cassl - Online in de cloud

PROGRAMMA:

NAAM

ca - voorbeeld minimale CA-toepassing

KORTE INHOUD

openssl ca [-uitgebreid] [-config bestandsnaam] [-naam sectie] [-gencl] [-herroepen filet] [-toestand
serie-] [-bijgewerktb] [-crl_reden reden] [-crl_hold instructie] [-crl_compromis niet de tijd of]
[-crl_CA_compromis niet de tijd of] [-crldagen dagen] [-crluren uur] [-crlexten sectie] [-begin datum
gegevens] [-einddatum gegevens] [-dagen arg] [-MD arg] [-beleid arg] [-sleutelbestand arg] [-sleutelvorm
PEM|DER] [-sleutel arg] [-passeren arg] [-certificaat filet] [-zelf ondertekenen] [-in filet] [-uit filet]
[-geen tekst] [-uitdir dir] [-inbestanden] [-spkac filet] [-ss_cert filet] [-behoudDN]
[-geenemailDN] [-partij] [-msie_hack] [-extensies sectie] [-ext-bestand sectie] [-motor id]
[-onderb arg] [-utf8] [-multiwaarden-rdn]

PRODUCTBESCHRIJVING

De ca commando is een minimale CA-toepassing. Het kan worden gebruikt om certificaataanvragen in te ondertekenen
een verscheidenheid aan formulieren en het genereren van CRL's, het onderhoudt ook een tekstdatabase van uitgegeven
certificaten en hun status.

De beschrijvingen van de opties zullen worden onderverdeeld in elk doel.

CA OPTIES

-config bestandsnaam
specificeert het te gebruiken configuratiebestand.

-naam sectie
specificeert de sectie van het configuratiebestand die moet worden gebruikt (overrides standaard_ca in de ca
sectie).

-in bestandsnaam
een invoerbestandsnaam die een enkele certificaataanvraag bevat die door de CA moet worden ondertekend.

-ss_cert bestandsnaam
een enkel zelfondertekend certificaat dat door de CA moet worden ondertekend.

-spkac bestandsnaam
een bestand met een enkele door Netscape ondertekende openbare sleutel en uitdaging en extra
veldwaarden die door de CA moeten worden ondertekend. Zie de SPKAC FORMAT gedeelte voor informatie over
het vereiste invoer- en uitvoerformaat.

-inbestanden
indien aanwezig zou dit de laatste optie moeten zijn, alle volgende argumenten worden verondersteld de
de namen van bestanden met certificaataanvragen.

-uit bestandsnaam
het uitvoerbestand om certificaten naar uit te voeren. De standaardwaarde is standaarduitvoer. De
certificaatgegevens worden ook naar dit bestand afgedrukt in PEM-indeling (behalve dat
-spkac voert DER-formaat uit).

-uitdir directory
de map om certificaten naar uit te voeren. Het certificaat wordt weggeschreven naar een bestandsnaam
bestaande uit het serienummer in hex met ".pem" toegevoegd.

-certificaat
het CA-certificaatbestand.

-sleutelbestand bestandsnaam
de privésleutel om verzoeken mee te ondertekenen.

-sleutelvorm PEM|DER
het formaat van de gegevens in het privésleutelbestand. De standaardwaarde is PEM.

-sleutel wachtwoord
het wachtwoord dat wordt gebruikt om de privésleutel te versleutelen. Omdat op sommige systemen de opdrachtregel
argumenten zichtbaar zijn (bijv. Unix met het hulpprogramma 'ps'), moet deze optie worden gebruikt
met de nodige voorzichtigheid.

-zelf ondertekenen
geeft aan dat de uitgegeven certificaten moeten worden ondertekend met de sleutel van het certificaat
verzoeken zijn ondertekend met (gegeven met -sleutelbestand). Certificaataanvragen ondertekend met een
verschillende toetsen worden genegeerd. Als -spkac, -ss_cert or -gencl zijn gegeven, -zelf ondertekenen is
buiten beschouwing gelaten.

