "keyUsage", "nonRepudiation, digitalSignature, keyEncipherment")
config.set(" v3_req ", "subjectAltName", "@alt_names")
config.remove_option(" v3_req ", "extendedKeyUsage")

config.add_section(" alt_names ")
config.set(" alt_names ", "DNS.1", domain)
config.set(" alt_names ", "DNS.2", "*.{}".format(domain))

config.set(" req ", "req_extensions", "v3_req")

with open(name, "wb") as stream:
    config.write(stream)
END
) $1
tail -n +2 $1.cnf > $1.cnf.tmp && mv $1.cnf.tmp $1.cnf
echo "$1\n" | openssl genrsa -aes256 -out $1.ca.key 2048
chmod 400 $1.ca.key
openssl req -new -x509 -subj "/CN=$1" -extensions v3_ca -days 3650 -key $1.ca.key -sha256 -out $1.ca.crt -config $1.cnf
openssl genrsa -out $1.key 2048
openssl req -subj "/CN=$1" -extensions v3_req -sha256 -new -key $1.key -out $1.csr
openssl x509 -req -extensions v3_req -days 3650 -sha256 -in $1.csr -CA $1.ca.crt -CAkey $1.ca.key -CAcreateserial -out $1.crt -extfile $1.cnf
openssl x509 -in $1.crt -text -noout

调用./generate.sh example.com

需要Python 2

null

$ sudo apt install libssl1.0.0 -y

第一步是获取系统上可用的openssl.cnf模板。在Ubuntu上，可以在/usr/lib/ssl/openssl.cnf中找到。您可以在MacOS上的/system/library/openssl/和Redhat Variants上的/etc/pki/Tls中找到这一点。

export prefix="mydomain"

cp /usr/lib/ssl/openssl.cnf $prefix.cnf

$prefix.cnf需要用我们将要生成的证书的特定信息来修改。

在[v3_ca]部分下，添加以下值。对于CA来说，这表示我们正在创建一个用于密钥签名的CA。

[ v3_ca ]
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer
basicConstraints = critical, CA:TRUE, pathlen:3
keyUsage = critical, cRLSign, keyCertSign
nsCertType = sslCA, emailCA

[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
#extendedKeyUsage=serverAuth
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = mydomain.com 
DNS.2 = *.dydomain.com

req_extensions = v3_req

当我们生成每种类型的密钥时，我们会指定要使用的扩展部分，这就是为什么我们可以共享$prefix.cnf来创建CA证书和SAN证书。

现在我们将开始使用OpenSSL创建必要的密钥和证书。首先生成私有/公共RSA密钥对：

openssl genrsa -aes256 -out ca.key.pem 2048

chmod 400 ca.key.pem

这将使用基于AES256的密码短语对密钥文件进行编码。然后我们需要创建自签名根CA证书。

openssl req -new -x509 -subj "/CN=myca" -extensions v3_ca -days 3650 -key ca.key.pem -sha256 -out ca.pem -config $prefix.cnf

openssl x509 -in ca.pem -text -noout

Issuer: CN=myca 
... 
Subject: CN=myca 
... 
X509v3 Basic Constraints: 
  critical CA:TRUE, pathlen:3 
X509v3 Key Usage: 
  critical Certificate Sign, CRL Sign 
Netscape Cert Type: 
  SSL CA, S/MIME CA

现在创建根CA后，我们切换到服务器证书。首先生成私有/公共RSA密钥对：

openssl genrsa -out $prefix.key.pem 2048

我们没有在这个密钥上加密码短语，仅仅是因为CA是更有价值的目标，并且我们总是可以重新生成服务器证书，但是请放心采取这种额外的预防措施。

然后创建服务器证书签名请求：

openssl req -subj "/CN=$prefix" -extensions v3_req -sha256 -new -key $prefix.key.pem -out $prefix.csr

openssl x509 -req -extensions v3_req -days 3650 -sha256 -in $prefix.csr -CA ca.pem -CAkey ca.key.pem -CAcreateserial -out $prefix.crt -extfile $prefix.cnf

openssl x509 -in $prefix.crt -text -noout

Issuer: 
 CN=myca 
... 
Subject: 
  CN=mydomain 
... 
X509v3 Basic Constraints: 
  CA:FALSE 
X509v3 Key Usage: 
  Digital Signature, Non Repudiation, Key Encipherment 
X509v3 Subject Alternative Name:
  DNS:mydomain.com, DNS:*.mydomain.com

当您第一次将Chrome或Firefox指向带有CA签名的SAN证书的站点时，它将抛出与自签名SAN证书相同类型的异常。这是因为根CA证书不是已签名证书的可信源。

在Chrome设置(Chrome:/settings)中，搜索证书并单击管理证书。在Windows上，这将打开Windows证书管理器，您应该在受信任的根证书颁发机构选项卡上导入ca.pem文件。这相当于通过mmc.exe在本地用户受信任根存储（不是计算机级别）中添加它。