Hindari kata sandi yang meminta kunci dan meminta informasi DN

Saya menggunakan kode berikut untuk menghasilkan kunci:

apt-get -qq -y install openssl;
mkdir -p /etc/apache2/ssl;
openssl genrsa -des3 -out server.key 1024;
openssl req -new -key server.key -out server.csr;
cp server.key server.key.org;
openssl rsa -in server.key.org -out server.key;
openssl x509 -req -days 12000 -in server.csr -signkey server.key -out server.crt;
mv server.crt  /etc/apache2/ssl/cert.pem;
mv server.key  /etc/apache2/ssl/cert.key;
rm -f server.key.orig;
rm -f server.csr

Saya punya dua pertanyaan:

1. Bagaimana saya bisa melewatkan bisikan frasa sandi? Apakah cukup aman bagi saya untuk melakukannya? (seperti di dalamnya tidak boleh benar-benar bodoh seperti orang harus bisa meretas sertifikat)

2. Bagaimana saya menghindari prompt untuk nama negara, organisasi, dll. Saya harap saya bisa memberikannya pada command prompt (halaman manual hanya menunjukkan opsi tingkat atas untuk OpenSSL)

Sunting: Sejauh ini jawaban saya yang paling populer, dan sudah beberapa tahun sekarang, jadi saya telah menambahkan varian ECDSA. Jika Anda dapat menggunakan ECDSA, Anda harus melakukannya.

Anda dapat menyediakan semua informasi itu di baris perintah.

Satu langkah pembuatan sertifikat tanpa kata sandi yang ditandatangani sendiri:

Versi RSA

openssl req \
    -new \
    -newkey rsa:4096 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

Versi ECDSA

openssl req \
    -new \
    -newkey ec \
    -pkeyopt ec_paramgen_curve:prime256v1 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

Semua sub-perintah openssl memiliki halaman manual mereka sendiri. Lihat man req.

Khusus menjawab pertanyaan Anda dan lebih eksplisit tentang opsi mana yang berlaku:

1. The -nodessinyal bendera untuk tidak mengenkripsi kunci, sehingga Anda tidak perlu password. Anda juga bisa menggunakan -passout argbendera. Lihat PASS PHRASE ARGUMENTSdi openssl(1)halaman manual untuk cara memformat arg.

2. Menggunakan -subjbendera, Anda dapat menentukan subjek (contoh di atas).

Apakah -passinopsi tidak melakukan trik untuk Anda?

Dengan file:pathnameformulir Anda bisa cukup aman dengan izin 600 untuk file itu.

Jawaban yang diterima membutuhkan beberapa koreksi kecil. EC Lines:

-newkey ec
-pkeyopt ec_paramgen_curve:prime256v1

seharusnya:

 -newkey ec \
 -pkeyopt ec_paramgen_curve:prime256v1 \

Pada MacOS - OpenSSL 1.0.2f diinstal melalui minuman saya memverifikasi jawaban yang diterima seperti yang dijelaskan di bawah ini

• Untuk daftar kurva Elliptic yang tersedia:

  $ openssl ecparam -list_curves
  

• Untuk menghasilkan file kunci:

  $ openssl ecparam -name secp256k1 -out secp256k1.pem
  

• Untuk menghasilkan sertifikat tanpa konfirmasi kata sandi:

  openssl req \
      -new \
      -newkey ec:secp256k1.pem \
      -days 365 \
      -nodes \
      -x509 \
      -subj "/C=US/ST=FL/L=Ocala/O=Home/CN=example.com" \
      -keyout server.key \
      -out server.crt
  

• Untuk melihat sertifikat:

  $ openssl x509 -noout -text -in server.crt
  

Coba perintah berikut:

openssl genrsa -des3 -out user.key -passout pass:foo 1024

Bagian skipping adalah: -passout pass:foo.

@ Bahaham memiliki jawaban yang bagus. Sayangnya beberapa versi openssl melempar kesalahan ketika mencoba membuat sertifikat ECDSA dengan satu perintah. Kesalahan terjadi seperti:

routines:EVP_PKEY_CTX_ctrl:invalid operation:pmeth_lib.c:404

Saya menggunakan openssl 1.0.1e-fipspada CentOS 7.

Membuat sertifikat Anda dengan 3 perintah berikut tampaknya berhasil:

openssl ecparam -genkey -name prime256v1 -out key.pem
openssl req -new -key key.pem -out csr.pem -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com"
openssl req -x509 -days 365 -key key.pem -in csr.pem -out certificate.pem