如何用OpenSSL进行数字证书吊销

使用OpenSSL进行数字证书吊销的步骤如下：

1. 准备吊销列表（CRL）

生成新的CRL

首先，你需要生成一个新的吊销列表。这通常涉及到创建一个私钥和一个CRL文件。

# 生成私钥
openssl genpkey -algorithm RSA -out crl.pem -aes256

# 创建一个配置文件（可选）
cat <<EOF > crl.conf
[ ca ]
default_ca = CA_default

[ CA_default ]
dir               = /etc/ssl/certs
certs             = \$dir/certs
crl_dir           = \$dir/crl
database          = \$dir/index.txt
new_certs_dir     = \$dir/newcerts
certificate       = \$dir/ca.crt
serial            = \$dir/serial
RANDFILE          = \$dir/private/.rand

[ req ]
default_bits        = 2048
prompt              = no
default_md          = sha256
distinguished_name  = dn
string_mask         = utf8only

[ dn ]
C=US
ST=California
L=San Francisco
O=My Company
OU=My Unit
CN=My CA

[ v3_ca ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, cRLSign, keyCertSign
EOF

# 使用配置文件生成CRL
openssl ca -config crl.conf -gencrl -out crl.pem

2. 更新CRL

如果你已经有一个CRL文件，并且需要更新它，可以使用以下命令：

openssl ca -config crl.conf -gencrl -out crl.pem -renew

3. 分发CRL

将生成的CRL文件分发到所有相关的客户端和服务器。这通常涉及到将CRL文件上传到一个可访问的位置，并在客户端配置中指定该位置。

客户端配置示例（OpenSSL）

在客户端的配置文件中添加以下行：

[ ca ]
crl_distribution_points = http://yourserver.com/crl/crl.pem

4. 验证CRL

你可以使用以下命令来验证CRL文件的有效性：

openssl verify -CAfile ca.crt -untrusted crl.pem -crl_check user.crt

5. 撤销证书

如果你需要撤销特定的证书，可以使用以下命令：

openssl ca -config crl.conf -revoke user.crt -out revoked_certs.txt

这将生成一个撤销证书的记录，并将其添加到CRL文件中。

6. 更新CRL

最后，更新CRL文件以包含新的撤销记录：

openssl ca -config crl.conf -gencrl -out crl.pem -renew

注意事项

• 确保CRL文件的签名是有效的，并且所有相关的客户端都能够访问到最新的CRL文件。
• 定期更新CRL文件，以确保撤销的证书不会被误用。
• 在生产环境中，建议使用更安全的传输方式（如HTTPS）来分发CRL文件。

通过以上步骤，你可以使用OpenSSL进行数字证书的吊销和管理。