Apache 警告我的自签名证书是 CA 证书

Question

由于我不知道 openssl 命令的参数，所以每当我需要创建自签名证书（用于测试环境）时，我习惯于参考相同的SO 答案。 该命令如下所示：

openssl req -x509 -nodes -newkey rsa:2048 -keyout mysite.key -out mysite.crt -days 365

它通常可以工作，例如在我当前的 Ubuntu 15.10 上。 今天我正在全新安装 Debian Jessie，但它没有。 Apache 在启动时警告：

[ssl:warn] [pid 1040] AH01906: www.mysite.com:443:0 server certificate is a CA certificate (BasicConstraints: CA == TRUE !?)

我寻找问题的解决方案，并在一个 linux 论坛中找到了一个答案，指出应该使用以下内容：

openssl genrsa -des3 -passout pass:x -out mysite.pass.key 2048
openssl rsa -passin pass:x -in mysite.pass.key -out mysite.key
openssl req -new -key mysite.key -out mysite.csr
openssl x509 -req -days 365 -in mysite.csr -signkey mysite.key -out mysite.crt

确实，这样 Apache 警告就消失了。

据我了解，这会创建一个受密码保护的密钥，然后删除密码，然后创建一个 CSR，然后使用 CSR 和密钥生成证书。

所以问题是：这个较长的版本做了什么而较短的版本没有，为什么在某些情况下（比如今天对我来说）是必要的？

Answer 1

简短的方法（例如使用OpenSSL 1.1.0f和Apache 2.4.37）：

openssl genrsa -out notEncodedPk.key 3072
openssl req -new -out website.csr -sha256 -key notEncodedPk.key
openssl x509 -req -in website.csr -days 365 -signkey notEncodedPk.key -out website.cert -outform PEM

genrsa生成一个3072位的RSA密钥。 （系统应该在线一段时间，以便在/ dev /（u）中随机播放好的数据。）不需要生成加密的PK（1），然后使用rsa删除密码。 （也许早期版本的工具需要密码？）
req创建证书签名请求并使用PK进行签名。 为摘要提供类似-sha256的内容是可选的。 （3）在互动问题中提供您的信息。 确保将您的站点域置于“公用名：”，否则Apache将发出警告（AH01909），浏览器将抛出“无效证书”消息，因为URL /域与证书数据不匹配（2）。 将“A challange密码：”留空。
使用x509使用-signkey创建自签名证书（主题将复制到颁发者）。 通常，该命令适用于证书，但使用-req它接受CSR作为输入。 然后使用您的PK签署证书。 （-outform和-days是可选的，30天，作为后者的默认值）。

问题来源：

正如user207421已经说明的那样： req创建CSR 或者它创建一个自签名的root-CA类证书，因此典型的教程提示

openssl req -x509 -nodes -days 365 -newkey rsa:3072 -sha256 -keyout website.key -out website.cert

很短但通常不是你想要的。 您还可以将创建的证书与

openssl x509 -text -noout -in website.cert

在使用单行命令创建的证书中，您会看到“X509v3 extensions：”部分，其中包含“X509v3 Basic Constraints：critical CA：TRUE”。 这正是Apache警告消息。
相反，如果使用这三个步骤创建证书，则“X509v3扩展：”部分不会包含在证书中。

附录：

（1）在大多数情况下，用密码保护PK是个好主意。 如果PK未加密存储，请确保限制对root的访问。 如果你使用密码，你必须使用-passout / -passin选项，但要注意一个简单的“x”不再起作用，因为一些OpenSSL工具需要至少4个字符（否则：“结果太小/错误密码读”）。 此外，在Apache中，您必须使用类似SSLPassPhraseDialog buildin的东西在Apache启动期间手动输入PK（或甚至所有PK /证书）所需的密码。

（2）无论如何，浏览器将显示自签名证书的警告。

（3）对于如此大的RSA密钥，使用SHA-1是不够的。 一般来说，最好查看openssl.conf，例如在/etc/ssl/openssl.conf中的Debian 9中，它包含各种默认值，例如signer_digest = sha256 。
在Debian 9文件中，您还可以在[req]部分找到一行x509_extensions = v3_ca ，这就是为什么req命令与-x509选项组合添加CA相关扩展（ basicContraints = critical，CA：真 ），如果单线条样式用于创建自签名证书。

您可能会注意到注释行#req_extensions = v3_req 。 因为这行被注释掉了（在Debian 9中默认为openssl.cnf）， req命令的简单用法不包括任何扩展。
请注意，您可以在修改后的文件中使用此行将主题备用名称添加到证书中，例如，它可以处理多个（子）域（通常比在CN中使用e通配符更好的选择，例如* .example .COM）。

Answer 2

我今天在Debian 9上遇到了同样的问题，我尝试使用你的方法生成一个新的证书，但它没有用。 Apache中的警告完全相同。

我发现问题是在我的浏览器中存储了具有相同FQDN的其他6个证书。 我删除了证书，问题就消失了。

编辑：嗯，实际上仍然有警告，但至少一切正常。

Answer 3

openssl req创建CSR或CA根证书。 请参见手册页。 这不是你想要的。 第二组步骤是正确的。

Answer 4

完整的 CA 和 SSL 创建/设置帮助：

我创建了自己的 CA 证书并使用它加载到浏览器（作为 CA 授权）并为我的 Apache_on_ubuntu 网站签署我自己创建的 SSL 证书。

脚步：

1. 生成我的 CA 私钥：

    # openssl genrsa -des3 -out /etc/ssl/private/myCA.key 2048

2. 生成根证书： *****将 myCA.pem 发送到所有桌面/客户端浏览器。

    # openssl req -x509 -days 5475 -new -nodes -key /etc/ssl/private/myCA.key -sha256 -out /etc/ssl/certs/myCA.pem

3. 在 Firefox 中安装根 CA。 （cp myCA.pem 到 windows 框）在 Firefox 中：选项 -> 隐私_&_安全 -> 视图证书 -> 证书管理器 -> 权限 -> 导入

4. 为您的站点创建 CA 签名证书

4.1：创建网站私钥：

# openssl genrsa -out /etc/ssl/private/www.mywebsite.com.key 2048

4.2：创建网站CSR：注意：答案不需要匹配CA cert ans。

# openssl req -new -key /etc/ssl/private/www.mywebsite.com.key -out /etc/ssl/private/www.mywebsite.com.csr

4.3：创建配置文件：需要配置文件来定义主题备用名称（SAN）扩展。 “将域名与证书匹配的方法 - 使用 subjectAlternativeName 扩展中的可用名称”

# vi /etc/ssl/private/www.mywebsite.com.ext

.............我没有使用 ext 文件选项.....（用于在同一主机上托管多个 SSL 站点和证书）

4.4：创建证书：

# openssl x509 -req -in /etc/ssl/private/www.mywebsite.com.csr -CA /etc/ssl/certs/myCA.pem -CAkey /etc/ssl/private/myCA.key -CAcreateserial -out /etc/ssl/certs/www.mywebsite.com.crt -days 5475 -sha256

5. 创建 ssl-conf 文件：

    # cat /etc/apache2/conf-available/ssl-params.conf # modern configuration, tweak to your needs

   SSLProtocol -all +TLSv1.2 +TLSv1.3 SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE- ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256 SSLHonorCipherOrder打开 SSLCompression 关闭 SSLSessionTickets 关闭

6. 重启阿帕奇：

    # systemctl restart apache2