Как сгенериировать приватный ключ и создать CSR запрос на операционных системах UNIX?

Справка: Для безопасной передачи данных по сети Интернет используется криптографический протокол SSL (от англ. Secure Sockets Layer - уровень защищённых сокетов). Для работы с ним можно воспользоваться специальным криптографическим пакетом OpenSSL. Данный продукт является открытым и свободно распространяется как в виде исходных кодов, так и в виде бинарных пакетов. Он применяется для создания сертификатов X.509, ключей DSA, RSA, DH, формирования CSR и CRT и т.д.

Этот пакет по умолчанию включен в большинство дистрибутивов Unix-подобных систем (Linux, BSD, Solaris и т.п). Кроме того, его всегда можно получить на официальном сайте http://www.openssl.org/.

Шаг 1. Создание Private Key.

Private key (частный ключ) - специальный 2048 битный ключ для шифрования по алгортму RSA. Он необходимый для работы с SSL сертификатами.
Для его получения на сервере необходимо выполнить следующую команду:

openssl genrsa -des3 -out /root/serts/private.key 2048

Обращаем внимание, что /root/serts/private.key - это путь к директории, в которой хранятся Ваши сертификаты и он может отличаться от приведенного в данном примере.
Данная команда запускает диалог, который попросит Вас ввести пароль для формирования ключа. Далее потребуется подтверждение пароля - просто введите его еще раз. Обратите внимание, что в целях безопасности, во время ввода пароля символы на экране не будут отображаться, а курсор - смещаться. Пример сессии представлен ниже.

# openssl genrsa -des3 -out /root/serts/private.key 2048
Generating RSA private key, 2048 bit long modulus
........................++++++
......++++++
e is 65537 (0x10001)
Enter pass phrase for /root/serts/private.key:
Verifying - Enter pass phrase for /root/serts/private.key:

Далее проверим, создан ли ключ, прочитав файл:

# cat /root/serts/private.key
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,F8B18E31151D9E52
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-----END RSA PRIVATE KEY-----

Полученный файл private.key - это и есть необходимый приватный ключ. Обязательно сделайте резервную копию этого ключа на своем личном компьютере, сменном носителе и т.п. В случае его утраты, сертификат перестанет работать.


Шаг 2. Генерация CSR-запроса.

CSR-запрос необходим для получения сертификата в соответствующем сертификационном центре. Для его генерации выполните в консоли сервера команду

openssl req -new -key /root/serts/private.key -out /root/serts/request.csr

/root/serts/private.key - путь к файлу приватного ключа, созданного на предыдущем шаге.
/root/serts/request.csr - путь по которому будет создан файл запроса сертификата

Команда запустит диалог в котором Вам потребуется ответить на несколько вопросов. Обращаем внимание, что на первый запрос «Enter pass phrase for /root/serts/private.key» необходимо ввести пароль, выбранный в Шаге 1, а на последние два запроса «A challenge password» и «An optional company name» отвечать не нужно. Пример сессии представлен ниже.

# openssl req -new -key /root/serts/private.key -out /root/serts/request.csr
Enter pass phrase for /root/serts/private.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter `.`, the field will be left blank.
-----
Country Name (2 letter code) [AU]:RU
State or Province Name (full name) [Some-State]:Moscow-State
Locality Name (eg, city) []:Moscow
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Best Hosting
Organizational Unit Name (eg, section) []:Technical Support Department
Common Name (eg, YOUR name) []:www.best-hosting.ru
Email Address []:support@best-hosting.ru

Please enter the following `extra` attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Для проверки прочтите его содержимое, как показано ниже.


# cat /root/serts/request.csr
-----BEGIN CERTIFICATE REQUEST-----
MIIB+jCCAWMCAQAwgbkxCzAJBgNVBAYTAlJVMRUwEwYDVQQIEwxNb3Njb3ctU3Rh
dGUxDzANBgNVBAcTBk1vc2NvdzEVMBMGA1UEChMMQmVzdCBIb3N0aW5nMSUwIwYD
VQQLExxUZWNobmljYWwgU3VwcG9ydCBEZXBhcnRtZW50MRwwGgYDVQQDExN3d3cu
YmVzdC1ob3N0aW5nLnJ1MSYwJAYJKoZIhvcNAQkBFhdzdXBwb3J0QGJlc3QtaG9z
dGluZy5ydTCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA9QC5bmg6QjfVREpt
RaswDGEbFeZj0BcIG9DzDWsQ3h3N7xOm8d4lfOGIQYsSdZPgF53I1Brsi+ilcRrd
FtZpstAlkLHPkdJc2BuzPKshPoZiXcqBV45oQ+wOWRIg/2rzjxxPnuL53TAayVsC
zJWL131yLM2kdFfY1KpDgILNVscCAwEAAaAAMA0GCSqGSIb3DQEBBQUAA4GBAG8B
xsq7r61UTB9822e7Cez6/VXVa5XrPVtZZ6RdDIHAbQAh9WYG3i5s2LKM82qAYa0b
T2+Lv4maZcd0cntica3kLDbDE/usDESvlshVhW64tv4L+upgRgJkTaPaXmsJsOwP
D4WfNUrz+0RgSp5ypbv+e9E7or9Tkm3UXdTOFbln
-----END CERTIFICATE REQUEST-----


Полученный файл является CSR запросом. Его Вы должны ввести в форме заявки для последующего получения сертификата.