Comment faire pour créer un certificat auto-signé avec openssl ?

Question

J’ajoute https support à un appareil de linux embarqué. J’ai essayé de générer un certificat auto-signé avec ces étapes :

Cela fonctionne, mais j’ai quelques erreurs avec, par exemple, google chrome :

Ce n’est probablement pas le site que vous cherchez !
Certificat de sécurité du site n’est pas approuvé !

Ai-je raté quelque chose ? Est-ce la bonne façon de générer un certificat auto-signé ?

Answer 1

Vous pouvez le faire en une seule commande :

Vous pouvez ajouter des `` si vous ne voulez pas protéger votre clé privée avec un mot de passe.

Les certificats auto-signés ne sont pas validées avec une tierce partie à moins que vous les importer vers les navigateurs auparavant. Si vous avez besoin de plus de sécurité, vous devez utiliser un certificat signé par une autorité de certification.

Answer 2

Voici les options décrites dans @diegows réponse, décrit plus en détail, à partir de la documentation:

openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days XXX

req

PKCS#10 de la demande de certificat et certificat de la génération de l'utilitaire.

-x509

cette option génère un certificat auto-signé à la place d'une demande de certificat. Il est généralement utilisé pour générer un test ou un certificat auto-signé autorité de certification racine.

-newkey arg

cette option crée une nouvelle demande de certificat et une clé privée. L'argument prend plusieurs formes. rsa:nbits, où nbits est le nombre de bits, génère une clé RSA nbits dans la taille.

-keyout filename

cela donne le nom du fichier à écrire la fonction nouvellement créée de la clé privée.

-out filename

Ceci spécifie le nom de fichier de sortie à l'écriture ou à la sortie standard par défaut.

-days n

lorsque l' -x509 option est utilisée spécifie le nombre de jours de certifier le certificat. La valeur par défaut est de 30 jours.

-nodes

si cette option est spécifiée, alors si une clé privée est créée, elle ne sera pas crypté.

La documentation est en fait plus détaillées que celles ci-dessus, je viens de résumer ici.

Answer 3

Je vous recommande d'ajouter -sha256 paramètre, à l'utilisation de SHA-2 algorithme de hachage, parce que les principaux navigateurs envisagent de montrer "SHA-1 des certificats" de ne pas sécurisé.

La même ligne de commande de la accepté de répondre - @diegows avec ajoutée sha256

openssl req -x509 -sha256 -newkey rsa:2048 -keyout clé.pem -out cert.pem -days XXX

Plus d'infos dans Google blog sur la Sécurité.