2cca 中文文档教程

Question

2cca

2 美分证书颁发机构

该程序旨在替换默认情况下的 easy-rsa 脚本 OpenVPN 的安装。

这里提供了两个独立

• Python version (2cca.py) based on pyopenssl
• A single-file C version based on OpenSSL

的版本：Python 版本放在公共领域。 它被用作 证明一切都可以直接完成的概念验证 不涉及命令行工具的 OpenSSL。 完全可以使用 生成根证书、服务器证书和客户端证书。

C 版本是 MIT 许可的。 请参阅许可证。

Compilation

使用“制作”。 您还可以编译：

cc -o 2cca 2cca.c -lcrypto

测试：

• ArchLinux on Raspberry Pi -- openssl 1.0.2.e-1
• Debian on x64 -- openssl 1.0.2.e-1

在 OSX 上您不能使用系统 openssl 库，但您可以替换 它们由 libressl 提供，可从 brew 获得。 我得到它来编译：

export LIBRE=/usr/local/opt/libressl
cc -I$(LIBRE)/include -L$(LIBRE)/lib -o 2cca 2cca.c -lcrypto

Brew 说我正在使用 2.3.1 版的 libressl。

What it does

2cca 可以为各种角色生成证书和密钥。 支持的角色是：

• Root CA: a self-signed Certification Authority
• Sub CA: a Certification Authority, signed by another CA
• OpenVPN server
• OpenVPN client
• Web server

指定要创建的证书类型并指明 需要字段和属性。 证书文件和密钥将是 以 PEM 格式在本地目录中创建。

Usage

创建证书对所有类型的证书都遵循相同的语法 证书：

2cca TYPE [properties]

TYPE        Description
----        -----------
root        Create a (self-signed) root CA certificate
sub         Create a Subordinate CA certificate
server      Create an OpenVPN server certificate
client      Create an OpenVPN client certificate
www         Create a Web server certificate

证书字段和属性在命令行上指定 指定 key=value 块的列表。 如果该值包含空格， 用双引号或单引号将整个块括起来。 支持的键和 它们的含义是：

Key      Meaning                 Example                   Default
---      -------                 -------                   -------
O        Organisation            "O=ACME Inc"              O=Home or root
C        Country 2-letter code   C=UK                      none
CN       Common Name             CN=MyServer               same as TYPE
L        Locality or City        L=Munich                  none
ST       State                   ST=Bavaria                none
email    Email                   email=root@example.com    none
ca       Signing CA              ca=Sub                    ca=root
days     Duration                days=15                   days=365
dns      Host name               dns=www.example.com       none

The O field (Organization) defaults to O=Home for root and is always
inherited from the issuer.

The OU field (Organizational Unit) is automatically set by certificate
type:

Type    OU
----    --
root    OU=Root
sub     OU=Sub
server  OU=Server
client  OU=Client
www     OU=Server 

File names

证书和密钥在当前目录中保存为 CN.crt 和 CN.key，其中 CN 是请求的通用名称。 对于客户身份，一个 还生成无密码 P12。

默认签名 CA 名为 CN=root。 如果更改根名称 (CN=xx) 或者想使用特定的 CA 进行签名，使用 ca=NAME，其中 NAME 是您要使用的 CA 的 CN。 示例：

# Generate a root called MyROOT:
2cca root CN=MyROOT C=UK
-> Generates MyROOT.crt and MyROOT.key

# Generate a Sub CA called MySUB and sign it with MyROOT:
2cca sub ca=MyROOT CN=MySUB C=UK
-> Generates MySUB.crt and MySUB.key, signed by MyROOT

# Generate a client certificate for 'joe' and sign it with MySUB:
2cca client ca=MySUB CN=joe C=UK
-> Generates joe.crt, joe.key, joe.p12, signed by MySUB

# If you want to verify the chain with openssl:
cat MyROOT.crt MySUB.crt > bundle
openssl verify -CAfile bundle joe.crt
-> joe.crt: OK