Een gevolg van het gebruik -zelf ondertekenen is dat het zelfondertekende certificaat tussen de verschijnt
vermeldingen in de certificaatdatabase (zie de configuratie-optie databank), en gebruikt
dezelfde serienummerteller als alle andere certificaten ondertekenen met de zelfondertekende
certificaat.

-passeren arg
de belangrijkste wachtwoordbron. Voor meer informatie over de indeling van arg zie PASS
UITDRUKKING ARGUMENTEN sectie in openssl(1).

-uitgebreid
hiermee worden extra details afgedrukt over de bewerkingen die worden uitgevoerd.

-geen tekst
voer de tekstvorm van een certificaat niet uit naar het uitvoerbestand.

-begin datum gegevens
hierdoor kan de startdatum expliciet worden vastgelegd. Het formaat van de datum is
JJMMDDUUMMSSZ (hetzelfde als een ASN1 UTCTime-structuur).

-einddatum gegevens
hierdoor kan de vervaldatum expliciet worden vastgelegd. Het formaat van de datum is
JJMMDDUUMMSSZ (hetzelfde als een ASN1 UTCTime-structuur).

-dagen arg
het aantal dagen waarvoor het certificaat moet worden gecertificeerd.

-MD alg
het berichtoverzicht dat u wilt gebruiken. Mogelijke waarden zijn md5, sha1 en mdc2. Deze optie
geldt ook voor CRL's.

-beleid arg
deze optie definieert het te gebruiken CA-"beleid". Dit is een sectie in de configuratie
bestand dat bepaalt welke velden verplicht moeten zijn of overeenkomen met het CA-certificaat. Rekening
de BELEID FORMAT sectie voor meer informatie.

-msie_hack
dit is een oude optie om te maken ca werken met zeer oude versies van het IE-certificaat
inschrijvingscontrole "certenr3". Het gebruikte UniversalStrings voor bijna alles. Sinds
het oude besturingselement bevat verschillende beveiligingsfouten en het gebruik ervan wordt sterk afgeraden. De nieuwere
control "Xenroll" heeft deze optie niet nodig.

-behoudDN
Normaal gesproken is de DN-volgorde van een certificaat hetzelfde als de volgorde van de velden in het
relevante beleidssectie. Als deze optie is ingeschakeld, is de bestelling gelijk aan de aanvraag.
Dit is grotendeels voor compatibiliteit met de oudere IE-inschrijvingscontrole die dat wel zou doen
accepteren alleen certificaten als hun DN's overeenkomen met de volgorde van het verzoek. Dit is niet
nodig voor Xenroll.

-geenemailDN
De DN van een certificaat kan het veld EMAIL bevatten, indien aanwezig in de verzoek-DN,
het is echter een goed beleid om de e-mail gewoon in de altName-extensie van de
certificaat. Als deze optie is ingeschakeld, wordt het EMAIL-veld verwijderd uit het certificaat'
onderwerp en zet alleen in de eventueel aanwezige extensies. De e-mail_in_dn trefwoord
kan in het configuratiebestand worden gebruikt om dit gedrag in te schakelen.

-partij
dit stelt de batchmodus in. In deze modus worden geen vragen gesteld en alle certificaten
wordt automatisch gecertificeerd.

-extensies sectie
het gedeelte van het configuratiebestand dat de toe te voegen certificaatextensies bevat
wanneer een certificaat wordt uitgegeven (standaard ingesteld op x509_extensies Tenzij de -ext-bestand optie
is gebruikt). Als er geen uitbreidingssectie aanwezig is, wordt er een V1-certificaat gemaakt. Als de
uitbreidingssectie aanwezig is (zelfs als deze leeg is), wordt er een V3-certificaat gemaakt.
Zie de:w x509v3_config(5) handleidingpagina voor details over het formaat van de extensiesectie.

