x509ssl - Online în cloud

PROGRAM:

NUME

x509 - Utilitar de afișare și semnare a certificatelor

REZUMAT

OpenSSL x509 [-informa DER|PEM|NET] [-outforma DER|PEM|NET] [-forma cheie DER|PEM] [-CAform
DER|PEM] [-CAkeyform DER|PEM] [-în nume de fișier] [-afară nume de fișier] [-serial] [-hash]
[-subject_hash] [-issuer_hash] [-ocspid] [-subiect] [-emitent] [-nameopt opțiune] [-e-mail]
[-ocsp_uri] [-data de început] [-Data de încheiere] [-scop] [-datele] [-checkd o] [-modul]
[-pubkey] [-amprenta] [-alias] [-noout] [-incredere] [-clrîncredere] [-clrreject] [-adaugă încredere
arg] [-adresa arg] [-setalias arg] [-zile arg] [-set_serial n] [-cheie de semn nume de fișier]
[-trece în arg] [-x509toreq] [-req] [-CA nume de fișier] [-CAkey nume de fișier] [-CAcreateserial]
[-CAserial nume de fișier] [-force_pubkey cheie] [-text] [-certopt opțiune] [-C]
[-md2|-md5|-sha1|-mdc2] [-clrext] [-extfile nume de fișier] [-extensii secțiune] [-motor id]

DESCRIERE

x509 comanda este un utilitar de certificat multifuncțional. Poate fi folosit pentru a afișa
informații despre certificat, convertiți certificatele în diverse forme, semnați cereri de certificat
cum ar fi un „mini CA” sau editați setările de încredere ale certificatului.

Deoarece există un număr mare de opțiuni, acestea se vor împărți în diferite secțiuni.

OPŢIUNI

INTRARE, REZULTATE AND GENERAL SCOP OPŢIUNI
-informa DER|PEM|NET
Aceasta specifică formatul de intrare, în mod normal, comanda se va aștepta la un certificat X509
dar acest lucru se poate schimba dacă alte opțiuni precum -req sunt prezenți. Formatul DER este
Codificarea DER a certificatului și PEM este codificarea de bază 64 a codificării DER
cu linii de antet și subsol adăugate. Opțiunea NET este un server Netscape obscur
format care acum este învechit.

-outforma DER|PEM|NET
Acesta specifică formatul de ieșire, opțiunile au același sens ca și -informa
opțiune.

-în nume de fișier
Acesta specifică numele fișierului de intrare de la care se citește un certificat sau intrarea standard dacă aceasta
opțiunea nu este specificată.

-afară nume de fișier
Aceasta specifică numele fișierului de ieșire în care să scrieți sau ieșirea standard în mod implicit.

-md2|-md5|-sha1|-mdc2
digerul de utilizat. Acest lucru afectează orice opțiune de semnare sau afișare care utilizează un mesaj
digera, cum ar fi -amprenta, -cheie de semn și -CA Opțiuni. Dacă nu este specificat, atunci SHA1
este folosit. Dacă cheia folosită pentru a semna cu este o cheie DSA, atunci această opțiune are nu
efect: SHA1 este întotdeauna folosit cu cheile DSA.

-motor id
specificarea unui motor (prin unic id șir) va cauza x509 a încerca să obțină a
referință funcțională la motorul specificat, astfel inițialându-l dacă este necesar. The
motorul va fi apoi setat ca implicit pentru toți algoritmii disponibili.

DISPLAY OPŢIUNI
Notă: -alias și -scop opțiunile sunt, de asemenea, opțiuni de afișare, dar sunt descrise în
TRUST SETTINGS secţiune.

-text
tipărește certificatul sub formă de text. Detaliile complete sunt publicate, inclusiv publicul
cheie, algoritmi de semnătură, numele emitentului și subiectului, numărul de serie eventualele extensii
prezent și orice setări de încredere.

