使用主题密钥标识符创建自签名证书

【问题标题】：Create Self Signed Certificate with Subject Key Identifier使用主题密钥标识符创建自签名证书
【发布时间】：2014-02-06 09:13:01
【问题描述】：

我想创建一个带有主题密钥标识符的 RSA 算法密钥大小为 2048 的自签名证书。我知道我们在openssl.conf 中做了一些默认更改。我想改变什么？

genrsa -des3 -out mcedt.key 2048
req -new -key mcedt.key -out mcedt.csr
CN = server.test , OU =, O =, L = Toronto, S = ontario , C = can
x509 -req -days 365 -in mcedt.csr -signkey mcedt.key -out mcedt.crt
pkcs12 -export -in mcedt.crt -inkey mcedt.key -out mcedt.pfx

【问题讨论】：

您好，我看到您一直在与 MCEDT 合作。你让它正常工作了吗？
How to create a self-signed certificate with openssl? 的可能重复项。确保 subjectKeyIdentifier = hash 位于 CONF 文件的 [x509_ext] 区域中。您也应该包括一个授权密钥标识符。为此，authorityKeyIdentifier = keyid,issuer.

标签： openssl ssl-certificate x509certificate2

【解决方案1】：

您可以使用以下信息创建一个扩展文件（extensions.cnf）：

subjectKeyIdentifier=hash

如 OpenSSL 所述：

这实际上是一个字符串扩展，可以采用两个可能的值。将自动遵循指南的单词 hash RFC3280 或一个十六进制字符串，给出要包含的扩展值。使用强烈建议不要使用十六进制字符串。

那你应该改变

x509 -req -days 365 -in mcedt.csr -signkey mcedt.key -out mcedt.crt

进入

x509 -req -days 365 -extfile extensions.cnf -in mcedt.csr -signkey mcedt.key -out mcedt.crt

【讨论】：

嗨，默认情况下在具有扩展名的 OpenSSL.conf 文件中。不是吗？
是的，您可以使用 OpenSSL 中的默认值并取消注释/修改您需要的扩展名，然后将其路径作为文件名传递。但我建议您最好拥有自己的或 OpenSSL 的副本。
顺便说一句，如果它有效，请接受答案，以便其他人知道它有效:)