¿Cómo crear mi propia cadena de certificados?

Puede utilizar OpenSSL directamente.

1. Cree una clave privada de la Autoridad de Certificación (esta es su clave más importante):

2. Cree su certificado autofirmado por la CA:

3. Emitir un certificado de cliente generando primero la clave, luego solicitar (o usar una proporcionada por un sistema externo) y luego firmar el certificado usando la clave privada de su CA:

(Puede que tenga que añadir algunas opciones ya que estoy usando estos comandos junto con mi archivo openssl.conf. Es posible que tenga que configurar su propio archivo .conf primero).

Una vez que haya creado su CA podrá utilizarla para firmar así :

• Crear una clave :

• Crear una csr :

• Firmarla :

Su cambio :

basicConstraints=CA:TRUE # prev value was FALSE

significa que los certificados que emita podrán ser utilizados para firmar otros certificados.

OpenSSL incluye un script de Perl “CA.pl” que le ayuda a crear un certificado raíz CA autofirmado, junto con la clave privada correspondiente, además de unos cuantos archivos y directorios sencillos que le ayudan a realizar un seguimiento de los futuros certificados que firme (es decir, que emita) con esa CA raíz. También le ayuda a generar otros pares de claves y solicitudes de firma de certificados (CSR) y le ayuda a procesar esas CSR (es decir, emitir certificados para ellas), y más.

Tenga en cuenta que muchos productos requieren que los certificados de CA contengan un determinado atributo que los marque como certificados de CA, o no serán aceptados como firmantes/emisores válidos de otros certificados. Si el certificado autofirmado que ha creado no contiene ese atributo, puede tener problemas para que otro software lo trate como un certificado CA raíz válido.

Si no recuerdo mal, la sintaxis es algo así

CA.pl -newca # Create a new root CA  

CA.pl -newreq # Create a new CSR

CA.pl -sign # Sign a CSR, creating a cert  

CA.pl -pkcs12 # Turn an issued cert, plus its matching private key and trust chain, into a .p12 file you can install on another machine

He encontrado este post: https://stackoverflow.com/questions/19665863/how-do-i-use-a-self-signed-certificate-for-a-https-node-js-server

Es para Node.JS pero el script en este repo de GitHub usa comandos de openSLL para crear un root CA cert y Domain cert.

Se ejecuta con: bash make-root-ca-and-certificates.sh 'example.com'

O para localhost usando: bash make-root-ca-and-certificates.sh 'localhost'

make-root-ca-and-certificates.sh

#!/bin/bash
FQDN=$1

# make directories to work from
mkdir -p certs/{server,client,ca,tmp}

# Create your very own Root Certificate Authority
openssl genrsa \
  -out certs/ca/my-root-ca.key.pem \
  2048

# Self-sign your Root Certificate Authority
# Since this is private, the details can be as bogus as you like
openssl req \
  -x509 \
  -new \
  -nodes \
  -key certs/ca/my-root-ca.key.pem \
  -days 1024 \
  -out certs/ca/my-root-ca.crt.pem \
  -subj "/C=US/ST=Utah/L=Provo/O=ACME Signing Authority Inc/CN=example.com"

# Create a Device Certificate for each domain,
# such as example.com, *.example.com, awesome.example.com
# NOTE: You MUST match CN to the domain name or ip address you want to use
openssl genrsa \
  -out certs/server/privkey.pem \
  2048

# Create a request from your Device, which your Root CA will sign
openssl req -new \
  -key certs/server/privkey.pem \
  -out certs/tmp/csr.pem \
  -subj "/C=US/ST=Utah/L=Provo/O=ACME Tech Inc/CN=${FQDN}"

# Sign the request from Device with your Root CA
# -CAserial certs/ca/my-root-ca.srl
openssl x509 \
  -req -in certs/tmp/csr.pem \
  -CA certs/ca/my-root-ca.crt.pem \
  -CAkey certs/ca/my-root-ca.key.pem \
  -CAcreateserial \
  -out certs/server/cert.pem \
  -days 500

# Create a public key, for funzies
# see https://gist.github.com/coolaj86/f6f36efce2821dfb046d
openssl rsa \
  -in certs/server/privkey.pem \
  -pubout -out certs/client/pubkey.pem

# Put things in their proper place
rsync -a certs/ca/my-root-ca.crt.pem certs/server/chain.pem
rsync -a certs/ca/my-root-ca.crt.pem certs/client/chain.pem
cat certs/server/cert.pem certs/server/chain.pem > certs/server/fullchain.pem