-certopt opțiune
personalizați formatul de ieșire utilizat cu -text. opțiune argumentul poate fi unul singur
opțiune sau mai multe opțiuni separate prin virgule. The -certopt comutatorul poate fi, de asemenea
folosit de mai multe ori pentru a seta mai multe opțiuni. Vezi TEXT OPŢIUNI secțiune pentru mai multe
informaţii.

-noout
această opțiune împiedică ieșirea versiunii codificate a cererii.

-pubkey
scoate blocul SubjectPublicKeyInfo al certificatului în format PEM.

-modul
această opțiune imprimă valoarea modulului cheii publice conținute în
certificat.

-serial
emite numărul de serie al certificatului.

-subject_hash
afișează „hash” al numelui subiectului certificatului. Acesta este folosit în OpenSSL pentru a forma un
index pentru a permite ca certificatele dintr-un director să fie căutate după numele subiectului.

-issuer_hash
afișează „hash” al numelui emitentului certificatului.

-ocspid
emite valorile hash OCSP pentru numele subiectului și cheia publică.

-hash
sinonim pentru „-subject_hash” din motive de compatibilitate inversă.

-subject_hash_old
scoate „hash” al numelui subiectului certificatului folosind algoritmul mai vechi, așa cum este utilizat
de versiunile OpenSSL anterioare 1.0.0.

-issuer_hash_old
afișează „hash” al numelui emitentului de certificat folosind algoritmul mai vechi, așa cum este folosit de
Versiunile OpenSSL anterioare 1.0.0.

-subiect
scoate numele subiectului.

-emitent
afișează numele emitentului.

-nameopt opțiune
opțiunea care determină modul în care sunt afișate numele subiectului sau emitentului. The opțiune
argumentul poate fi o singură opțiune sau mai multe opțiuni separate prin virgule.
Alternativ, -nameopt comutatorul poate fi folosit de mai multe ori pentru a seta mai multe opțiuni.
A se vedea NUME OPŢIUNI secțiune pentru mai multe informații.

-e-mail
scoate adresele de e-mail, dacă există.

-ocsp_uri
scoate adresele de răspuns OCSP, dacă există.

-data de început
tipărește data de începere a certificatului, adică data notBefore.

-Data de încheiere
tipărește data de expirare a certificatului, adică data notAfter.

-datele
tipărește datele de începere și de expirare ale unui certificat.

-checkd arg
verifică dacă certificatul expiră în următorul arg secunde și iese diferit de zero dacă
da va expira sau zero daca nu.

-amprenta
tipărește rezumatul versiunii codificate DER a întregului certificat (vezi rezumatul
Opțiuni).

-C aceasta scoate certificatul sub forma unui fișier sursă C.

TRUST SETTINGS
Vă rugăm să rețineți că aceste opțiuni sunt în prezent experimentale și se pot schimba.

A de încredere certificat este un certificat obișnuit care are mai multe piese suplimentare de
informațiile atașate acestuia, cum ar fi utilizările permise și interzise ale certificatului
și un „alias”.

În mod normal, atunci când un certificat este verificat, cel puțin un certificat trebuie să fie „de încredere”.
În mod implicit, un certificat de încredere trebuie să fie stocat local și trebuie să fie un CA rădăcină: orice
Lanțul de certificate care se termină în acest CA este apoi utilizabil în orice scop.

Setările de încredere în prezent sunt utilizate numai cu un CA rădăcină. Ele permit un control mai fin asupra
scopuri pentru care poate fi folosit CA rădăcină. De exemplu, un CA poate fi de încredere pentru clientul SSL, dar
nu utilizarea serverului SSL.

Vezi descrierea verifica utilitate pentru mai multe informații despre semnificația încrederii
setări.

Versiunile viitoare ale OpenSSL vor recunoaște setările de încredere pe orice certificat: nu doar root
CA.

-incredere
Asta duce la x509 a iesi a de încredere certificat. Un certificat obișnuit sau de încredere
poate fi introdus, dar implicit este scos un certificat obișnuit și orice setări de încredere
sunt aruncate. Cu -incredere opțiunea este scos un certificat de încredere. Un de încredere
certificatul este scos automat dacă se modifică orice setări de încredere.

