我正在为嵌入式Linux设备添加HTTPS支持。我已尝试使用以下步骤生成自签名证书：
openssl req -new > cert.csr
openssl rsa -in privkey.pem -out key.pem
openssl x509 -in cert.csr -out cert.pem -req -signkey key.pem -days 1001
cat key.pem>>cert.pem
这是可行的，但我在Google Chrome上遇到了一些错误：
这可能不是你要找的网站！站点的安全证书不受信任！
我错过了什么吗？这是构建自签名证书的正确方法吗？
当前回答
我建议添加-sha256参数，以使用SHA-2哈希算法，因为主要浏览器正在考虑将“SHA-1证书”显示为不安全。
来自已接受答案的同一命令行-@diegows，添加了-sha256
openssl req-x509-sha256-newkey rsa：2048-keyout key.pem-out cert.pem-天XXX
更多信息请访问谷歌安全博客。
2018年5月更新。正如许多人在评论中指出的那样，使用SHA-2不会为自签名证书添加任何安全性。但我仍然建议使用它作为一个好习惯，不要使用过时/不安全的加密哈希函数。在“为什么最终实体证书之上的证书可以基于SHA-1？”中提供了完整的解释？。
其他回答
生成密钥我将/etc/mysql用于证书存储，因为/etc/appamor.d/usr.sbin.mysqld包含/etc/mysql/*.pem r。苏多苏-cd/etc/mysqlopenssl genrsa-out ca-key.pem 2048；openssl req-new-x509-nodes-days 1000-key ca-key.pem-out ca-cert.pem；openssl req-newkey rsa：2048-天1000-节点-keyout server-key.pem-out server-req.pem；openssl x509-req-in server-req.pem-天1000-CA CA-cert.pem-CA密钥CA-key.pem-set_serial 01-out server-cert.pum；openssl req-newkey rsa：2048-天1000-nodes-keyout client-key.pem-out client-req.pem；openssl x509-req-in client-req.pem-days 1000-CA CA-cert.pem-CA密钥CA-key.pem-set_serial 01-out client-cert.pum；添加配置/etc/mysql/my.cnf[客户]ssl-ca=/etc/mysql/ca-cert.pemssl证书=/etc/mysql/client-cert.pemssl密钥=/etc/mysql/client-key.pem[mysqld]ssl-ca=/etc/mysql/ca-cert.pemssl证书=/etc/mysql/server-cert.pemssl密钥=/etc/mysql/server-key.pem
在我的设置中，Ubuntu服务器登录到：/var/log/mysql/error.log
后续注意事项：
SSL错误：无法从“…”获取证书如果MySQL不在appmors配置中，则可能会拒绝对证书文件的读取访问。如前面步骤^中所述，将所有证书保存为/etc/mysql/目录中的.pem文件，appamor默认批准该目录（或修改appamor/SELinux以允许访问存储它们的任何位置）SSL错误：无法获取私钥您的MySQL服务器版本可能不支持默认的rsa：2048格式将生成的rsa：2048转换为纯rsa：openssl rsa-in server-key.pem-out server-key.phpopenssl rsa-in client-key.pem-out client-key.php检查本地服务器是否支持SSL：mysql-u根-pmysql>显示变量，如“%ssl%”；+---------------+----------------------------+|变量名称|值|+---------------+----------------------------+|have_openssl|是||have_ssl|是||ssl-ca|/etc/mysql/ca-cert.pem||ssl_容量|||ssl_cert |/etc/mysql/server-cert.pem||ssl_密码|||ssl-key |/etc/mysql/server-key.pem|+---------------+----------------------------+验证与数据库的连接是否经过SSL加密：正在验证连接登录到MySQL实例时，可以发出查询：显示状态，如“Ssl_cypher”；如果您的连接未加密，结果将为空：mysql>显示状态，如“Ssl_cypher”；+---------------+-------+|变量名称|值|+---------------+-------+|Ssl_密码||+---------------+-------+一组1行（0.00秒）否则，它将显示正在使用的密码的非零长度字符串：mysql>显示状态，如“Ssl_cypher”；+---------------+--------------------+|变量名称|值|+---------------+--------------------+|Ssl_密码|DHE-RSA-AES256-SHA|+---------------+--------------------+一组1行（0.00秒）特定用户的连接需要ssl（“需要ssl”）：安全套接字层告诉服务器只允许帐户使用SSL加密连接。授予测试的所有特权。*至“root”@“本地主机”需要SSL；要进行连接，客户端必须指定--ssl ca选项来验证服务器证书，还可以指定--ssl密钥和--ssl证书选项。如果未指定--ssl ca选项或--ssl capath选项，则客户端不会对服务器证书进行身份验证。
备用链接：《用SSL保护PHP与MySQL的连接》中的冗长教程。
在经历了大量的尝试和各种解决方案之后，我仍然面临这样一个问题：为localhost颁发自签名证书会给我带来错误
错误证书无效
在扩展细节时，chrome表示：
您现在无法访问localhost，因为网站已发送加密凭据。。。
唯一难看的方式是键入（直接在这个屏幕上，没有看到文本的任何光标）：
（在键盘上键入）这是安全的
这让我继续。
直到我找到extendedKeyUsage=serverAuth，clientAuth
TL；博士
