在 Linux 中设置 OpenSSL 证书颁发机构的最低硬件要求

Question

我看到了很多OpenSSL 证书颁发机构Linux 的“操作方法”，但如果我计划为内部和外部的 WAN 网络创建我们自己的证书颁发机构……

• 是什么最低硬件要求用于设置 OpenSSL 证书颁发机构服务器？
• 证书颁发机构是否需要复制或者它只能是一台服务器吗？

Answer 1

没有。如果你的 Linux 安装的磁盘空间超过 0%，那么应该没问题

Answer 2

运行基准测试，亲自看看性能是否足够：

openssl speed rsa2048

对于存储，每个证书大约需要 4KiB，并且根据您要撤销的证书数量，CRL 大约需要几 KiB 到 20MiB 的空间。

话虽如此，我强烈建议不要使用 rawopenssl来运行生产 CA。它的默认值是...特定的...而且它极其很容易用它自讨苦吃（您知道您的证书应该具有哪些 KeyUse 和 Extended Key Use 标志吗？）。它是一个调试工具，而不是生产接口，libcrypto.so绝对不是libssl.so。

我建议使用狗牌或者更好的是，免费IPA实现完全管理系统。

Answer 3

相对而言，OpenSSL CA 的最低功能命令行几乎不需要任何东西。约 100 个证书的密钥和证书数据库的存储空间将少于 100k。

如果您使用非常低端的处理器，您的密钥/证书生成和签名可能会有点慢。但这只会影响密钥/证书的创建/生成。

这通常不是一个好主意，但如果您计划使用同一系统作为证书吊销列表的分发点，那么您将需要足够的资源来运行可以提供静态文件的最小 Web 服务器。但这实际上也不需要太多。

如果你想使用那些基于 Web 的证书颁发机构例如 EJBCA那么你的资源需求将会急剧增加。

我不喜欢单独使用命令行工具，因此你可能需要有足够的资源来运行类似西卡. 这仍然不需要太多。