-setalias arg
setează alias-ul certificatului. Acest lucru va permite să se facă referire la certificat
folosind o poreclă, de exemplu „Certificatul lui Steve”.

-alias
scoate aliasul de certificat, dacă există.

-clrîncredere
șterge toate utilizările permise sau de încredere ale certificatului.

-clrreject
șterge toate utilizările interzise sau respinse ale certificatului.

-adaugă încredere arg
adaugă un certificat de utilizare de încredere. Orice nume de obiect poate fi folosit aici, dar în prezent numai
clientAuth (utilizare client SSL), serverAuth (utilizarea serverului SSL) și emailProtection (S/MIME
e-mail) sunt utilizate. Alte aplicații OpenSSL pot defini utilizări suplimentare.

-adresa arg
adaugă o utilizare interzisă. Acceptă aceleași valori ca și -adaugă încredere opțiune.

-scop
această opțiune efectuează teste asupra extensiilor de certificat și emite rezultatele. Pentru
o descriere mai completă vezi CERTIFICAT PRELUNGIRI secţiune.

SEMNAREA OPŢIUNI
x509 utilitarul poate fi folosit pentru a semna certificate și cereri: se poate comporta astfel ca un
„mini CA”.

-cheie de semn nume de fișier
această opțiune face ca fișierul de intrare să fie autosemnat folosind cheia privată furnizată.

Dacă fișierul de intrare este un certificat, acesta setează numele emitentului la numele subiectului (de ex
îl face autosemnat) schimbă cheia publică la valoarea furnizată și schimbă
datele de început și de sfârșit. Data de început este setată la ora curentă și data de încheiere este setată
la o valoare determinată de -zile opțiune. Orice extensie de certificat este păstrată
cu excepția cazului în care -clrext opțiunea este furnizată.

Dacă intrarea este o cerere de certificat, atunci se creează un certificat autosemnat folosind
cheia privată furnizată folosind numele subiectului din cerere.

-trece în arg
sursa parolei cheie. Pentru mai multe informații despre formatul de arg a se vedea TRECERE
FRAZA ARGUMENTE secțiune în OpenSSL(1).

-clrext
ștergeți orice extensie dintr-un certificat. Această opțiune este utilizată atunci când este un certificat
fiind creat dintr-un alt certificat (de exemplu cu -cheie de semn sau -CA
Opțiuni). În mod normal, toate extensiile sunt păstrate.

-forma cheie PEM|DER
specifică formatul (DER sau PEM) al fișierului cu cheie privată utilizat în -cheie de semn opțiune.

-zile arg
specifică numărul de zile pentru care un certificat este valabil. Valoarea implicită este de 30 de zile.

-x509toreq
transformă un certificat într-o cerere de certificat. The -cheie de semn opțiunea este folosită pentru a trece
cheia privată necesară.

-req
în mod implicit, se așteaptă un certificat la intrare. Cu această opțiune o cerere de certificat
este de așteptat în schimb.

-set_serial n
specifică numărul de serie de utilizat. Această opțiune poate fi utilizată fie cu -cheie de semn
or -CA Opțiuni. Dacă este utilizat împreună cu -CA opțiunea fișierului cu numărul de serie (ca
specificate de -CAserial or -CAcreateserial opțiuni) nu este utilizat.

Numărul de serie poate fi zecimal sau hexadecimal (dacă este precedat de 0x). Numere de serie negative
pot fi de asemenea specificate dar utilizarea lor nu este recomandată.

-CA nume de fișier
specifică certificatul CA care va fi utilizat pentru semnare. Când această opțiune este prezentă x509
se comportă ca un „mini CA”. Fișierul de intrare este semnat de acest CA folosind această opțiune: that
numele emitentului său este setat la numele subiectului CA și este semnat digital
folosind cheia privată a CA.

