自建一个 CA 在内网的 win2008，结果私钥搞不见了，保存的时候手贱选了“不允许导出私钥”，现只能用 SignTool 选择储存区的自建顶级 CA 给软件签名。问：有什么办法导出私钥吗？如何用这个 CA 签发 SSL 证书？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Certbot 使用文档

› Dehydrated

› Stay.live 证书有效期监控

› HTTP Strict Transport Security

› OpenSSL 官网

› Qualys SSL Test

› 证书链补全工具

› 在线 CSR 生成工具

› SSL 云监控

› What's My Chain Cert?

› Certificate Search by Comodo

这是一个创建于 2547 天前的主题，其中的信息可能已经有所发展或是发生改变。

因为 ca 端下发到好多台电脑了，如果重新生成一个 ca 估计会被骂，而且是很惨的那种。。

avatar

现在只能用 signtool 选择储存区的自建的顶级 CA 给软件签名,然而还需要对几个内网 IP 签发 ssl 证书，咋办？

私钥

储存区

signtool

SSL

11 条回复 • 2017-09-12 14:16:19 +08:00

dallaslu

2017-04-26 10:29:20 +08:00

是不是可以用现有的证书再签一张子 CA ?

maplerecall

2017-04-26 11:29:00 +08:00

摸摸头，如果这么容易就能弄出来那那个选项也就没有存在的意义了吧，这个我觉得只能自己承担责任咯，这种管理不妥当丢了私钥的事情无论从什么方面讲都没啥可以推脱的……

Rezark

2017-04-26 11:47:09 +08:00

代码签名好说，重新再签一对秘钥，然后对代码进行双签， ssl 真是就呵呵了，只能重新下发新的顶级根喽！

venhow

2017-04-26 15:14:33 +08:00

那真是‘自贱’了哦。。。

treo

2017-04-26 15:16:06 +08:00

都加了域的话直接组策略分发新的 ca 不就好了

ddy

2017-04-26 16:06:56 +08:00

@dallaslu 我就是想用这个（搞丢了私钥但保存本地储存区）的 ca 签多一个新的 ca ，这样我知道新的 ca 私钥就可以方便继续签发证书了- -

@maplerecall 是吖- -标题就说自己手贱了（也把私钥搞不见了），现在看看还有没有什么别的技术上的方法补救一下

@Rezark 嗯嗯，代码那个不着急，就是搞不见私钥了，这个 ca 废了吗（可是我保存在电脑里了呀，现在还可以代码签名。重新弄顶级好不甘心啊）...能不能签多一个下级新的 ca 出来吖

@venhow 如果时间可以重来。。

@treo 找不到用这个 ca 签发新的 ca 的办法呀，我搞不见这个私钥了，而私钥保存在了系统的储存区里，现在只能拿来代码签名，其他能干的事暂还没发现- -

treo

2017-04-26 21:25:58 +08:00

@ddy 我就是说重新生成一个 root ca 然后组策略分发

alect

2017-04-26 21:50:40 +08:00

把系统搞死机，然后说硬盘坏了，不得不重发……

dallaslu

2017-04-27 12:50:43 +08:00

http://www.cnblogs.com/gsls200808/p/4502044.html
类似这样。文中提到二级 CA 也要导入，但以配置 SSL 证书的经验来说，只要在 web 上配置好证书链即可。

ddy

2017-05-08 17:20:51 +08:00

@dallaslu 这个 openssl 生成二级 ca 需要 key，so sad..

ddy

2017-09-12 14:16:19 +08:00

还有没有别的方法呢