CA-Zertifikat mit Elliptic Curve Cryptography (ECC) Key auf dem Raspberry Pi für 10 Jahre erzeugen

Hier hatte ich beschrieben, wie ein 521-Bit private Elliptic Curve Cryptography (ECC) Key erzeugt werden kann. Mit diesem privaten Key können wir auch leicht eine CA-Zertifikat erzeugen. Einfach in dem Verzeichnis mit dem privaten Key ein:

openssl req -new -x509 -days 3650 -extensions v3_ca -key private-key.pem -out ecc-cacert.pem

eingeben und diese Fragen beantworten (oder einfach Return, dann wir der default verwendet).
Zuerst zweimal das gleich gutes Passwort eingeben. Wichtig ist auf jeden Fall der Common Name (e.g. server FQDN or YOUR name) Z.B. www.wenzlaff.de oä. und dann:

Und schon liegt ein CA-Zertifikat in der Datei ecc-cacert.pem.

Die kann mit cat ecc-cacert.pem angesehen werden:

Oder wenn man sich den Algo. anschauen will:

openssl x509 -noout -text -in ecc-cacert.pem | grep -i algorithm

oder das ganze Zertifikat:

Und schon haben wir mit einem ECDSA Signature Algorithm unser rootCA certificate für 10 Jahre erstellt, und das nicht mit RSA Encryption.

In der erzeugten privkey.pem wird der private CA-Key verschlüsselt abgelegt.

Den können wir uns mit

openssl pkey -noout -text -in privkey.pem

anschauen. Nach eingabe des Passwortes:

Dort können wir nun sehen, das wir kein RSA CA-Key haben, sondern ein sec521r1, also genau das was wir wollten.