Această opțiune este în mod normal combinată cu -req opțiune. Fara -req opțiunea
intrarea este un certificat care trebuie să fie autosemnat.

-CAkey nume de fișier
setează cheia privată CA cu care să semneze un certificat. Dacă această opțiune nu este specificată
atunci se presupune că cheia privată CA este prezentă în fișierul certificat CA.

-CAserial nume de fișier
setează fișierul cu numărul de serie CA de utilizat.

Cand -CA opțiunea este utilizată pentru a semna un certificat în care folosește un număr de serie specificat în
un fișier. Acest fișier constă dintr-o linie care conține un număr par de cifre hexadecimale cu
numărul de serie de utilizat. După fiecare utilizare, numărul de serie este incrementat și scris
la dosar din nou.

Numele de fișier implicit constă din numele de bază al fișierului certificat CA cu „.srl”
anexat. De exemplu, dacă fișierul certificat CA se numește „mycacert.pem”, se așteaptă
pentru a găsi un fișier cu numărul de serie numit „mycacert.srl”.

-CAcreateserial
cu această opțiune se creează fișierul cu numărul de serie CA dacă nu există: va fi
conțin numărul de serie „02”, iar certificatul în curs de semnare va avea drept 1
număr de serie. În mod normal, dacă -CA este specificată opțiunea și fișierul cu numărul de serie
nu exista este o eroare.

-extfile nume de fișier
fișier care conține extensii de certificat de utilizat. Dacă nu este specificat, atunci nu există extensii
adăugat la certificat.

-extensii secțiune
secțiunea din care să adăugați extensii de certificat. Dacă această opțiune nu este specificată, atunci
extensiile ar trebui fie să fie conținute în secțiunea fără nume (implicit), fie în secțiunea
secțiunea implicită ar trebui să conțină o variabilă numită „extensii” care conține
secțiune de utilizat. Vezi x509v3_config(5) pagina de manual pentru detalii despre extensie
format de secțiune.

-force_pubkey cheie
când este creat un certificat, setați cheia publică la cheie în loc de cheie în
certificat sau cerere de certificat. Această opțiune este utilă pentru crearea certificatelor
unde algoritmul nu poate semna în mod normal cereri, de exemplu DH.

Formatul sau cheie poate fi specificat folosind -forma cheie opțiune.

NUME OPŢIUNI
nameopt comutatorul din linia de comandă determină modul în care sunt afișate numele subiectului și al emitentului.
Daca nu nameopt comutatorul este prezent, se folosește formatul implicit „oneline”, care este compatibil
cu versiunile anterioare de OpenSSL. Fiecare opțiune este descrisă în detaliu mai jos, toate opțiunile
poate fi precedat de a - pentru a dezactiva opțiunea. Doar primele patru vor fi utilizate în mod normal.

compa
utilizați vechiul format. Acest lucru este echivalent cu a nu specifica nicio opțiune de nume.

RFC2253
afișează nume compatibile cu RFC2253 echivalent cu esc_2253, esc_ctrl, esc_msb,
utf8, dump_nostr, dump_necunoscut, dump_der, sep_comma_plus, dn_rev și sname.

o linie
un format de o linie care este mai ușor de citit decât RFC2253. Este echivalent cu precizarea
il esc_2253, esc_ctrl, esc_msb, utf8, dump_nostr, dump_der, folosește_quote,
sep_comma_plus_space, space_eq și sname opțiuni.

multilinie
un format cu mai multe linii. Este echivalent esc_ctrl, esc_msb, sep_multiline, space_eq, numele meu
și alinia.

esc_2253
scăpa de caracterele „speciale” cerute de RFC2253 într-un câmp Adică ,+"<>;.
În plus, # este scapat la începutul unui șir și un caracter spațiu la
începutul sau sfârșitul unui șir.

