小编MrE*_*MrE的帖子

我使用我自己的 CA 为我的基础设施中的服务创建 SSL 证书。这些证书由我的 CA 直接签署。

在我看来，这可能是一个弱策略，好像证书会被破坏，我需要从一个 CA 创建新的。如果 CA 受到威胁，则游戏结束，因为每个服务都需要更新。

所以我的理解是，“保护”自己和“淡化”关注的典型方法是创建一个证书链，并在链的末端签署服务证书，这样如果签署者受到威胁，下一级可用于创建新的签名证书。

我说得对吗？

我想做的是创建我自己的证书链。

整个 TLS/SSL 的东西对我来说仍然有点模糊，但正如我所见，首先创建一个主密钥，openssl genrsa然后使用该密钥创建一个自签名证书openssl req -x509 -new以创建 CA。

然后我可以使用openssl req -new -key' and sign the request with my CA withopenssl x509 -req -CA ca.pem ...`创建新密钥和证书签名请求

那么，要创建一个证书链，应该怎么做呢？

我是否只需创建一个新密钥、新签名请求，并使用上次签名的证书而不是 CA 对其进行签名？依此类推，直到我有足够的保护级别，然后用最低级别的证书签署所有证书/密钥对？

这些东西令人困惑，我想把它弄对;-)

我发现的关于 TLS 的所有内容都非常复杂，而“简单”教程则晦涩难懂。我正在浏览 openssl 手册页，但我想获得该过程的简单解释，然后我会确保每一步都正确。

感谢您的洞察力。