Některé z příkazů využívají přepínač -config, za kterým následuje cesta ke konfiguračnímu souboru. Z tohoto souboru jsou načítány některé informace potřebné pro generování certifikátů. Obsah soubor je umístěn na konci textu.

Vytvoříme self-signed certifikát CA s klíčem

openssl req -config ./openssl.cnf -newkey rsa:2048 -nodes -keyform PEM -keyout firma.CA.key -x509 -days 3650 -extensions certauth -outform PEM -out firmaCA.cer

Vygenerujeme žádost o serverový certifikát pro CA společně s klíčem

openssl req -new -newkey rsa:2048 -nodes -keyout server.firma.cz.key -out server.firma.cz.req

Podobně vygenerujeme žádost o klientský certifikát pro CA společně s klíčem

openssl req -config ./openssl.cnf -new -newkey rsa:2048 -nodes -keyout client.firma.key -out client.firma.req

Naší CA vydáme z žádostí serverový i klientský certifikát

openssl x509 -req -in server.firma.cz.req -CA firmaCA.cer -CAkey firmaCA.key -set_serial 100 -extfile openssl.cnf -extensions server -days 730 -outform PEM -out server.firma.cz.cer

openssl x509 -req -in client.firma.cz.req -CA firmaCA.cer -CAkey firmaCA.key -set_serial 101 -extfile openssl.cnf -extensions client -days 730 -outform PEM -out client.firma.cz.cer

Klientský certifikát a klíč uložíme ve formátu PKCS#12

openssl pkcs12 -export -inkey client.firma.cz.key -in client.firma.cz.cer -out client.firma.cz.p12

Pro vynucení autentizace pomocí klientského certifikátu vložíme do virtualhostu apache následující konfiguraci.

SSLVerifyClient require

SSLVerifyDepth 10

SSLCACertificateFile /cesta/k/certifikatu/CA.cer

Ukázka vygeneruje dva soubory server.firma.cz.key a server.firma.cz.req, kde se na rsa 2Kbit privátní klíč nepoužije passphrase.

openssl req -new -newkey rsa:2048 -nodes -keyout server.firma.cz.key -out server.firma.cz.req

Soubor server.firma.cz.req zašleme jako žádost o certifikát certifikační autoritě a získáme certifikát server.firma.cz.cer. V případě, že již máme privátní klíč, tak k němu můžeme vygenerovat žádost příkazem

openssl req -new -key server.firma.cz.pem -out server.firma.cz.pem

openssl req -x509 -newkey rsa:2048 -nodes -keyform PEM -keyout firma.key -days 3650 -outform PEM -out firma.cer

openssl x509 -req -days 365 -in server.firma.cz.req -signkey server.firma.cz.key -out server.firma.cz.cer

openssl req -in server.firma.cz.req -noout -text

openssl req -in server.firma.cz.req -noout -verify -key server.firma.cz.key

openssl rsa -noout -text -in server.firma.cz.key

openssl x509 -text -in ./server.firma.cz.cer

openssl verify server.firma.cz.cer

openssl pkcs12 -info -in ./server.firma.cz.p12

Pokud potřebujeme změnit formát lze vhodně zkombinovat direktivy -inform a -outform. openssl x509 -outform der -in server.firma.cz.req -out server.firma.cz.req.der

openssl pkcs12 -in ./file.oksystem.cz.2.p12 -clcerts -nokeys -out ./file.oksystem.cz.2.cer

openssl pkcs12 -in ./file.oksystem.cz.2.p12 -nocerts -nodes -out file.oksystem.cz.2.key

openssl pkcs12 -export -inkey client.firma.cz.key -in client.firma.cz.cer -out client.firma.cz.p12

openssl rsa -in server.firma.cz.key -out server.firma.cz-bezpassphrase.key

openssl s_client -connect remote.host:25 -starttls smtp

[ req ] default_md = sha2 distinguished_name = req_distinguished_name [ req_distinguished_name ] countryName = Country countryName_default = CZ countryName_min = 2 countryName_max = 2 localityName = Locality localityName_default = Prague organizationName = Organization organizationName_default = OKsystem a.s. commonName = Common Name commonName_max = 64 [ certauth ] subjectKeyIdentifier = hash authorityKeyIdentifier = keyid:always,issuer:always basicConstraints = CA:true crlDistributionPoints = @crl [ server ] basicConstraints = CA:FALSE keyUsage = digitalSignature, keyEncipherment, dataEncipherment extendedKeyUsage = serverAuth nsCertType = server crlDistributionPoints = @crl [ client ] basicConstraints = CA:FALSE keyUsage = digitalSignature, keyEncipherment, dataEncipherment extendedKeyUsage = clientAuth nsCertType = client crlDistributionPoints = @crl [ crl ] URI=http://testca.local/ca.crl