esc_ctrl
caractere de control de evacuare. Adică cei cu valori ASCII mai mici de 0x20 (spațiu) și
caracterul de ștergere (0x7f). Acestea sunt scăpate folosind notația RFC2253 \XX (unde XX
sunt două cifre hexadecimale reprezentând valoarea caracterului).

esc_msb
caractere de escape cu setul MSB, adică cu valori ASCII mai mari de 127.

folosește_quote
scapă unele caractere înconjurând întregul șir cu " personaje, fără
opțiunea toate scăparea se face cu \ caracter.

utf8
convertiți mai întâi toate șirurile în format UTF8. Acest lucru este cerut de RFC2253. Daca esti
destul de norocos să aibă un terminal compatibil UTF8, apoi utilizarea acestei opțiuni (și nu
instalare esc_msb) poate duce la afișarea corectă a mai multor octeți (internațional)
personaje. Dacă această opțiune nu este prezentă, atunci caracterele multiocteți mai mari de 0xff
va fi reprezentat folosind formatul \UXXXX pentru 16 biți și \WXXXXXXXXX pentru 32 de biți.
De asemenea, dacă această opțiune este dezactivată, orice UTF8Strings va fi convertit în forma lor de caractere
mai întâi.

ignore_type
această opțiune nu încearcă să interpreteze în niciun fel caracterele multiocteți. Acesta este
octeții lor de conținut sunt doar aruncați ca și cum un octet reprezintă fiecare caracter.
Acest lucru este util în scopuri de diagnosticare, dar va avea ca rezultat un rezultat destul de ciudat.

show_type
arată tipul șirului de caractere ASN1. Tipul precede conținutul câmpului. Pentru
exemplu „BMPSTRING: Hello World”.

dump_der
atunci când această opțiune este setată, orice câmpuri care trebuie să fie eliminate hexadecimal vor fi descărcate folosind
Codificarea DER a câmpului. În caz contrar, vor fi afișați doar octeții de conținut. Ambii
opțiunile folosesc RFC2253 #XXXX... format.

dump_nostr
descărcați tipurile de șiruri de caractere care nu sunt (de exemplu OCTET STRING) dacă această opțiune nu este setată
atunci tipurile care nu sunt șiruri de caractere vor fi afișate ca și cum fiecare octet de conținut
reprezintă un singur caracter.

dump_all
aruncați toate câmpurile. Această opțiune atunci când este utilizată cu dump_der permite codificarea DER a
structura să fie determinată fără ambiguitate.

dump_necunoscut
aruncați orice câmp al cărui OID nu este recunoscut de OpenSSL.

sep_comma_plus, sep_comma_plus_space, sep_semi_plus_space, sep_multiline
aceste opțiuni determină separatoarele de câmp. Primul caracter este între RDN-uri și
al doilea între mai multe AVA (mai multe AVA sunt foarte rare și utilizarea lor este
descurajat). Opțiunile care se termină în „spațiu” plasează suplimentar un spațiu după
separator pentru a-l face mai lizibil. The sep_multiline folosește un caracter linefeed pentru
separatorul RDN și o distanță + pentru separatorul AVA. De asemenea, indentează câmpurile prin
patru personaje. Dacă nu este specificat niciun separator de câmp, atunci sep_comma_plus_space este utilizat
în mod implicit.

dn_rev
inversează câmpurile DN-ului. Acest lucru este cerut de RFC2253. Ca efect secundar și asta
inversează ordinea mai multor AVA, dar acest lucru este permis.

nofname, sname, numele meu, OID
aceste opțiuni modifică modul în care este afișat numele câmpului. nofname nu afișează
câmp deloc. sname folosește forma „nume scurt” (CN pentru commonName, de exemplu). numele meu
folosește forma lungă. OID reprezintă OID-ul în formă numerică şi este util pentru
scop diagnostic.

alinia
aliniați valorile câmpului pentru o ieșire mai lizibilă. Utilizabil numai cu sep_multiline.

space_eq
plasează spații în jurul = caracter care urmează numele câmpului.

