OpenSSL や OpenVPN 付属のサンプル CA 環境についての文献しか見当たらなかったので、 環境を作らずに署名する手順を確認してみた。
まずは CA 用の鍵ペアと自己署名の証明書を作成する。 証明書の有効期限は約 10年、ダイジェスト形式は SHA1、 10年先でも耐えられるであろう (素人の推定) 鍵長ということで 2048 ビットにする。 req サブコマンドでは鍵ペアの暗号化方式を選択できないのね (OpenSSL 0.9.8c 現在)。
# openssl req \
-new \
-x509 \
-subj '/C=JP/ST=Tokyo/L=Shinagawa/O=Example/OU=Private CA' \
-days 3650 \
-newkey rsa:2048 \
-sha1 \
-keyout /etc/ssl/private/example-ca.key \
>/etc/ssl/certs/example-ca.crt
Generating a 2048 bit RSA private key
...
writing new private key to '/etc/ssl/private/example-ca.key'
Enter PEM pass phrase: 秘密鍵を暗号化するためのパスフレーズ
Verifying - Enter PEM pass phrase: パスフレーズをもう一度
