Anchor#xff09;#xff0c;客户端会信任由这个根证书签署的所有证书。

openssl

首先生成一个自签名的根证书和私钥。

这个根证书将作为信任锚Trust

openssl

指定输出文件名为rootCA.key这是生成的私钥文件。

2048:

1.2

-x509表示生成自签名证书而不是证书签名请求。

-new表示生成新证书。

-nodes表示不加密私钥文件即不需要密码保护。

-key

rootCA.key指定私钥文件为rootCA.key。

-sha256使用SHA-256哈希算法。

-days

rootCA.crt指定输出的证书文件名为rootCA.crt。

-config

openssl.cnf指定使用openssl.cnf配置文件中的信息。

1.3为什么根证书不要CSR

CSR证书签名请求文件这是因为根证书是自签名的。

具体来说根证书的生成过程和普通证书不同以下是详细解释

根证书是公钥基础设施PKI中的顶级证书它用来签署其他证书包括中间证书和最终用户证书。

根证书通常由证书颁发机构CA生成和自签名。

自签名证书

自签名证书是由自身私钥签名的证书。

因为它是信任链的起点所以不需要外部的证书颁发机构CA来签署。

这就是为什么在生成根证书时不需要

CSR

确保server.key文件和openssl.cnf文件在同一个目录下然后运行以下命令

openssl

指定输入文件名为server.csr这是前面生成的CSR文件。

-CA

rootCA.crt:

指定用于签署的根证书私钥文件rootCA.key。

-CAcreateserial:

如果没有rootCA.srl文件创建一个新的序列号文件。

-out

server.crt:

指定输出文件名为server.crt这是生成的服务端证书。

-days

365:

假设有一个大公司根证书公司里有一个高管服务端证书还有许多员工客户端。

公司决定了一套信任规则来管理所有员工的工作和身份验证。

大公司自己发布了一个“公司章”自签名证书所有员工都认可这个公司章。

这个公司章表示大公司本身是可信的不需要别人来验证它因为所有人都知道它并信任它。

高管需要一个身份验证服务端证书于是公司用自己的公司章给高管发布了一个高管身份验证文件。

这个文件上盖有公司章根证书签名所以所有员工都可以验证这个文件的真实性。

公司在入职培训时告诉所有员工任何带有公司章的文件都是可信的。

因此员工会把公司章根证书存储在他们的记忆中并用它来验证任何带有公司章的文件。

更新服务端证书

高管向公司申请一个新的身份验证文件新的服务端证书。

公司用自己的公司章根证书再次签署并发布新的身份验证文件。

新的身份验证文件依然带有公司章根证书签名。

员工使用存储在他们记忆中的公司章客户端信任的根证书来验证新的文件。

关键点

根证书公司章始终是相同的根证书是公司自己签发并受信任的所以它在信任链的最顶端。

签名链的完整性无论高管的身份验证文件服务端证书更新多少次只要它是由根证书公司章签署的员工客户端就能验证其真实性。

客户端只需要信任根证书客户端员工只需要一次性信任根证书公司章。

之后任何由这个根证书签署的证书身份验证文件都能被验证成功。

由根证书签发的服务端证书即使更新了客户端依然能验证成功的原因在于

客户端只需要信任一次根证书。

任何由根证书签署的证书都能被客户端验证。

更新后的服务端证书依然由同一个根证书签署确保了信任链的完整性。

通过这个类比您可以更直观地理解根证书和服务端证书之间的信任关系以及为什么客户端在根证书不变的情况下可以持续信任更新后的服务端证书。