TEXT OPŢIUNI
Pe lângă personalizarea formatului de ieșire al numelui, este, de asemenea, posibilă personalizarea reală
câmpurile tipărite folosind certopt opțiuni atunci când a) Sport and Nutrition Awareness Day in Manasia Around XNUMX people from the rural commune Manasia have participated in a sports and healthy nutrition oriented activity in one of the community’s sports ready yards. This activity was meant to gather, mainly, middle-aged people from a Romanian rural community and teach them about the benefits that sports have on both their mental and physical health and on how sporting activities can be used to bring people from a community closer together. Three trainers were made available for this event, so that the participants would get the best possible experience physically and so that they could have the best access possible to correct information and good sports/nutrition practices. b) Sports Awareness Day in Poiana Țapului A group of young participants have taken part in sporting activities meant to teach them about sporting conduct, fairplay, and safe physical activities. The day culminated with a football match. opțiunea este prezentă. Implicit
comportamentul este de a tipări toate câmpurile.

compatibil
utilizați vechiul format. Acest lucru este echivalent cu a nu specifica nicio opțiune de ieșire.

Fără antet
nu tipăriți informații din antet: acestea sunt rândurile care spun „Certificat” și „Date”.

nicio_versiune
nu tipăriți numărul versiunii.

no_serial
nu tipăriți numărul de serie.

no_signame
nu tipăriți algoritmul de semnătură utilizat.

nicio_validitate
nu tipăriți valabilitatea, adică nu inainte și nuDupă domenii.

fără subiect
nu tipăriți numele subiectului.

nu_emitent
nu tipăriți numele emitentului.

no_pubkey
nu tipăriți cheia publică.

no_sigdump
nu dați un dump hexazecimal al semnăturii certificatului.

nu_aux
nu tipăriți informațiile de încredere ale certificatului.

fără_extensii
nu tipăriți nicio extensie X509V3.

ext_default
păstrați comportamentul implicit al extensiei: încercați să imprimați un certificat neacceptat
extensii.

ext_error
imprimați un mesaj de eroare pentru extensiile de certificat neacceptate.

ext_parse
ASN1 analizează extensiile neacceptate.

ext_dump
hex dump extensii neacceptate.

ca_default
valoarea folosită de ca utilitate, echivalent cu nu_emitent, no_pubkey, Fără antet,
nicio_versiune, no_sigdump și no_signame.

EXEMPLE

Notă: în aceste exemple, „\” înseamnă că exemplul ar trebui să fie pe o singură linie.

Afișează conținutul unui certificat:

openssl x509 -in cert.pem -noout -text

Afișați numărul de serie al certificatului:

openssl x509 -in cert.pem -noout -serial

Afișați numele subiectului certificatului:

openssl x509 -in cert.pem -noout -subject

Afișați numele subiectului certificatului în format RFC2253:

openssl x509 -in cert.pem -noout -subject -nameopt RFC2253

Afișați numele subiectului certificatului într-o formă unică pe un terminal care acceptă UTF8:

openssl x509 -in cert.pem -noout -subject -nameopt oneline,-esc_msb

Afișați amprenta certificatului MD5:

openssl x509 -in cert.pem -noout -fingerprint

Afișați amprenta digitală a certificatului SHA1:

openssl x509 -sha1 -in cert.pem -noout -fingerprint

Convertiți un certificat din formatul PEM în DER:

openssl x509 -in cert.pem -inform PEM -out cert.der -outform DER

Convertiți un certificat într-o cerere de certificat:

openssl x509 -x509toreq -in cert.pem -out req.pem -signkey key.pem

Convertiți o solicitare de certificat într-un certificat autosemnat folosind extensii pentru un CA:

openssl x509 -req -in careq.pem -extfile openssl.cnf -extensions v3_ca \
-signkey key.pem -out cacert.pem

Semnează o cerere de certificat folosind certificatul CA de mai sus și adaugă certificatul de utilizator
extensii:

openssl x509 -req -in req.pem -extfile openssl.cnf -extensions v3_usr \
-CA cacert.pem -CAkey key.pem -CAcreateserial

