CSR - это файл, содержащий информацию о вашей компании и ваш открытый ключ.
CSR запрос вы направляете в Центр сертификации для получения SSL сертификата для вашего сайта
VIDEOЧтобы создать пару секретных ключей и общедоступный запрос подписи сертификата (CSR) для веб-сервера
«сервер», используйте следующую команду:
openssl req -new -nodes -keyout myserver.key -out server.csr
Это создает два файла. Файл myserver.key содержит закрытый ключ; не показывайте этот файл никому.
Аккуратно защитите закрытый ключ.
В частности, обязательно создайте резервную копию секретного ключа, так как нет средств для его восстановления,
если он будет потерян. Закрытый ключ используется в качестве входных данных для создания запроса на п
одпись сертификата (CSR).
Теперь вам будет предложено ввести данные, которые будут использованы при создании запроса CSR.
То, что вы собираетесь ввести, - это то, что называется Distinguished Name или DN.
Country Name (2 letter code) [AU]: UA
State or Province Name (full name) [Some-State]: Lvivska
Locality Name (eg, city) []: Lviv
Organization Name (eg, company) [Internet Widgits Pty Ltd]: adgrafics Ltd
Organizational Unit Name (eg, section) []: IT
Common Name (eg, YOUR name) []: it.adgrafics.com
email address - необязательное поле
optional company name - не вводите
challenge password - не вводите
Ваш запрос CSR создан, сохраните его для получения SSL сертификата от сертифицированного доверенного центра сертификации
Создание запроса подписи сертификата (CSR) с использованием OpenSSL
Подключитесь при помощи SSH или Telnet с вашим веб-сервером.
Создайте закрытый ключ и общедоступный запрос подписи сертификата (CSR), используя следующую команду:
openssl req -new -newkey rsa:2048 -nodes -keyout myserver.key -out server.csr
Вам будет предложено ввести данные для вашей CSR. Введите информацию о местоположении вашей компании в поля страны,
штата и местности. Когда вы приступите к шагу, который запрашивает имя вашей организации, используйте полное имя вашей компании,
включая любые суффиксы, такие как «Inc» или «LLC». Вы можете указать отдел компании или просто «Web» в поле
организационной единицы. Для общего имени здесь вы вводите полный веб-адрес своего сайта. Например, www.yourdomain.com и
yourdomain.com приемлемы, а http://www.yourdomain.com - нет. При заказе SSL-сертификата Wildcard используйте форму * .yourdomain.com.
У вас будет возможность установить пароль для закрытого ключа. Если вы решите установить пароль, ваш секретный ключ будет
при рестарте сервера Апаче
Генерация запроса CSR для Apache 2.x
Установите OpenSSL, если он не найден на вашем сервере. (Версия OpenSSL должна соответствовать вашей версии Apache)
Создайте закрытый ключ RSA для вашего сервера Apache, с triple-DES шифрованием и с PEM-форматированием:
openssl genrsa -des3 -out domainname.key 2048
Сохраните этот ключ и его фразу. Если вы потеряете секретный ключ или забыли свою кодовую фразу,
вы должны приобрести другой сертификат.
Вы также можете создать закрытый ключ без triple-DES шифрования
openssl genrsa -out domainname.key 2048
Вы можете просмотреть содержимое закрытого ключа, используя следующую команду:
openssl rsa -noout -text -in domainname.key
Текст секретного ключа выглядит примерно так
-----BEGIN RSA PRIVATE KEY-----
.......
-----END RSA PRIVATE KEY-----
Создайте запрос подписи сертификата, используя закрытый ключ RSA, созданный выше (вывод будет иметь формат PEM):
openssl req -new -key domainname.key -out domainname.csr
* Вам будет предложено ввести кодовую фразу PEM, если вы включили переключатель «-des3» в шаге 3.
Введите информацию, которая будет отображаться в сертификате. Следующие символы не могут быть приняты:
< > ~ ! @ # $ % ^ * / \ ( ) ?.,&
Поле DN Объяснение Пример
Общее имя
Полное доменное имя для вашего веб-сервера. Это должно быть точное совпадение.
Если вы намерены защитить URL-адрес https://www.adgrafics.com, ваше общее имя CSR должно быть www.adgrafics.com.
Организация
Точное юридическое название вашей организации. Не сокращайте название своей организации.
GeoTrust
Единица организации
Раздел организации
Маркетинг
Город или местонахождение
Город, в котором ваша организация находится на законных основаниях.
Khmelnitsky
Штат или провинция
Штат или провинция, где ваша организация находится на законных основаниях. Нельзя сокращать.
Массачусетс
Страна
Двухбуквенная аббревиатура ISO для вашей страны.
UA
Вам будут предложены дополнительные атрибуты (т. Е. Пароль для запроса и необязательное название компании);
мы рекомендуем оставить эти атрибуты пустыми (просто нажмите Enter).
Вы можете проверить содержимое своей CSR, используя следующую команду:
openssl req -noout -text -in domainname.csr
Сохраните полученный запрос для получения сертфиката ссл
Генерация CSR DSA Certificate Signing Request для Apache SSL
Чтобы создать CSR для сервера должна быть создана пара ключей.
