证书说明

证书说明

FISCO BCOS网络采用面向CA的准入机制，支持任意多级的证书结构，保障信息保密性、认证性、完整性、不可抵赖性。

FISCO BCOS使用x509协议的证书格式，根据现有业务场景，默认采用三级的证书结构，自上而下分别为链证书、机构证书、节点证书。

在多群组架构中，一条链拥有一个链证书及对应的链私钥，链私钥由联盟链委员会共同管理。联盟链委员会可以使用机构的证书请求文件agency.csr，签发机构证书agency.crt。

机构私钥由机构管理员持有，可以对机构下属节点签发节点证书。

节点证书是节点身份的凭证，用于与其他持有合法证书的节点间建立SSL连接，并进行加密通讯。

sdk证书是sdk与节点通信的凭证，机构生成sdk证书，允许sdk与节点进行通信。

FISCO BCOS节点运行时的文件后缀介绍如下：

后缀	说明
.key	私钥文件
.crt	证书文件
.csr	证书请求文件

角色定义

FISCO BCOS的证书结构中，共有四种角色，分别是联盟链委员会管理员、机构、节点和SDK。

联盟链委员会

联盟链委员会管理链的私钥，并根据机构的证书请求文件agency.csr为机构颁发机构证书。

ca.crt 链证书
ca.key 链私钥

FISCO BCOS进行SSL加密通信时，拥有相同链证书ca.crt的节点才可建立连接。

机构

机构管理员管理机构私钥，可以颁发节点证书和sdk证书。

ca.crt 链证书
agency.crt 机构证书
agency.csr 机构证书请求文件
agency.key 机构私钥

节点/SDK

FISCO BCOS节点包括节点证书和私钥，用于建立节点间SSL加密连接；
SDK包括SDK证书和私钥，用于与区块链节点建立SSL加密连接。

ca.crt #链证书
node.crt #节点证书
node.key #节点私钥
sdk.crt #SDK证书
sdk.key #SDK私钥

节点证书node.crt包括节点证书和机构证书信息，节点与其他节点/SDK通信验证时会用自己的私钥node.key对消息进行签名，并发送自己的node.crt至对方进行验证

证书生成流程

FISCO BCOS的证书生成流程如下，用户也可以使用企业部署工具生成相应证书

生成链证书

联盟链委员会使用openssl命令请求链私钥ca.key，根据ca.key生成链证书ca.crt

生成机构证书

机构使用openssl命令生成机构私钥agency.key
机构使用机构私钥agency.key得到机构证书请求文件agency.csr，发送agency.csr给联盟链委员会
联盟链委员会使用链私钥ca.key，根据得到机构证书请求文件agency.csr生成机构证书agency.crt，并将机构证书agency.crt发送给对应机构

生成节点/SDK证书

节点生成私钥node.key和证书请求文件node.csr，机构管理员使用私钥agency.key和证书请求文件node.csr为节点/SDK颁发证书

节点证书续期操作

完成证书续期前推荐使用证书检测脚本对证书进行检测。

当证书过期时，需要用户使用对当前节点私钥重新签发证书，操作如下：

假设用户证书过期的节点目录为~/mynode，节点目录如下：

mynode
├── conf
│   ├── ca.crt
│   ├── group.1.genesis
│   ├── group.1.ini
│   ├── node.crt #节点证书过期，需要替换
│   ├── node.key #节点私钥，证书续期需要使用
│   └── node.nodeid
├── config.ini
├── scripts
│   ├── load_new_groups.sh
│   └── reload_whitelist.sh
├── start.sh
└── stop.sh

设用户机构证书目录为~/myagency，目录入下：

agency
├── agency.crt #机构证书，证书续期需要使用
├── agency.key #机构私钥，证书续期需要使用
├── agency.srl
├── ca.crt
└── cert.cnf

续期操作如下：

使用节点私钥生成证书请求文件请将~/mynode/node/conf/node.key修改为你自己的节点私钥，将~/myagency/cert.cnf替换为自己的证书配置文件

openssl req -new -sha256 -subj "/CN=RenewalNode/O=fisco-bcos/OU=node" -key ~/mynode/node/conf/node.key -config ~/myagency/cert.cnf -out node.csr

操作完成后会在当前目录下生成证书请求文件node.csr。

查看证书请求文件

cat node.csr

操作完成后显示如下：

使用机构私钥和机构证书对证书请求文件node.csr签发新证书，请将~/myagency/agency.key修改为你自己的机构私钥，请将~/myagency/agency.crt修改为你自己的机构证书

openssl x509 -req -days 3650 -sha256 -in node.csr -CAkey ~/myagency/agency.key -CA ~/myagency/agency.crt -out node.crt -CAcreateserial -extensions v3_req -extfile ~/myagency/cert.cnf

成功会有如下显示

Signature ok
subject=/CN=RenewalNode/O=fisco-bcos/OU=node
Getting CA Private Key

操作完成后会在当前目录下生成续期后的证书node.crt。

查看节点新证书

cat ./node.crt

操作完成后显示如下：

将机构证书添加到节点证书末尾

由于fisco-bcos使用三级证书结构，需要将机构证书和节点证书合并

cat ~/myagency/agency.crt >> ./node.crt

查看合并后的节点新证书

cat ./node.crt

操作完成后显示如下：

将生成的节点证书node.crt替换至节点的conf文件夹下

cp -f ./node.crt ~/mynode/node/conf

启动节点

bash ~/mynode/node/start.sh

查看节点共识

tail -f ~/mynode/log/log*  | grep +++

正常情况会不停输出++++Generating seal，表示共识正常。

通过上述操作，完成了证书续期的操作。

机构证书/链证书续期

当整条链的证书均已过期时，需要重新对整条链的证书进行续期操作，续期证书的OpenSSL命令与节点续期操作基本相同，或查阅build_chain.sh脚本签发证书的操作，简要步骤如下：

使用链私钥ca.key重新签发链证书ca.crt
使用机构证书agency.key生成证书请求文件agency.csr
使用链私钥ca.key对证书请求文件agency.csr签发得到机构证书agency.crt
使用节点node.key生成证书请求文件node.csr
使用机构私钥agency.key对证书请求文件node.csr签发得到节点证书node.crt
将节点证书和机构证书拼接得到node.crt，拼接操作可以参考节点证书续期操作
使用新生成的链证书ca.crt，节点证书node.crt替换所有节点conf目录下的证书