openssl genrsa-out localhost.key 2048openssl req-key localhost.key-new-out localhost.csr（单击输入所有内容，然后用localhost或其他FQDN填写通用名称（CN）。将以下内容放入名为v3.ext的文件中（根据需要进行编辑）：
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer:always
basicConstraints = CA:TRUE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign
extendedKeyUsage = serverAuth, clientAuth
subjectAltName = DNS:localhost, DNS:localhost.localdomain
issuerAltName = issuer:copy
openssl x509-req-in localhost.csr-signkey localhost.key-out localhost.pem-days 3650-sha256-extfile v3.ext
瞧！您可以访问网站，展开“高级”，然后单击“转到本地主机（不安全）”。
您可以在一个命令中完成此操作：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365
如果您不想用密码保护您的私钥，也可以添加-node（“no DES”的缩写）。否则，它将提示您输入“至少4个字符”的密码。
天数参数（365）可以替换为任何数字以影响到期日期。然后它会提示您输入“国家名称”之类的信息，但您只需按Enter键并接受默认值即可。
添加-sbj'/CN=localhost'以抑制有关证书内容的问题（用所需域替换localhost）。
自签名证书不会通过任何第三方进行验证，除非您以前将其导入浏览器。如果需要更多的安全性，则应使用由证书颁发机构（CA）签名的证书。
这个非常简单的Python应用程序创建了一个自签名证书。代码：
from OpenSSL import crypto, SSL
from secrets import randbelow
print("Please know, if you make a mistake, you must restart the program.")
def cert_gen(
emailAddress=input("Enter Email Address: "),
commonName=input("Enter Common Name: "),
countryName=input("Enter Country Name (2 characters): "),
localityName=input("Enter Locality Name: "),
stateOrProvinceName=input("Enter State of Province Name: "),
organizationName=input("Enter Organization Name: "),
organizationUnitName=input("Enter Organization Unit Name: "),
serialNumber=randbelow(1000000),
validityStartInSeconds=0,
validityEndInSeconds=10*365*24*60*60,
KEY_FILE = "private.key",
CERT_FILE="selfsigned.crt"):
#can look at generated file using openssl:
#openssl x509 -inform pem -in selfsigned.crt -noout -text
# create a key pair
k = crypto.PKey()
k.generate_key(crypto.TYPE_RSA, 4096)
# create a self-signed cert
cert = crypto.X509()
cert.get_subject().C = countryName
cert.get_subject().ST = stateOrProvinceName
cert.get_subject().L = localityName
cert.get_subject().O = organizationName
cert.get_subject().OU = organizationUnitName
cert.get_subject().CN = commonName
cert.get_subject().emailAddress = emailAddress
cert.set_serial_number(serialNumber)
cert.gmtime_adj_notBefore(0)
cert.gmtime_adj_notAfter(validityEndInSeconds)
cert.set_issuer(cert.get_subject())
cert.set_pubkey(k)
cert.sign(k, 'sha512')
with open(CERT_FILE, "wt") as f:
f.write(crypto.dump_certificate(crypto.FILETYPE_PEM, cert).decode("utf-8"))
with open(KEY_FILE, "wt") as f:
f.write(crypto.dump_privatekey(crypto.FILETYPE_PEM, k).decode("utf-8"))
print("GENERATED")
input("Press enter to close program.")
cert_gen()
但是，您仍然会收到“证书不受信任”错误。这是因为以下几个原因：
它是自签名/未验证的（验证的证书需要CA（证书颁发机构），如Let's Encrypt，以便在所有设备上都受信任）。您的计算机上不信任它。（此答案显示了如何使Windows信任您的证书）。
快速命令行：最低版本
“我想要一个pfx格式的自签名证书，用于www.example.com，且不会引起太大的麻烦”：
openssl req -x509 -sha256 -days 365 -nodes -out cert.crt -keyout cert.key -subj "/CN=www.example.com"
openssl pkcs12 -export -out cert.pfx -inkey cert.key -in cert.crt