-ext-bestand filet
een extra configuratiebestand om certificaatextensies uit te lezen (met behulp van de
standaardsectie, tenzij de -extensies optie wordt ook gebruikt).

-motor id
het specificeren van een motor (door zijn unieke id string) zal veroorzaken ca proberen om een
functionele verwijzing naar de gespecificeerde engine, waardoor deze indien nodig wordt geïnitialiseerd. De
engine wordt dan ingesteld als de standaard voor alle beschikbare algoritmen.

-onderb arg
vervangt de onderwerpnaam die in het verzoek is opgegeven. De arg moet worden opgemaakt als
/type0=value0/type1=value1/type2=..., karakters kunnen worden weggelaten door \ (backslash), nee
spaties worden overgeslagen.

-utf8
deze optie zorgt ervoor dat veldwaarden worden geïnterpreteerd als UTF8-strings, standaard zijn ze dat ook
geïnterpreteerd als ASCII. Dit betekent dat de veldwaarden, of ze nu worden gevraagd uit een
terminal of verkregen uit een configuratiebestand, moeten geldige UTF8-tekenreeksen zijn.

-multiwaarden-rdn
deze optie zorgt ervoor dat het argument -subj wordt geïnterpreteerd met volledige ondersteuning voor
meerwaardige RDN's. Voorbeeld:

/DC=org/DC=OpenSSL/DC=gebruikers/UID=123456+CN=Jan hinde

Als -multi-rdn niet wordt gebruikt, dan is de UID-waarde dat wel 123456+CN=Jan hinde.

CRL OPTIES

-gencl
deze optie genereert een CRL op basis van informatie in het indexbestand.

-crldagen num
het aantal dagen voordat de volgende CRL moet worden betaald. Dat zijn de dagen vanaf nu om in te zetten
het veld CRL nextUpdate.

-crluren num
het aantal uren voordat de volgende CRL moet worden betaald.

-herroepen bestandsnaam
een bestandsnaam die een in te trekken certificaat bevat.

-toestand serie-
toont de intrekkingsstatus van het certificaat met het opgegeven serienummer en
uitgangen.

-bijgewerktb
Werkt de database-index bij om verlopen certificaten op te schonen.

-crl_reden reden
intrekkingsreden, waar reden is een van: gespecificeerd, sleutelCompromis, CACompromis,
affiliatieGewijzigd, vervangen, stopzetting van de werking, certificaatHoud or
verwijderVanCRL. Het matchen van reden is niet hoofdlettergevoelig. Eventuele herroeping instellen
reden zal ervoor zorgen dat de CRL v2.

In de praktijk verwijderVanCRL is niet bijzonder nuttig omdat het alleen in delta wordt gebruikt
CRL's die momenteel niet zijn geïmplementeerd.

-crl_hold instructie
Hiermee wordt de redencode voor intrekking van de CRL ingesteld op certificaatHoud en de wachtinstructie
naar instructie wat een OID moet zijn. Hoewel elke OID alleen kan worden gebruikt
wachtInstructieGeen (waarvan het gebruik wordt afgeraden door RFC2459)
holdInstructionCallIssuer or holdInstructionReject normaal gesproken zal worden gebruikt.

-crl_compromis niet de tijd of
Dit stelt de intrekkingsreden in op sleutelCompromis en het compromis tijd om niet de tijd of. niet de tijd of
zou in GeneralizedTime-indeling moeten zijn JJJJMMDDUUMMSZ.

-crl_CA_compromis niet de tijd of
Dit is hetzelfde als crl_compromis behalve dat de reden voor intrekking is ingesteld op
CACompromis.

-crlexten sectie
het gedeelte van het configuratiebestand dat de CRL-extensies bevat die moeten worden opgenomen. Als er geen CRL
uitbreidingssectie aanwezig is, wordt een V1 CRL gemaakt, als de CRL-extensiesectie aanwezig is
aanwezig is (zelfs als deze leeg is), wordt er een V2-CRL gemaakt. De opgegeven CRL-extensies
zijn CRL-extensies en niet CRL-invoerextensies. Opgemerkt moet worden dat sommige
software (bijvoorbeeld Netscape) kan geen V2 CRL's aan. Zien x509v3_config(5) handleidingpagina
voor meer informatie over het formaat van de extensiesectie.

