[OpenSSL] ca 명령어

이 명령어는 CA 프로그램 기능을 하는 명령어이다.

https://www.openssl.org/docs/man3.0/man1/openssl-ca.html 정보를 참고 함

CA 기능을 하기 위해서는 설정 파일의 환경에 맞는 데이타가 있어야 한다.

openssl.cnf 설정

####################################################################
[ ca ]
default_ca  = CA_default        # The default ca section

####################################################################
[ CA_default ]

dir     = ./demoCA      # Where everything is kept
certs       = $dir/certs        # Where the issued certs are kept
crl_dir     = $dir/crl      # Where the issued crl are kept
database    = $dir/index.txt    # database index file.
#unique_subject = no            # Set to 'no' to allow creation of
                    # several certs with same subject.
new_certs_dir   = $dir/newcerts     # default place for new certs.

certificate = $dir/cacert.pem   # The CA certificate
serial      = $dir/serial       # The current serial number
crlnumber   = $dir/crlnumber    # the current crl number
                    # must be commented out to leave a V1 CRL
crl     = $dir/crl.pem      # The current CRL
private_key = $dir/private/cakey.pem# The private key

x509_extensions = usr_cert      # The extensions to add to the cert

name_opt    = ca_default        # Subject Name options
cert_opt    = ca_default        # Certificate field options


default_days    = 365           # how long to certify for
default_crl_days= 30            # how long before next CRL
default_md  = default       # use public key default MD
preserve    = no            # keep passed DN ordering

policy      = policy_match

# For the CA policy
[ policy_match ]
countryName     = match
stateOrProvinceName = match
organizationName    = match
organizationalUnitName  = optional
commonName      = supplied
emailAddress        = optional

[ v3_ca ]

subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer
basicConstraints = critical,CA:true

요청서 만들기

openssl genrsa -out rsa_key.pem 2048

openssl req -new -key rsa_key.pem -out req.pem

인증서 서명

인증서 서명 하기

openssl ca -in req.pem -out newcert.pem

이때 환경 설정의 정보를 참조 하여 newcert.pem 인증서 가 만들어 진다.

CA Extension 사용 서명하기

openssl.cnf 에서 v3_ca 설정을 적용 하려면 다음 처럼 한다.

openssl ca -in req.pem -extensions v3_ca -out newcert.pem

CRL 생성 하기

openssl ca -gencrl -out crl.pem

이렇게 하면 crl.pem 파일이 생성된다.