3. OpenSSL 工具链实战：安装、密钥生成、CSR 与自签名证书
说实话，搞 IoT 设备注册，OpenSSL 是绕不过去的坎。你想想看，不管是生成设备身份证（密钥对），还是向 CA 申请正式证书（CSR），甚至自己搭个测试环境（自签名），都得靠它。这一章，我就带你从头捋一遍，把 OpenSSL 的实战套路摸清楚。
本章核心脉络：安装 → 生成 RSA/ECC 密钥 → 创建 CSR → 自签名证书。每一步都是后续章节的基础，别跳。
3.1 安装 OpenSSL：别小看这一步
很多新手上来就敲命令，结果报错“command not found”。其实 OpenSSL 大部分 Linux 发行版都预装了，但版本可能偏老。我个人习惯用最新 LTS 版本，避免一些已知漏洞。
Linux（Ubuntu/Debian）
sudo apt update
sudo apt install openssl -y
openssl versionmacOS
brew install openssl
# 注意：macOS 自带的是 LibreSSL，功能有差异，建议用 Homebrew 装Windows
# 推荐下载 Win64 OpenSSL（Light 版即可）
# 安装后记得把安装路径（如 C:\Program Files\OpenSSL-Win64\bin）加到系统 PATH我的经验：在 Windows 上，我吃过 PATH 没配好的亏，敲 openssl 命令一直报错。后来直接用 Git Bash 自带的 OpenSSL，省心不少。你也可以试试。
3.2 生成密钥对：RSA 还是 ECC？
这是 IoT 项目里最常纠结的问题。我直接给结论：新项目优先选 ECC。为什么？
| 对比项 | RSA（2048位） | ECC（P-256） |
|---|---|---|
| 密钥长度 | 2048 位 | 256 位 |
| 安全强度 | 112 位 | 128 位 |
| 计算开销 | 高（尤其签名） | 低 |
| IoT 适用性 | 资源充足场景 | 资源受限场景 |
说白了，ECC 用更短的密钥达到更高的安全等级，对 MCU 这类资源受限设备特别友好。我在一个智能门锁项目里，就因为用了 RSA 2048，签名耗时太长，用户体验很差。换成 ECC P-256 后，速度提升了好几倍。
3.2.1 生成 RSA 密钥对
# 生成 RSA 私钥（2048位）
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out device_rsa_private.pem
# 从私钥提取公钥
openssl pkey -in device_rsa_private.pem -pubout -out device_rsa_public.pem3.2.2 生成 ECC 密钥对
# 生成 ECC 私钥（P-256 曲线）
openssl ecparam -genkey -name prime256v1 -out device_ecc_private.pem
# 从私钥提取公钥
openssl ec -in device_ecc_private.pem -pubout -out device_ecc_public.pem⚠️ 私钥安全红线：私钥一旦泄露，设备身份就废了。我曾经见过一个项目，把私钥硬编码在固件里，结果被逆向提取，整个批次设备都得召回。记住：私钥永远不要明文传输，生产环境建议用 HSM 或安全芯片存储。
3.3 创建 CSR：向 CA 递交“申请书”
CSR（Certificate Signing Request）就是向证书颁发机构申请证书的请求文件。里面包含你的公钥和设备身份信息（如设备 ID、组织名）。
# 基于 ECC 私钥创建 CSR
openssl req -new -key device_ecc_private.pem -out device.csr -subj "/CN=MyDevice001/O=MyCompany/C=CN"
# 查看 CSR 内容
openssl req -in device.csr -noout -textCSR 中的关键字段：
- CN（Common Name）：设备唯一标识，我习惯用设备序列号或 MAC 地址
- O（Organization）：厂商或组织名
- C（Country）：国家代码，如 CN
避坑指南：我曾经在 CSR 里把 CN 填成了“admin”，结果 CA 签发后，设备认证时一直匹配不上。后来才意识到，CN 必须和设备注册时的身份标识完全一致。嗯，这个坑我替你们踩过了。
3.4 自签名证书：测试环境的“临时身份证”
自签名证书就是自己给自己当 CA。开发测试阶段特别有用，不用等正式的 CA 签发流程。
# 生成自签名证书（有效期 365 天）
openssl x509 -req -days 365 -in device.csr -signkey device_ecc_private.pem -out device_selfsigned.crt
# 查看证书内容
openssl x509 -in device_selfsigned.crt -noout -text自签名 vs CA 签名：
| 场景 | 推荐方式 | 原因 |
|---|---|---|
| 开发调试 | 自签名 | 快速、零成本 |
| 内部测试 | 自建 CA + 自签名 | 模拟真实流程 |
| 生产环境 | 权威 CA 签发 | 公信力、合规性 |
我的建议：即使测试环境，也尽量模拟真实 CA 流程——先自建根 CA，再用根 CA 签发设备证书。这样生产迁移时，流程几乎不用改。我在一个智能照明项目里就是这么做的，上线时只换了 CA 证书，设备端代码一行没动。