CONFIGURATIE FILE OPTIES

Het gedeelte van het configuratiebestand met opties voor ca wordt als volgt gevonden: Als
de -naam opdrachtregeloptie wordt gebruikt, dan wordt de sectie genoemd die moet worden gebruikt. Anders de
te gebruiken sectie moet worden genoemd in de standaard_ca optie van de ca gedeelte van de
configuratiebestand (of in het standaardgedeelte van het configuratiebestand). Daarnaast
standaard_ca, worden de volgende opties rechtstreeks uit het ca sectie:
RANDFILE behouden
msie_hack Met uitzondering van RANDBESTAND, dit is waarschijnlijk een bug en kan in de toekomst veranderen
releases.

Veel van de opties in het configuratiebestand zijn identiek aan de opdrachtregelopties. Waar de
optie aanwezig is in het configuratiebestand en de opdrachtregel de opdrachtregelwaarde is
gebruikt. Waar een optie als verplicht wordt beschreven, moet deze aanwezig zijn in de
configuratiebestand of het equivalent van de opdrachtregel (indien aanwezig).

oid_bestand
Dit specificeert een bestand met additional VOORWERP IDENTIFICATIES. Elke regel van het bestand
moet bestaan ​​uit de numerieke vorm van de object-ID gevolgd door witruimte
dan de korte naam gevolgd door witruimte en ten slotte de lange naam.

oid_sectie
Dit specificeert een sectie in het configuratiebestand met een extra object
ID's. Elke regel moet bestaan ​​uit de korte naam van de object-ID
gevolgd door = en de numerieke vorm. De korte en lange namen zijn hierbij hetzelfde
optie wordt gebruikt.

nieuwe_certs_dir
hetzelfde als de -uitdir opdrachtregel optie. Het specificeert de map waar nieuw
certificaten worden geplaatst. Verplicht.

certificaat
hetzelfde als -certificaat. Het geeft het bestand met het CA-certificaat. Verplicht.

prive sleutel
hetzelfde als de -sleutelbestand keuze. Het bestand met de persoonlijke CA-sleutel. Verplicht.

RANDBESTAND
een bestand dat wordt gebruikt om random number seed-informatie te lezen en te schrijven, of een EGD-socket (zie
RAND_egd(3)).

standaard_dagen
hetzelfde als de -dagen keuze. Het aantal dagen waarvoor een certificaat moet worden gecertificeerd.

standaard_startdatum
hetzelfde als de -begin datum keuze. De begindatum om een ​​certificaat voor te certificeren. Als niet
stel de huidige tijd in die wordt gebruikt.

standaard_einddatum
hetzelfde als de -einddatum keuze. Ofwel deze optie of standaard_dagen (of de opdracht
lijnequivalenten) moeten aanwezig zijn.

standaard_crl_uren standaard_crl_dagen
hetzelfde als de -crluren en -crldagen opties. Deze worden alleen gebruikt als geen van beide
opdrachtregeloptie is aanwezig. Ten minste één van deze moet aanwezig zijn om een
CRL.

standaard_md
hetzelfde als de -MD keuze. De te gebruiken berichtsamenvatting. Verplicht.

databank
het te gebruiken tekstdatabasebestand. Verplicht. Dit bestand moet in eerste instantie wel aanwezig zijn
het zal leeg zijn.

uniek_onderwerp
als de waarde ja wordt gegeven, moeten de geldige certificaatvermeldingen in de database hebben
unieke onderwerpen. als de waarde geen wordt gegeven, kunnen er meerdere geldige certificaatvermeldingen zijn
precies hetzelfde onderwerp. De standaardwaarde is ja, om compatibel te zijn met oudere (pre
0.9.8) versies van OpenSSL. Om het overzetten van CA-certificaten gemakkelijker te maken, is het echter
aanbevolen om de waarde te gebruiken geen, vooral in combinatie met de -zelf ondertekenen commando
lijn optie.