Эти два элемента представляют собой пару ключей цифрового сертификата и не могут быть разделены.
Если файл или пароль открытого / закрытого ключа потеряны или изменены до того, как сертификат SSL будет установлен,
сертификат SSL необходимо будет переиздать. Закрытый ключ, CSR и сертификат должны соответствовать друг другу,
чтобы установка была успешной.
Чтобы создать правильный параметр DSA, размер ключа 2048 бит и алгоритм подписи SHA-256,
вы должны использовать OpenSSL ver. 1.0.1e
Шаг 1. Создание файла параметров для DSA.
Утилита «openssl» используется для генерации ключа и CSR. Эта утилита поставляется с пакетом OpenSSL и обычно
устанавливается в директории /usr/local/ssl/bin. Если утилита была установлена в другом месте, эти инструкции должны быть
соответствующим образом скорректированы.
Введите в командной строке следующую команду:
openssl dsaparam -out dsaparam.pem 2048
Эта команда генерирует файл параметров 2048, который будет использоваться при создании пары ключей.
Шаг 2. Создание секретного ключа и запроса подписи сертификата (CSR)
Введите в командной строке следующую команду:
openssl req –out request.csr –keyout privatekey.key –newkey dsa:dsaparam.pem –sha256
Если вы используете openSSL в Windows, вам может потребоваться указать путь к openssl.cnf, например:
openssl req –out request.csr –keyout privatekey.key –newkey dsa:dsaparam.pem –sha256 -config "c:\OpenSSL-Win64\bin\openssl.cnf"
Эта команда предложит следующие атрибуты сертификата X.509: >
Название страны (C): используйте двухбуквенный код без знаков препинания для страны, например: США или CA.
Штат или провинция (S): регион, область
Местность или город (L): Поле «Местность» - это название города или села
Организация (O): Если ваша компания или отдел имеет символ &, @ или любой другой символ, используя ключ смены в своем имени,
вы должны указать символ или опустить его для регистрации, например: XY & Z Corporation будет XYZ Корпорация или XY и Z Corportation.
Организационное подразделение (OU): это поле - название отдела или организационного подразделения, подающего запрос.
Общее имя (CN): Общее имя - это имя хоста + домен. Он выглядит как «www.company.com» или «company.com».
Генерация CSR ECC Certificate Signing Request для Apache SSL
Чтобы создать запрос CSR, для сервера должна быть создана пара ключей.
Эти два элемента представляют собой пару ключей цифрового сертификата и не могут быть разделены.
Если файл или пароль открытого / закрытого ключа потеряны или изменены до того, как сертификат SSL будет установлен,
сертификат SSL необходимо будет переиздать. Закрытый ключ, CSR и сертификат должны соответствовать друг другу,
чтобы установка была успешной.
Поддерживается следующая кривая имен ECC:
Key type: named curve NIST P-256, aka prime256v1
Чтобы создать правильный параметр ECC
алгоритм prime256v1, & SHA-256 нужно использовать подписи OpenSSL v. 1.0.1g.
Подробнее о элиптических кривых вы можете узнать в Elliptic Curve Cryptography Subject Public Key Information - IETF
Шаг 1: Создание (генерация) Private Key алгоритма ECC
Утилита «openssl» используется для генерации ключа и CSR. Эта утилита поставляется с пакетом OpenSSL и обычно
устанавливается в директории /usr/local/ssl/bin Если утилита была установлена в другом месте, эти инструкции должны быть соответствующим образом скорректированы.
Введите в командной строке следующую команду:
openssl ecparam -out privatekey.key -name prime256v1 -genkey
Эта команда генерирует файл закрытого ключа и кривую ECC с именем prime256v1.
Шаг 2. Создание запроса на подпись сертификата (CSR)
Введите в командной строке следующую команду:
openssl req -new -key privatekey.key -out request.csr -sha256
Если вы используете openSSL в Windows, вам может потребоваться указать путь к openssl.cnf
openssl req -new -key privatekey.key -out request.csr -config "c:\OpenSS-Win64\bin\openssl.cnf
Эта команда предложит следующие атрибуты сертификата X.509:
Название страны (C): используйте двухбуквенный код без знаков препинания для страны, например: UA
Штат или провинция (S): область
Местность или город (L): город
Организация (O): Если ваша компания или отдел имеет символ &, @ или любой другой символ, используя ключ смены в своем имени,
вы должны указать символ или опустить его для регистрации, например: XY & Z Corporation будет XYZ Корпорация или XY и Z Corportation.
Организационное подразделение (OU): это поле - название отдела или организационного подразделения, подающего запрос.
Общее имя (CN): Общее имя - это имя хоста + домен. Он выглядит как «www.company.com» или «company.com».
Пожалуйста, не вводите адрес электронной почты, пароль для запроса или альтернативное название компании при создании CSR .
Пара открытого и закрытого ключа создана. Закрытый ключ (www.domain.com.key) хранится локально на серверной машине и используется для шифрования.
Публичная часть в виде запроса на подпись сертификата (certrequest.csr) предназначена для регистрации сертификатов.
Сохраните резервную копию приватного ключа на случай утери или сбои серверного по.