Генериране на ECC сертификат на Ubuntu 14.04

Криптографията с елиптична крива (ECC за кратко) е асиметрична двойка ключове, която се използва за криптиране и декриптиране на данни. ECC предлага няколко предимства пред RSA. ECC ключовете са по-малки по размер, като същевременно осигуряват сигурност, еквивалентна на тази на RSA – намаляват необходимите ресурси и осигуряват по-добра производителност за медийни приложения, VPN връзки и много други приложения с честотна лента. Тази статия ще ви покаже как да създадете самоподписан сертификат EEC на Ubuntu 14.04. Тази статия работи и върху много други дистрибуции на Linux, които имат инсталиран OpenSSL.

Актуализиране на системата

За да сте сигурни, че всичко работи добре, най-добре е да актуализирате системата си, за да използвате най-новия и най-стабилен наличен софтуер. Изпълнете следните команди:

apt-get update
apt-get dist-upgrade

Генериране на ECC частен ключ

Ще генерираме частен ключ, използвайки кривата ECC prime256v1.

openssl ecparam -out private.key -name prime256v1 -genkey

Генериране на заявка за сертификат

Сега използвайте OpenSSL, за да генерирате CSR (заявка за подписване на сертификат) за подписване на сертификата. Ще генерираме CSR с 512-битов SHA2. Имайте предвид, че се препоръчва използването на 256-битова или по-добра. SHA-1 не се препоръчва повече да се използва и скоро ще бъде остарял. SHA-1 също вече няма да се приема от CA (сертифициращи органи).

openssl req -new -key private.key -out certificate.csr -sha512

Той ще ви даде списък с полета, които трябва да попълните. Ако използвате домейн, уверете се, че Common Nameе зададено на това име на домейн. В 'extra' attributesможе да бъде оставено празно.

Създайте и подпишете сертификат

Сега ще създадете и подпишете своя сертификат от CSR, който сте създали преди.

openssl x509 -req -days 365 -in certificate.csr -signkey private.key -out certificate.crt -sha512

Ако не се появи грешка, значи успешно сте направили ECC сертификат.

Забележка за обществено ползване

Ако искате да използвате сертификата публично или в производство, тогава се препоръчва да предадете CSR на вашия CA, за да ви издаде подписан сертификат. Също така, пазете го на private.keyтайно и сигурно място във вашия сървър. Уверете се, че файлът има разрешения само за четене. Ако загубите ключа си, ще трябва да пресъздадете ключа и CSR, за да ви бъде издаден нов сертификат.