Certificate Duration

使用 days=xx 更改证书持续时间，其中 xx 以天为单位 今天。 默认证书有效期为 3650 天。 示例：

# Generate a client certificate for 15 days:
2cca client days=15 ca=MyROOT

Crypto Parameters

您可以通过使用 rsa=xx 指定密钥大小来生成 RSA 密钥 示例：

Generate a root certificate with a 4096 RSA key:
2cca root rsa=4096

您还可以为客户端和服务器生成椭圆曲线密钥。 使用 ec=curve，其中 curve 是 openssl 支持的命名曲线之一。 你 可以通过运行以下命令获取系统支持的椭圆曲线列表：

openssl ecparam -list_curves

示例：

# Generate a client cert with an ECC key with curve prime256v1
2cca client ec=prime256v1

默认哈希函数是 sha256。 目前没有办法改变 这来自命令行。

Certificate Revocation Lists

还提供了原始 CRL 管理。 两个关联的命令是：

2cca revoke NAME ca=xx
2cca crl ca=xx

您通过名称撤销证书，即通过 CN，这也恰好是 基本文件名。 要撤销 MySUB 颁发的 joe 证书：

# Revoke joe issued by MySUB
2cca revoke joe ca=MySUB

您可以像这样查看 CA 的 CRL：

# See CRL for ca=MySUB
2cca crl ca=MySUB
-- Revoked certificates found in CRL
serial: 2CCA95D9A9F95BEE6C44564E0A514B45
date: Jan 19 22:04:51 2016 GMT

# Display the CRL using openssl
openssl crl -in MySUB.crl -text

Diffie-Hellmann Parameters

您还可以生成 Diffie-Hellmann 参数。 对 OpenVPN 有用 设置。

# Generate DH-2048 parameters
2cca dh
Generating DH parameters (2048 bits) -- this can take long
done

生成这些需要很长时间，并且该命令不显示任何 进步。 您可能想使用 OpenSSL 来完成它。 我只是为它编码 当 openssl 命令不存在时很方便。

Complete Example

从头开始，您想首先创建一个根（自签名）CA。 它将被命名为“MyRoot”，持续时间为 1000 天，具有 1024 位 RSA 钥匙，并设在英国。

2cca root CN=MyRoot days=1000 rsa=1024 C=UK

检查您现在在当前目录中是否有 MyRoot.crt 和 MyRoot.key。

那么您需要两个子 CA：一个处理 OpenVPN 服务器和客户端，以及 另一个处理 WWW 服务器证书。 两人都是 您刚刚创建的根目录。

# Generate the OpenVPN CA named 'VPNCA' for 900 days, 1024-bit RSA:
2cca sub CN=VPNCA days=900 rsa=1024 ca=MyRoot C=UK
# Generate the www server CA named 'WWWCA' for 500 days, 1024-bit RSA:
2cca sub CN=WWWCA days=500 rsa=1024 ca=MyRoot C=UK

您现在在当前目录中有 VPNCA.[crt|key] 和 WWWCA.[crt|key]。

现在让我们为 OpenVPN 颁发客户端和服务器证书 适当的 CA。 我们将使用 512 位 RSA 密钥并设置有效期为 服务器一年，客户端两周。

# Generate a cert for server named 'vpn-server' for 365 days, 512-bit RSA:
2cca server ca=VPNCA days=365 CN=vpn-server rsa=512 C=UK
# Generate a cert for a client named 'joe' for 15 days, 512-bit RSA:
2cca client ca=VPNCA days=15 CN=joe rsa=512 C=UK

您现在可以在适当的地方安装 vpn-server.[crt|key] 并发送 Joe 的客户端凭据：发送 joe.[crt|key] 或 joe.p12

让我们为名为“www.example.com”的服务器颁发 Web 服务器证书 为期一年，使用 2048 位 RSA 密钥：

# Generate a web server certificate
2cca www ca=WWWCA days=365 rsa=2048 CN=www.example.com dns=www.example.com

检查您是否有名为 www.example.com.[crt|key] 在当前目录中。

您还可以颁发对多个域有效的证书或 通过在命令行上发出几个 dns= 属性来获取小丑证书。 示例：

# Generate a certificate for *.dom1.abc and *.dom2.abc
2cca www ca=WWWCA "dns=*.dom1.abc" "dns=*.dom2.abc"

Warnings

没有要维护的已颁发证书的数据库，因为它们使用 128位序列号，无需记忆，已经是唯一的 一个递增的指数。

绝对没有任何密钥保护。 你负责 根据需要保护 .key 文件。 对于个人 VPN，这不是真的 一个问题，但是对于需要安全性的东西你可能想要导入 键插入智能卡。 这是为了取代 easy-rsa，而不是 成熟的 PKI。

-- nicolas314 - 2016 年 1 月