CA搭建与证书PPT.ppt

耿显维CA服务器的搭建与证书的管理应用1 2随着互联网络的飞速发展,网络中的安全问题日益受到人们的重视。PKI 公钥基础设施是目前比较成熟、完善的互联网络安全解决方案，但PKI 实施起来比较繁琐,并且当前实现PKI 的商用软件价格较为昂贵,这都阻碍了PKI 的广泛应用。因此我采用了开源PKI项目OpenCA软件完成了CA服务器的搭建。l0.引言22024/11/7 周四OpenCA可实现的功能：密钥生成 密钥分配 证书签发 证书作废1.OPENCA概述32024/11/7 周四OpenCA 由三个主要部分组成,即：CA RA PUB1.OPENCA概述42024/11/7 周四OpenCA主要加载模块：OpenSSL 提供加密算法和HTTPS访问Apache 提供WEB服务MySQL 提供后台数据库PerL 提供脚本语言支持OpenLDAP 提供证书存储1.OPENCA概述52024/11/7 周四OpenCA 1.3.0 所需求的软件环境：Linux Kernel 2.6.18以上Perl 5.8.4以上MySQL 5.1.61-4以上OpenSSL 1.0.0以上LDAP library Perl module：XML-Parser CPANApache 2.2.15以上2.OPENCA安装过程/实际安装中为保证兼容性 我选择将上述所有软件更新到最新版本62024/11/7 周四安装步骤:以root权限登录系统CentOS 6.3 X86_64添加第三方源EPEL和REMI执行命令Yum install mysql mysql-server mysql-libs perl apache mod_ssl openssl perl-devel db4-devel expact-devel gcc make XML-Parser openldap perl-dbd perl-cpan perl-dbi-enablerepo=remi2.OPENCA安装过程72024/11/7 周四输入y+回车确认安装 系统会自动开始安装所有需要的软件成功时会有Complete提示82024/11/7 周四MySQL数据库的配置：#service mysqld start /首先启动mysqld#mysql uroot /进入mysql数据库mysqlCREATE DATABASE openca；/创建openca数据库mysqlGRANT ALL ON*.*TO opencalocalhost IDENTIFIED BY openca;/添加openca用户mysqlexit2.OPENCA安装过程92024/11/7 周四Apache的配置：#vi/etc/httpd/conf/httpd.conf查找 Document Root 项 修改为/var/www查找 Directory项 修改Options为FollowSymLinks添加SSLEngine OnSSLCertificateFile/etc/httpd/conf/server.crtSSLCertificateKeyFile/etc/httpd/conf/server.key2.OPENCA安装过程102024/11/7 周四安装依赖库openca-base-1.3.0#cd/tmp#wget http:/www.openca.org/alby/download?target=openca-tools-1.3.0.tar.gz#tar xzvf openca-tools-1.3.0.tar.gz#cd openca-tools-1.3.0#./configure-prefix=/usr/local/openca-tools#make#make install2.OPENCA安装过程112024/11/7 周四安装openca-base-1.3.0#cd/tmp#wget http:/www.openca.org/alby/download?target=openca-base-1.3.0.tar.gz#tar xzvf openca-base-1.3.0.tar.gz#cd openca-base-1.3.0#./configure-prefix=/usr/local/openca-with-openca-tools-prefix=/usr/local/openca-tools-with-httpd-user=apache -with-httpd-group=apache-with-httpd-fs-prefix=/var/www-with-web-host=v.bitpt.us-with-htdocs-fs-prefix=/var/www/pki-with-db-name=openca-with-db-type=mysql-with-service-mail-account=#make#make install-offline install-online2.OPENCA安装过程122024/11/7 周四安装参数解释-prefix=(指定安装目录）-with-openssl-prefix=(指定openca-tools位置)-with-module-prefix=(指定perl模块位置)-with-web-host=(指定服务器名称可使用IP或domain name)-with-httpd-user=(指定web资料夹用户)-with-httpd-group=(指定web资料夹组)-with-httpd-fs-prefix=(指定web资料夹位置)2.OPENCA安装过程132024/11/7 周四配置OpenCA#vi/usr/local/openca/etc/openca/config.xml/修改CA信息后保存退出#sh/usr/local/openca/etc/openca/configure_etc.sh/将配置文件输出到web服务器目录#chown R apache:apache/usr/local/openca/var/log/将log目录的所有者更改为web服务运行用户2.OPENCA安装过程142024/11/7 周四启动OpenCA#cd/usr/bin#ln s/usr/local/openca/etc/init.d/openca openca#openca start第一次运行会要求输入web登入的密码 如果启动出错 可查看出错日志#cat/usr/local/openca/var/log/stderr.log2.OPENCA安装过程152024/11/7 周四登陆web页面进行初始化 浏览器中输入http:/localhost/pki/ca输入用户名密码进入：PKI Init&Config-Initialization-DB,Key and Cert Init点击 Initialize Database完成后，就可以看到openca数据库建立了8个空表：ca_certificate certificate crl crr messages request user user_data3.证书的签发与管理162024/11/7 周四申请证书 浏览器中输入http:/localhost/pki/pub无需输入用户名密码进入：My Certificate-Request Certificate 输入相关信息 提交申请3.证书的签发与管理172024/11/7 周四签发证书 浏览器中输入http:/localhost/pki/ca输入用户名密码进入：PKI Init&Config-RA Certificate-Issue Certificate 完成后点击 Handle Certificate3.证书的签发与管理182024/11/7 周四导入证书 浏览器中输入http:/localhost/pki/pub进入：Infomations-Valid Certificates 选择所需要的证书 点击More Info在新打开的页面下方找到Download按钮 下载签发好的证书文件在本机打开证书 进行导入操作3.证书的签发与管理192024/11/7 周四管理证书 浏览器中输入http:/localhost/pki/pub进入：Infomations-Valid Certificates可以查看到所有申请成功的证书进入：My Certificate-Revoke Certificate 可以申请删除证书 3.证书的签发与管理202024/11/7 周四典型应用：提供HTTPS的凭据 既生成证书后以crt格式导出 并导入到Apache中加密Email加密文档等等4.数字证书的应用212024/11/7 周四Q&AQ&A222024/11/7 周四THE END232024/11/7 周四