将TinyCA2的证书存储迁移到xca

多年以来,我自己一直使用TinyCA2来管理自制的CA,也推荐别人用它管理CA。直接用openssl命令来签发、管理证书实在太繁琐。TinyCA2是封装openssl命令的Perl程序,提供简单的用户图形界面。

TinyCA2自2006年发布0.7.5版后,已停止更新,并且不支持目前浏览器和CA业界推荐的SHA-2签名算法系列。网上有几个使TinyCA2支持SHA-2的补丁,但仍未被流行Linux发行版采纳。可以说TinyCA2的开发早已处于休眠状态,已基本无人维护。

以前我比较看好的CA管理软件GnoMint也已经停止开发。是时候寻找其他CA管理软件了!

xca是开源、跨平台的CA管理工具,支持GNU/Linux、Windows和Mac OS X,有较复杂的软件设计和用户界面,并且仍在活跃开发维护状态,最新的1.3.0版于3天前发布。

在开始导入数据到xca之前,须打开xca的File菜单 / New Database,创建xca数据库。xca会提示输入加密数据库的密码。这个密码务必要设置得强度高一些,因为所有的证书密钥都将用它加密。

CentOS7-xca

由于TinyCA2后台调用openssl命令来管理证书存储,每一个密钥、证书和请求都是以文件的形式保存在CA目录中,将CA数据存储从TinyCA2迁移到xca很简单。

[wenzhuo@localhost ZhangsRootCA]$ ls -F
cacert.key crl/ index.txt.attr.old newcerts/ serial
cacert.pem index.txt index.txt.old openssl.cnf serial.old
certs/ index.txt.attr keys/ req/

TinyCA2管理的CA目录中最重要的两个文件是cacert.key和cacert.pem,分别是CA密钥和证书,可在xca的Private Keys和Certificates这两个选项卡上单击Import按钮将它们分别导入xca。

TinyCA2中每个密钥文件都是由独立的密码保护的,将它们导入xca须逐个输入密钥的保护密码,比较麻烦。好在密钥在证书管理中不是必须的,原则上密钥应该只保存于需要使用数字证书的服务器上,因此这一步可以省略。剩下的需要导入xca的是newcerts目录中的证书文件和crl目录中的证书撤销列表文件crl.pem。newcerts目录中的所有pem格式的证书文件可在xca的Certificates选项卡上一次性完成导入。crl.pem则应在Revocation lists选项卡上导入。

至此,你就可以在xca中使用原来的CA管理证书了。你也可以在xca中创建新的CA;按照目前的状况,如果新的CA你打算使用到2030年,4096位的密钥长度是必须的。

发表评论

电子邮件地址不会被公开。 必填项已用*标注