Vermeiden Sie die Aufforderung zur Kennworteingabe für Schlüssel und Aufforderungen zur Eingabe von DN-Informationen

Ich benutze folgenden Code, um Schlüssel zu generieren:

apt-get -qq -y install openssl;
mkdir -p /etc/apache2/ssl;
openssl genrsa -des3 -out server.key 1024;
openssl req -new -key server.key -out server.csr;
cp server.key server.key.org;
openssl rsa -in server.key.org -out server.key;
openssl x509 -req -days 12000 -in server.csr -signkey server.key -out server.crt;
mv server.crt  /etc/apache2/ssl/cert.pem;
mv server.key  /etc/apache2/ssl/cert.key;
rm -f server.key.orig;
rm -f server.csr

Ich habe zwei Fragen:

1. Wie kann ich die Passwortabfrage überspringen? Wäre es einigermaßen sicher für mich, dies zu tun? (wie in sollte es nicht geradezu töricht sein, wie jemand in der Lage sein sollte, das Zertifikat zu hacken)

2. Wie vermeide ich die Aufforderung zur Eingabe des Ländernamens, der Organisation usw. Ich hoffe, ich kann sie über die Eingabeaufforderung eingeben (auf der Manpage werden nur Optionen der obersten Ebene für OpenSSL angezeigt)

Bearbeiten: Dies ist bei weitem meine beliebteste Antwort, und es ist nun ein paar Jahre her, so dass ich eine ECDSA-Variante hinzugefügt habe. Wenn Sie ECDSA verwenden können, sollten Sie.

Sie können alle diese Informationen in der Befehlszeile eingeben.

Selbstsignierte, kennwortlose Zertifikatserstellung in einem Schritt:

RSA-Version

openssl req \
    -new \
    -newkey rsa:4096 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

ECDSA-Version

openssl req \
    -new \
    -newkey ec \
    -pkeyopt ec_paramgen_curve:prime256v1 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

Alle Unterbefehle von openssl haben eine eigene Manpage. Sehen man req.

Speziell auf Ihre Fragen eingehen und genauer wissen, welche Optionen wirksam sind:

1. Das -nodesFlag signalisiert, dass der Schlüssel nicht verschlüsselt werden soll, sodass Sie kein Passwort benötigen. Sie könnten auch die -passout argFlagge verwenden. Siehe PASS PHRASE ARGUMENTSin der openssl(1)man - Seite , wie Sie die arg zu formatieren.

2. Mit der -subjFlagge können Sie den Betreff festlegen (Beispiel siehe oben).

Macht die -passinOption nicht den Trick für Sie?

Mit file:pathnameFormular können Sie mit Berechtigungen 600 für diese Datei ganz sicher sein.

Die akzeptierte Antwort benötigt ein paar kleine Korrekturen. EG-Linien:

-newkey ec
-pkeyopt ec_paramgen_curve:prime256v1

sollte sein:

 -newkey ec \
 -pkeyopt ec_paramgen_curve:prime256v1 \

Unter MacOS - OpenSSL 1.0.2f, das über brew installiert wurde, habe ich die akzeptierte Antwort wie unten beschrieben überprüft

• So listen Sie verfügbare elliptische Kurven auf:

  $ openssl ecparam -list_curves
  

• So generieren Sie eine Schlüsseldatei:

  $ openssl ecparam -name secp256k1 -out secp256k1.pem
  

• So generieren Sie das Zertifikat ohne Passwortabfrage:

  openssl req \
      -new \
      -newkey ec:secp256k1.pem \
      -days 365 \
      -nodes \
      -x509 \
      -subj "/C=US/ST=FL/L=Ocala/O=Home/CN=example.com" \
      -keyout server.key \
      -out server.crt
  

• So zeigen Sie das Zertifikat an:

  $ openssl x509 -noout -text -in server.crt
  

Versuchen Sie den folgenden Befehl:

openssl genrsa -des3 -out user.key -passout pass:foo 1024

Das Überspringen Teil ist: -passout pass:foo.

@ Bahamat hat eine tolle Antwort. Leider werfen einige Versionen von openssl einen Fehler auf, wenn versucht wird, ein ECDSA-Zertifikat mit einem Befehl zu erstellen. Der Fehler geht ungefähr so:

routines:EVP_PKEY_CTX_ctrl:invalid operation:pmeth_lib.c:404

Ich habe openssl 1.0.1e-fipsauf verwendet CentOS 7.

Das Erstellen Ihres Zertifikats mit den folgenden 3 Befehlen scheint zu funktionieren:

openssl ecparam -genkey -name prime256v1 -out key.pem
openssl req -new -key key.pem -out csr.pem -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com"
openssl req -x509 -days 365 -key key.pem -in csr.pem -out certificate.pem