В современном цифровом мире безопасность каналов связи имеет важное значение для защиты конфиденциальных данных. Одним из распространенных методов обеспечения безопасной связи является использование сертификатов SSL/TLS. Хотя большинство сертификатов выдаются доверенными центрами сертификации, существуют ситуации, когда самозаверяющие сертификаты могут быть полезны. В этой статье мы рассмотрим различные методы создания самозаверяющих сертификатов и приведем примеры кода для каждого из них.

Метод 1: OpenSSL (командная строка)
OpenSSL — это широко используемый набор инструментов с открытым исходным кодом, обеспечивающий криптографические функции. Чтобы создать самозаверяющий сертификат с помощью OpenSSL, выполните следующие действия:

Шаг 1. Создайте закрытый ключ:

openssl genpkey -algorithm RSA -out private.key

Шаг 2. Создайте запрос на подпись сертификата (CSR):

openssl req -new -key private.key -out certificate.csr

Шаг 3. Создайте самозаверяющий сертификат:

openssl req -x509 -days 365 -key private.key -in certificate.csr -out certificate.crt

Метод 2: OpenSSL (программный — Python)
Если вы предпочитаете использовать Python, вы можете использовать библиотеку cryptographyдля создания самозаверяющих сертификатов. Вот пример:

from cryptography import x509
from cryptography.hazmat.backends import default_backend
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import rsa
from cryptography.x509.oid import NameOID
# Generate a private key
private_key = rsa.generate_private_key(
    public_exponent=65537,
    key_size=2048,
    backend=default_backend()
)
# Create a self-signed certificate
subject = issuer = x509.Name([
    x509.NameAttribute(NameOID.COUNTRY_NAME, u"US"),
    x509.NameAttribute(NameOID.STATE_OR_PROVINCE_NAME, u"California"),
    x509.NameAttribute(NameOID.LOCALITY_NAME, u"San Francisco"),
    x509.NameAttribute(NameOID.ORGANIZATION_NAME, u"My Company"),
    x509.NameAttribute(NameOID.COMMON_NAME, u"example.com"),
])
certificate = x509.CertificateBuilder().subject_name(
    subject
).issuer_name(
    issuer
).public_key(
    private_key.public_key()
).serial_number(
    x509.random_serial_number()
).not_valid_before(
    datetime.datetime.utcnow()
).not_valid_after(
    datetime.datetime.utcnow() + datetime.timedelta(days=365)
).sign(private_key, hashes.SHA256(), default_backend())
# Save the private key and certificate to files
with open("private.key", "wb") as key_file:
    key_file.write(private_key.private_bytes(
        encoding=serialization.Encoding.PEM,
        format=serialization.PrivateFormat.PKCS8,
        encryption_algorithm=serialization.NoEncryption()
    ))
with open("certificate.crt", "wb") as cert_file:
    cert_file.write(certificate.public_bytes(serialization.Encoding.PEM))

Метод 3: Bouncy Castle (Java)
Если вы предпочитаете использовать Java, вы можете использовать библиотеку Bouncy Castle для создания самозаверяющих сертификатов. Вот пример:

import org.bouncycastle.asn1.x500.X500Name;
import org.bouncycastle.cert.X509v3CertificateBuilder;
import org.bouncycastle.cert.jcajce.JcaContentSignerBuilder;
import org.bouncycastle.operator.OperatorCreationException;
import org.bouncycastle.operator.jcajce.JcaContentVerifierProviderBuilder;
import org.bouncycastle.operator.jcajce.JcaContentVerifierProviderBuilder;
import org.bouncycastle.util.io.pem.PemObject;
import org.bouncycastle.util.io.pem.PemWriter;
import java.io.FileWriter;
import java.math.BigInteger;
import java.security.*;
import java.security.cert.CertificateEncodingException;
import java.security.cert.X509Certificate;
import java.time.LocalDate;
import java.time.ZoneOffset;
import java.util.Date;
public class SelfSignedCertificateGenerator {
    public static void main(String[] args) throws Exception {
        // Generate a key pair
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
        keyPairGenerator.initialize(2048);
        KeyPair keyPair = keyPairGenerator.generateKeyPair();
        // Create a self-signed certificate
        X500Name subject = new X500Name("CN=example.com");
        X500Name issuer = subject;
        X509v3CertificateBuilder builder = new X509v3CertificateBuilder(
                issuer,
                new BigInteger(64, new SecureRandom()),
                Date.from(LocalDate.now().atStartOfDay().toInstant(ZoneOffset.UTC)),
                Date.from(LocalDate.now().plusYears(1).atStartOfDay().toInstant(ZoneOffset.UTC)),
                subject,
                keyPair.getPublic()
        );
        X509Certificate certificate = builder.build(new JcaContentSignerBuilder("SHA256withRSA").build(keyPair.getPrivate()));
        // Save the private key and certificate to files
        try (PemWriter pemWriter = new PemWriter(new FileWriter("private.key"))) {
            pemWriter.writeObject(new PemObject("PRIVATE KEY", keyPair.getPrivate().getEncoded()));
        }
        try (PemWriter pemWriter = new PemWriter(new FileWriter("certificate.crt"))) {
            pemWriter.writeObject(new PemObject("CERTIFICATE", certificate.getEncoded()));
        }
    }
}

В этой статье мы рассмотрели различные методы создания самозаверяющих сертификатов. Мы рассмотрели подход командной строки OpenSSL, программную генерацию с использованием Python с библиотекой cryptographyи Java с библиотекой Bouncy Castle. Следуя этим методам, вы можете создавать самозаверяющие сертификаты для различных целей, например для сред разработки или частных сетей. Помните, что самозаверяющие сертификаты по умолчанию не являются доверенными, поэтому их следует использовать в соответствующих сценариях, где проверку сертификата можно контролировать.