如何用OpenSSL进行证书撤销

时间：2026-01-30 11:25:57

使用OpenSSL进行证书撤销的步骤如下：

1. 生成撤销请求（CSR）

首先，你需要生成一个撤销请求（CSR），这通常用于向证书颁发机构（CA）提交撤销申请。

openssl req -new -key private.key -out revoke_request.csr

private.key 是你的私钥文件。revoke_request.csr 是生成的撤销请求文件。

在生成CSR时，你需要填写一些信息，如国家、组织名称等。

2. 提交撤销请求

将生成的CSR文件提交给你的证书颁发机构（CA）。CA会审核这个请求，并根据其政策决定是否撤销证书。

3. CA处理撤销请求

CA收到撤销请求后，会执行以下操作：

验证CSR的有效性。检查证书是否在有效期内。确认撤销请求的合法性。

如果一切顺利，CA会生成一个撤销列表（CRL）或发布一个在线证书状态协议（OCSP）响应来通知其他系统该证书已被撤销。

4. 下载并安装CRL

你可以从CA的网站下载最新的CRL文件，并将其安装到你的服务器上。

# 下载CRLwget https://example.com/crl/example.com-crl.pem# 将CRL文件移动到适当的位置mv example.com-crl.pem /etc/ssl/crl/

5. 配置服务器以使用CRL

在你的Web服务器（如Apache或Nginx）中配置CRL文件的路径。

Apache

编辑Apache配置文件（通常是httpd.conf或ssl.conf），添加以下内容：

SSLCRLDistributionPoints: file:///etc/ssl/crl/

Nginx

编辑Nginx配置文件（通常是nginx.conf），添加以下内容：

ssl_crl /etc/ssl/crl/example.com-crl.pem;

6. 验证撤销状态

你可以使用OpenSSL命令来验证证书的撤销状态。

openssl verify -crl_check -CAfile ca.crt -untrusted crl.pem example.com.crt

ca.crt 是CA的根证书。crl.pem 是CRL文件。example.com.crt 是你要验证的证书。

如果证书已被撤销，命令会返回错误信息。

7. 自动化撤销过程

对于大规模的证书管理，你可以考虑使用自动化工具来处理撤销请求和CRL更新。例如，Certbot提供了自动化证书管理和撤销的功能。

注意事项撤销证书可能会影响依赖该证书的服务和应用程序。确保及时更新CRL文件，并配置服务器正确使用它。在撤销证书之前，最好先通知相关方，以便他们可以采取相应的措施。

通过以上步骤，你可以使用OpenSSL进行证书撤销，并确保你的系统安全。

相关知识