本地开发环境自建可信CA系统的可行性及方案咨询——针对无证书安装功能的老旧智能设备

我太懂这种无奈了——好好的智能设备还能用，厂商却停止支持，自己搭环境维护又卡在证书这一步，Wireshark抓包看到Certificate Unknown的致命告警确实让人头大。针对你的问题，下面给出可行的解决方案和思路：

一、搭建本地可信CA完全可行，甚至能利用过期CA场景 #

你的核心需求是让无证书安装功能的设备信任你的服务器证书，这里分两种场景讨论：

1. 利用设备预装的过期CA私钥（小众但有效） #

你提到的“借助已过期CA私钥生成受限证书”思路是成立的：

• 如果设备系统的信任存储里预装了某个已过期的根CA，而你能获取到该CA的私钥，你可以签发有效期完全落在原CA有效期内的服务器证书（即证书的Not Before和Not After都在原CA的有效时间段里）。
• 设备的系统会认为这个证书是由它信任的CA签发的，且在有效期内（站在设备的系统时间视角），从而通过TLS握手。
• 但要注意：这类CA私钥通常不会公开，只有原厂商或CA机构持有，除非是一些公开的测试用过期CA，否则这个方案的可操作性很低。

2. 自建本地CA+调整设备时间（更易实现） #

如果拿不到过期CA私钥，自建本地CA是更现实的选择，配合设备时间调整就能绕过证书信任问题：

• 先创建一个根CA，用它给你的HTTPS服务器签发证书（步骤见下文）。
• 把设备的系统时间调整到你的CA证书和服务器证书的有效期内，这样设备会判定证书有效，完成握手。
• 缺点是设备时间会偏离真实时间，可能影响依赖时间的功能（比如定时任务），但对于仅需维护设备的场景来说，是临时解决的好办法。

二、自建本地CA的具体操作（用OpenSSL） #

以下是用OpenSSL搭建CA并签发服务器证书的步骤，适合本地开发环境：

1. 生成根CA私钥

openssl genrsa -out my-local-ca.key 2048

2. 创建根CA证书（设置较长有效期）

openssl req -x509 -new -nodes -key my-local-ca.key -sha256 -days 3650 -out my-local-ca.crt

填写信息时，Common Name可以设为类似Local Home Smart Device CA的标识，其他字段按需填写即可。

3. 生成服务器证书签名请求（CSR）

openssl req -new -newkey rsa:2048 -nodes -keyout my-server.key -out my-server.csr

这里的Common Name必须和设备访问服务器的域名/IP一致（比如你的服务器IP192.168.1.104），否则会出现域名不匹配的错误。

4. 用根CA签发服务器证书

openssl x509 -req -in my-server.csr -CA my-local-ca.crt -CAkey my-local-ca.key -CAcreateserial -out my-server.crt -days 365 -sha256

三、其他可行的替代方案 #

• 透明代理+证书替换：既然你的网关已经能把流量导向伪造服务器，可以在网关层面做透明HTTPS代理，用你的CA证书替换原服务器的证书。但如果设备做了证书钉扎（Certificate Pinning）（即硬编码了原服务器的证书哈希），这个方法就失效了。
• 逆向修改设备信任存储：如果设备是基于Linux的裁剪系统，你可以尝试通过root、刷机等方式，把你的根CA证书添加到设备的系统信任目录（比如/etc/ssl/certs）。这需要一定的逆向工程能力，且可能失去设备保修，适合动手能力强的用户。

内容的提问来源于stack exchange，提问作者debug2020