我正在为嵌入式Linux设备添加HTTPS支持。我已尝试使用以下步骤生成自签名证书：
openssl req -new > cert.csr
openssl rsa -in privkey.pem -out key.pem
openssl x509 -in cert.csr -out cert.pem -req -signkey key.pem -days 1001
cat key.pem>>cert.pem
这是可行的，但我在Google Chrome上遇到了一些错误：
这可能不是你要找的网站！站点的安全证书不受信任！
我错过了什么吗？这是构建自签名证书的正确方法吗？
当前回答
这对我有用
openssl req -x509 -nodes -subj '/CN=localhost' -newkey rsa:4096 -keyout ./sslcert/key.pem -out ./sslcert/cert.pem -days 365
服务器.js
var fs = require('fs');
var path = require('path');
var http = require('http');
var https = require('https');
var compression = require('compression');
var express = require('express');
var app = express();
app.use(compression());
app.use(express.static(__dirname + '/www'));
app.get('/*', function(req,res) {
res.sendFile(path.join(__dirname+'/www/index.html'));
});
// your express configuration here
var httpServer = http.createServer(app);
var credentials = {
key: fs.readFileSync('./sslcert/key.pem', 'utf8'),
cert: fs.readFileSync('./sslcert/cert.pem', 'utf8')
};
var httpsServer = https.createServer(credentials, app);
httpServer.listen(8080);
httpsServer.listen(8443);
console.log(`RUNNING ON http://127.0.0.1:8080`);
console.log(`RUNNING ON http://127.0.0.1:8443`);
其他回答
我不能评论，所以我将把这作为一个单独的答案。我发现了一些公认的单线回答的问题：
一行代码在密钥中包含一个口令。一行程序使用SHA-1，在许多浏览器中，SHA-1会在控制台中抛出警告。
下面是一个简化版本，它删除了密码短语，提高了安全性以抑制警告，并在注释中包含了一个建议，即传递-subj以删除完整的问题列表：
openssl genrsa -out server.key 2048
openssl rsa -in server.key -out server.key
openssl req -sha256 -new -key server.key -out server.csr -subj '/CN=localhost'
openssl x509 -req -sha256 -days 365 -in server.csr -signkey server.key -out server.crt
将“localhost”替换为所需的任何域。您需要逐个运行前两个命令，因为OpenSSL将提示输入密码短语。
要将两者合并为.pem文件，请执行以下操作：
cat server.crt server.key > cert.pem
2017年一艘班轮：
openssl req \
-newkey rsa:2048 \
-x509 \
-nodes \
-keyout server.pem \
-new \
-out server.pem \
-subj /CN=localhost \
-reqexts SAN \
-extensions SAN \
-config <(cat /System/Library/OpenSSL/openssl.cnf \
<(printf '[SAN]\nsubjectAltName=DNS:localhost')) \
-sha256 \
-days 3650
这也适用于Chrome 57，因为它提供了SAN，而无需另一个配置文件。它取自这里的一个答案。
这将创建一个包含私钥和证书的.pem文件。如果需要，可以将它们移动到单独的.pem。
在经历了大量的尝试和各种解决方案之后，我仍然面临这样一个问题：为localhost颁发自签名证书会给我带来错误
错误证书无效
在扩展细节时，chrome表示：
您现在无法访问localhost，因为网站已发送加密凭据。。。
唯一难看的方式是键入（直接在这个屏幕上，没有看到文本的任何光标）：
（在键盘上键入）这是安全的
这让我继续。
直到我找到extendedKeyUsage=serverAuth，clientAuth
TL；博士
openssl genrsa-out localhost.key 2048openssl req-key localhost.key-new-out localhost.csr（单击输入所有内容，然后用localhost或其他FQDN填写通用名称（CN）。将以下内容放入名为v3.ext的文件中（根据需要进行编辑）：
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer:always
basicConstraints = CA:TRUE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign
extendedKeyUsage = serverAuth, clientAuth
subjectAltName = DNS:localhost, DNS:localhost.localdomain
issuerAltName = issuer:copy
openssl x509-req-in localhost.csr-signkey localhost.key-out localhost.pem-days 3650-sha256-extfile v3.ext
瞧！您可以访问网站，展开“高级”，然后单击“转到本地主机（不安全）”。
openssl允许通过单个命令（-newkey）生成自签名证书指示生成私钥，-x509指示发出自签名证书而不是签名请求）：：
openssl req -x509 -newkey rsa:4096 \
-keyout my.key -passout pass:123456 -out my.crt \
-days 365 \
-subj /CN=localhost/O=home/C=US/emailAddress=me@mail.internal \
-addext "subjectAltName = DNS:localhost,DNS:web.internal,email:me@mail.internal" \
-addext keyUsage=digitalSignature -addext extendedKeyUsage=serverAuth
您可以在单独的步骤中生成私钥和构造自签名证书：
openssl genrsa -out my.key -passout pass:123456 2048
openssl req -x509 \
-key my.key -passin pass:123456 -out my.csr \
-days 3650 \
-subj /CN=localhost/O=home/C=US/emailAddress=me@mail.internal \
-addext "subjectAltName = DNS:localhost,DNS:web.internal,email:me@mail.internal" \
-addext keyUsage=digitalSignature -addext extendedKeyUsage=serverAuth
查看生成的证书：
openssl x509 -text -noout -in my.crt
Java keytool创建PKCS#12存储：：
keytool -genkeypair -keystore my.p12 -alias master \
-storetype pkcs12 -keyalg RSA -keysize 2048 -validity 3650 \
-storepass 123456 \
-dname "CN=localhost,O=home,C=US" \
-ext 'san=dns:localhost,dns:web.internal,email:me@mail.internal'
要导出自签名证书，请执行以下操作：
keytool -exportcert -keystore my.p12 -file my.crt \
-alias master -rfc -storepass 123456
查看生成的证书：
keytool -printcert -file my.crt
GnuTLS的certtool不允许从CLI传递不同的属性。我不喜欢乱搞配置文件((
现代浏览器现在如果缺少SAN（Subject Alternate Name），则会为格式良好的自签名证书抛出安全错误。OpenSSL没有提供命令行方式来指定这一点，因此许多开发人员的教程和书签突然过时了。
重新运行的最快方法是一个简短的独立conf文件：
创建OpenSSL配置文件（示例：req.cnf）[要求]distinguished_name=请求分类名称x509_extensions=v3_reqprompt=否[请求分配名称]C=我们ST=VAL=SomeCityO=我的公司OU=我的部门CN=www.company.com[v3_req]keyUsage=关键，数字签名，密钥协议extendedKeyUsage=服务器身份验证subjectAltName=@alt_names[备选名称]DNS.1=www.company.comDNS.2=公司网站DNS.3=公司网创建引用此配置文件的证书openssl req-x509-节点-天730-新密钥rsa：2048\-keyout cert.key-out cert.pem-config req.cnf-sha256
来自的配置示例https://support.citrix.com/article/CTX135602