serie-
een tekstbestand met het volgende serienummer dat in hex moet worden gebruikt. Verplicht. Dit bestand
moet aanwezig zijn en een geldig serienummer bevatten.

crlnummer
een tekstbestand met het volgende CRL-nummer dat in hex moet worden gebruikt. Het crl-nummer zal zijn
alleen ingevoegd in de CRL's als dit bestand bestaat. Als dit bestand aanwezig is, moet het
een geldig CRL-nummer bevatten.

x509_extensies
hetzelfde als -extensies.

crl_extensies
hetzelfde als -crlexten.

behouden
hetzelfde als -behoudDN

e-mail_in_dn
hetzelfde als -geenemailDN. Als u wilt dat het EMAIL-veld wordt verwijderd uit de DN van de
certificaat gewoon op 'nee' zetten. Als deze niet aanwezig is, is de standaardinstelling om de
EMAIL opgeslagen in de DN van het certificaat.

msie_hack
hetzelfde als -msie_hack

beleidsmaatregelen
hetzelfde als -beleid. Verplicht. Zie de BELEID FORMAT sectie voor meer informatie.

naam_opt, cert_opt
met deze opties kan de indeling worden gebruikt om de certificaatdetails weer te geven bij het opvragen van de
gebruiker om de ondertekening te bevestigen. Alle opties ondersteund door de x509 utilities -naamopt en
-certopt schakelaars kunnen hier worden gebruikt, behalve de no_iname en geen_sigdump zijn
permanent ingesteld en kan niet worden uitgeschakeld (dit komt omdat de handtekening van het certificaat
kan niet worden weergegeven omdat het certificaat op dit moment nog niet is ondertekend).

Voor het gemak de waarden ca_standaard worden door beide geaccepteerd om een ​​redelijk te produceren
uitgang.

Als geen van beide opties aanwezig is, wordt het formaat gebruikt dat in eerdere versies van OpenSSL werd gebruikt.
Gebruik van het oude formaat is sterk afgeraden omdat het alleen velden weergeeft
vermeld in de beleidsmaatregelen sectie, gaat verkeerd om met stringtypen met meerdere tekens en doet dat niet
extensies weergeven.

kopiëren_extensies
bepaalt hoe extensies in certificaataanvragen moeten worden afgehandeld. Indien ingesteld op geen
of deze optie niet aanwezig is, worden extensies genegeerd en niet gekopieerd naar het
certificaat. Indien ingesteld op kopiëren vervolgens eventuele extensies in het verzoek die dat niet zijn
reeds aanwezige worden gekopieerd naar het certificaat. Indien ingesteld op Kopieer alles dan alle extensies
in de aanvraag worden gekopieerd naar het certificaat: als de extensie al aanwezig is in
het certificaat wordt het eerst verwijderd. Zie de WAARSCHUWINGEN gedeelte voordat u dit gebruikt
optie.

Het belangrijkste gebruik van deze optie is om een ​​certificaatverzoek toe te staan ​​om waarden voor te leveren
bepaalde extensies zoals subjectAltName.

BELEID FORMAT

Het beleidsgedeelte bestaat uit een set variabelen die overeenkomen met certificaat-DN-velden.
Als de waarde "overeenkomst" is, moet de veldwaarde overeenkomen met hetzelfde veld in de CA
certificaat. Als de waarde "geleverd" is, moet deze aanwezig zijn. Als de waarde is
"optioneel" dan mag het aanwezig zijn. Alle velden die niet in het beleidsgedeelte worden vermeld, zijn dat wel
stilzwijgend verwijderd, tenzij de -behoudDN optie is ingesteld, maar dit kan meer als een worden beschouwd
eigenzinnigheid dan bedoeld gedrag.

