Generer ECC-certifikat på Ubuntu 14.04

Elliptic Curve Cryptography (ECC for kort) er et asymmetrisk nøglepar, der bruges til kryptering og dekryptering af data. ECC tilbyder nogle få fordele i forhold til RSA. ECC-nøgler er mindre i størrelse, samtidig med at de giver en sikkerhed svarende til RSA - hvilket reducerer de nødvendige ressourcer og giver bedre ydeevne til medieapplikationer, VPN-forbindelser og mange andre båndbreddeapplikationer. Denne artikel viser dig, hvordan du opretter et selvsigneret EEC-certifikat på Ubuntu 14.04. Denne artikel virker også på mange andre distributioner af Linux, der har OpenSSL installeret.

Opdater system

For at sikre, at alt fungerer godt, er det bedst at opdatere dit system til at bruge den nyeste og mest stabile tilgængelige software. Kør følgende kommandoer:

apt-get update
apt-get dist-upgrade

Generer ECC privat nøgle

Vi vil generere en privat nøgle ved hjælp af prime256v1 ECC-kurven.

openssl ecparam -out private.key -name prime256v1 -genkey

Generer certifikatanmodning

Brug nu OpenSSL til at generere en CSR (Certificate Signing Request) til signering af certifikatet. Vi vil generere CSR med 512-bit SHA2. Bemærk, at det anbefales at bruge 256-bit eller bedre. SHA-1 anbefales ikke længere at blive brugt og vil snart blive udfaset. SHA-1 vil heller ikke længere blive accepteret af CA'er (Certificate Authorities).

openssl req -new -key private.key -out certificate.csr -sha512

Det vil give dig en liste over felter, der skal udfyldes. Hvis du bruger et domæne, skal du sørge for, at det Common Nameer indstillet til det pågældende domænenavn. Den 'extra' attributeskan stå tom.

Opret og underskriv certifikat

Du vil nu oprette og underskrive dit certifikat fra den CSR, som du tidligere har oprettet.

openssl x509 -req -days 365 -in certificate.csr -signkey private.key -out certificate.crt -sha512

Hvis der ikke opstår nogen fejl, har du lavet et ECC-certifikat.

Bemærkning om offentlig brug

Hvis du ønsker at bruge certifikatet offentligt eller i produktion, så anbefales det at videregive CSR'en til din CA for at få dem til at udstede et underskrevet certifikat til dig. Hold også den private.keypå en hemmelig og sikker placering på din server. Sørg for, at filen har skrivebeskyttede tilladelser. Hvis du mister din nøgle, bliver du nødt til at genskabe nøglen og CSR'en for at få udstedt et nyt certifikat til dig.