mcpField
C
configuring-certificate-authority-with-openssl

configuring-certificate-authority-with-openssl

github.com/mukul975安全35.2k119 次安装8 周前更新
代码仓库

关于 configuring-certificate-authority-with-openssl

用于通过 OpenSSL 和 Python cryptography 构建两层证书颁发机构层级的安全技能，涵盖证书签发、吊销检查及 PKI 策略配置。

主要功能

  1. 01创建根 CA 和中间 CA
  2. 02签发服务器与客户端证书
  3. 03配置 CRL 和 OCSP
  4. 04设置证书约束与策略
  5. 05以编程方式构建 PKI 层级

适用场景

  1. 01在实验环境搭建 CA 层级
  2. 02通过中间 CA 签发证书
  3. 03配置证书吊销检查

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill configuring-certificate-authority-with-openssl

安装后在 Claude Code 中输入/configuring-certificate-authority-with-openssl确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

使用 OpenSSL 配置证书颁发机构

概述

证书颁发机构（CA）是 PKI 层级结构中的信任锚点，负责颁发、签名和吊销数字证书。本技能涵盖使用 OpenSSL 和 Python cryptography 库构建两层 CA 层级结构（根 CA + 中间 CA），包括 CRL 分发、OCSP 响应器配置和证书策略管理。

何时使用

  • 在环境中部署或配置使用 OpenSSL 的证书颁发机构功能时
  • 建立符合合规要求的安全控制时
  • 为该领域构建或改进安全架构时
  • 执行需要此实现的安全评估时

前置条件

  • 熟悉密码学概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖的 Python 3.8+
  • 任何测试活动均具备适当授权

目标

  • 创建具有自签名证书的根 CA
  • 创建由根 CA 签名的中间 CA
  • 从中间 CA 颁发服务器和客户端证书
  • 配置证书吊销列表（CRL）
  • 实现证书策略和约束
  • 以编程方式构建完整的 PKI 层级结构

关键概念

CA 层级结构
Root CA (offline, air-gapped)
  |
  +-- Intermediate CA (online, operational)
        |
        +-- Server Certificates
        +-- Client Certificates
        +-- Code Signing Certificates
证书扩展
扩展用途关键
basicConstraintsCA:TRUE/FALSE, pathLenConstraint是
keyUsagekeyCertSign, cRLSign, digitalSignature是
extendedKeyUsageserverAuth, clientAuth, codeSigning否
subjectKeyIdentifier公钥的哈希否
authorityKeyIdentifier颁发者的密钥标识符否
crlDistributionPointsCRL 的 URL否
authorityInfoAccessOCSP 响应器 URL否

安全注意事项

  • 根 CA 私钥必须离线存储（气隙 HSM）
  • CA 密钥使用至少 4096 位 RSA 或 P-384 ECDSA
  • 在中间 CA 上设置路径长度约束
  • 实现证书策略（OID）
  • 启用 CRL 和 OCSP 以进行吊销检查
  • 审计所有证书颁发操作

验证标准

  • 根 CA 自签名证书有效
  • 中间 CA 证书可链式验证到根 CA
  • 颁发的证书可链式验证到中间 CA -> 根 CA
  • 路径长度约束已强制执行
  • CRL 已生成且可访问
  • 已吊销证书出现在 CRL 中
  • 证书策略已正确嵌入

评论

支持 Markdown