SPKAC FORMAT

De ingang naar de -spkac opdrachtregeloptie is een door Netscape ondertekende openbare sleutel en uitdaging.
Dit zal meestal afkomstig zijn van de KEYGEN tag in een HTML-formulier om een ​​nieuwe persoonlijke sleutel te maken.
Het is echter mogelijk om SPKAC's te maken met behulp van de spkac utility.

Het bestand moet de variabele SPKAC bevatten die is ingesteld op de waarde van de SPKAC en ook de
vereiste DN-componenten als naamwaardeparen. Als u hetzelfde onderdeel moet opnemen
twee keer dan kan het worden voorafgegaan door een cijfer en een '.'.

Bij het verwerken van het SPKAC-formaat is de uitvoer DER als het -uit flag wordt gebruikt, maar in PEM-formaat
als het verzenden naar stdout of de -uitdir vlag wordt gebruikt.

Voorbeelden

Let op: deze voorbeelden gaan ervan uit dat de ca directorystructuur is al ingesteld en de
relevante bestanden bestaan ​​al. Dit omvat meestal het maken van een CA-certificaat en privé
sleutel met req, een serienummerbestand en een leeg indexbestand en deze in de
relevante mappen.

Om het voorbeeldconfiguratiebestand onder de mappen demoCA, demoCA/private en
demoCA/newcerts zou worden aangemaakt. Het CA-certificaat wordt gekopieerd naar demoCA/cacert.pem
en zijn persoonlijke sleutel naar demoCA/private/cakey.pem. Er zou een bestand demoCA/serial worden gemaakt
met bijvoorbeeld "01" en het lege indexbestand demoCA/index.txt.

Teken een certificaataanvraag:

openssl ca -in req.pem -out newcert.pem

Onderteken een certificaataanvraag met behulp van CA-extensies:

openssl ca -in req.pem -extensions v3_ca -out newcert.pem

Genereer een CRL

openssl ca -gencrl -out crl.pem

Onderteken meerdere verzoeken:

openssl ca -inbestanden req1.pem req2.pem req3.pem

Certificeer een Netscape SPKAC:

openssl ca -spkac spkac.txt

Een voorbeeld van een SPKAC-bestand (de SPKAC-regel is voor de duidelijkheid afgekapt):

SPKAC=MIG0MGAwXDANBgkqhkiG9w0BAQEFAANLADBIAkEAn7PDhCeV/xIxUg8V70YRxK2A5
CN=Steve-test
e-mailadres=[e-mail beveiligd]
0.OU=OpenSSL-groep
1.OU=Een andere groep

Een voorbeeldconfiguratiebestand met de relevante secties voor ca:

[ ongeveer ]
default_ca = CA_default # De standaard ca-sectie

[ CA_standaard ]

map = ./demoCA # bovenste map
database = $dir/index.txt # indexbestand.
new_certs_dir = $dir/newcerts # nieuwe certs dir

certificaat = $dir/cacert.pem # Het CA cert
serial = $dir/serial # seriële geen bestand
private_key = $dir/private/cakey.pem# CA privésleutel
RANDFILE = $dir/private/.rand # bestand met willekeurige getallen

default_days = 365 # hoe lang te certificeren
default_crl_days= 30 # hoe lang tot de volgende CRL
default_md = md5 # md om te gebruiken

policy = policy_any # standaardbeleid
email_in_dn = nee # Voeg de e-mail niet toe aan cert DN

name_opt = ca_default # Weergaveoptie onderwerpnaam
cert_opt = ca_default # Certificaatweergaveoptie
copy_extensions = geen # Kopieer geen extensies van verzoek

[ beleid_any ]
countryName = geleverd
stateOrProvincieName = optioneel
organisatieNaam = optioneel
organisationUnitName = optioneel
commonName = opgegeven
e-mailadres = optioneel

Gebruik cassl online met behulp van onworks.net-services