避免输入密码提示键和提示DN信息

我正在使用以下代码来生成密钥：

apt-get -qq -y install openssl;
mkdir -p /etc/apache2/ssl;
openssl genrsa -des3 -out server.key 1024;
openssl req -new -key server.key -out server.csr;
cp server.key server.key.org;
openssl rsa -in server.key.org -out server.key;
openssl x509 -req -days 12000 -in server.csr -signkey server.key -out server.crt;
mv server.crt  /etc/apache2/ssl/cert.pem;
mv server.key  /etc/apache2/ssl/cert.key;
rm -f server.key.orig;
rm -f server.csr

我有两个问题：

1. 如何跳过密码提示？对我来说这样做安全吗？（因为它不应像任何人都应该能够破解证书那样彻头彻尾的愚蠢）

2. 如何避免提示输入国家名称，组织等。我希望可以在命令提示符下给它们（手册页仅显示OpenSSL的顶级选项）

编辑：这是迄今为止我最受欢迎的答案，并且已经过去了几年，所以我添加了ECDSA变体。如果可以使用ECDSA，则应该使用。

您可以在命令行上提供所有这些信息。

一步自签名的无密码证书生成：

RSA版本

openssl req \
    -new \
    -newkey rsa:4096 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

ECDSA版本

openssl req \
    -new \
    -newkey ec \
    -pkeyopt ec_paramgen_curve:prime256v1 \
    -days 365 \
    -nodes \
    -x509 \
    -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com" \
    -keyout www.example.com.key \
    -out www.example.com.cert

所有openssl子命令都有自己的手册页。请参阅man req。

具体解决您的问题，并更明确地说明哪些选项有效：

1. 该-nodes标志表示不加密密钥，因此您不需要密码。您也可以使用该-passout arg标志。有关如何格式化arg的信息PASS PHRASE ARGUMENTS，请参见openssl(1)手册页。

2. 使用-subj标记，您可以指定主题（上面的示例）。

不-passin选择做把戏吗？

使用file:pathname表格，您可以非常安全地使用该文件的权限600。

接受的答案需要进行一些小的更正。EC行：

-newkey ec
-pkeyopt ec_paramgen_curve:prime256v1

应该：

 -newkey ec \
 -pkeyopt ec_paramgen_curve:prime256v1 \

在MacOS-通过brew安装的OpenSSL 1.0.2f中，我按如下所述验证了接受的答案

• 列出可用的椭圆曲线：

  $ openssl ecparam -list_curves
  

• 生成密钥文件：

  $ openssl ecparam -name secp256k1 -out secp256k1.pem
  

• 要生成没有密码提示的证书：

  openssl req \
      -new \
      -newkey ec:secp256k1.pem \
      -days 365 \
      -nodes \
      -x509 \
      -subj "/C=US/ST=FL/L=Ocala/O=Home/CN=example.com" \
      -keyout server.key \
      -out server.crt
  

• 要查看证书：

  $ openssl x509 -noout -text -in server.crt
  

尝试以下命令：

openssl genrsa -des3 -out user.key -passout pass:foo 1024

跳过的部分是：-passout pass:foo。

@bahamat有一个很好的答案。不幸的是，某些版本的openssl在尝试使用一个命令创建ECDSA证书时引发错误。该错误类似于：

routines:EVP_PKEY_CTX_ctrl:invalid operation:pmeth_lib.c:404

我使用openssl 1.0.1e-fips的CentOS 7。

使用以下3个命令创建证书似乎可行：

openssl ecparam -genkey -name prime256v1 -out key.pem
openssl req -new -key key.pem -out csr.pem -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com"
openssl req -x509 -days 365 -key key.pem -in csr.pem -out certificate.pem