Setați un certificat pentru a fi de încredere pentru utilizarea clientului SSL și schimbați-i setați aliasul la „Steve’s
Clasa 1 CA"

openssl x509 -in cert.pem -addtrust clientAuth \
-setalias "Steve's Class 1 CA" -out trust.pem

NOTE

Formatul PEM utilizează liniile de antet și subsol:

-----ÎNCEPE CERTIFICAT-----

-----CERTIFICAT FINAL-----
va gestiona și fișierele care conțin:

-----ÎNCEPE CERTIFICAT X509-----

-----END CERTIFICAT X509-----
Certificatele de încredere au liniile

-----ÎNCEPE CERTIFICAT DE ÎNCREDERE-----

-----CERTIFICAT DE ÎNCREDERE FINAL-----
Conversia în format UTF8 utilizat cu opțiunile de nume presupune că T61Strings utilizează
Setul de caractere ISO8859-1. Acest lucru este greșit, dar Netscape și MSIE fac asta la fel ca mulți
certificate. Deci, deși acest lucru este incorect, este mai probabil să afișeze majoritatea
certificate corect.

-amprenta opțiunea preia rezumatul certificatului codificat DER. Acest lucru este de obicei
numită „amprentă”. Datorită naturii mesajului digeră amprenta unui
certificatul este unic pentru acel certificat și două certificate cu aceeași amprentă
poate fi considerat a fi la fel.

Amprenta Netscape folosește MD5, în timp ce MSIE folosește SHA1.

-e-mail opțiunea caută numele subiectului și extensia de nume alternativă a subiectului.
Vor fi tipărite doar adrese de e-mail unice: nu va mai tipări aceeași adresă
decât o dată.

CERTIFICAT PRELUNGIRI

-scop opțiunea verifică extensiile de certificat și determină ce certificat
poate fi folosit pentru. Verificările efective efectuate sunt destul de complexe și includ diverse hack-uri și
soluții pentru a gestiona certificatele și software-ul stricat.

Același cod este utilizat la verificarea certificatelor neîncrezătoare în lanțuri, așa că această secțiune este
util dacă un lanț este respins de codul de verificare.

Indicatorul CA extensia basicConstraints este utilizat pentru a determina dacă certificatul poate fi
folosit ca CA. Dacă indicatorul CA este adevărat, atunci este un CA, dacă indicatorul CA este fals, atunci este
nu un CA. TOATE CA ar trebui să aibă indicatorul CA setat la adevărat.

Dacă extensia basicConstraints lipsește, atunci certificatul este considerat a fi a
„CA posibil” alte extensii sunt verificate în funcție de utilizarea prevăzută a
certificat. Este dat un avertisment în acest caz, deoarece certificatul chiar nu ar trebui să fie
considerat ca un CA: totuși, este permis să fie un CA pentru a rezolva unele software stricate.

Dacă certificatul este un certificat V1 (și, prin urmare, nu are extensii) și este autosemnat
se presupune, de asemenea, că este un CA, dar se dă din nou un avertisment: aceasta este pentru a ocoli
problema rădăcinilor Verisign care sunt certificate V1 autosemnate.

Dacă extensia keyUsage este prezentă, se aplică restricții suplimentare asupra utilizărilor
certificatul. Un certificat CA trebuie să: au bitul keyCertSign setat dacă keyUsage
extensia este prezentă.

Extensia de utilizare extinsă a cheii impune restricții suplimentare privind utilizarea certificatului.
Dacă această extensie este prezentă (indiferent dacă este critică sau nu), cheia poate fi folosită numai pentru
scopurile specificate.

O descriere completă a fiecărui test este dată mai jos. Comentariile despre basicConstraints
și certificatele keyUsage și V1 de mai sus se aplică toate certificate CA.

SSL Client
Extensia de utilizare extinsă a cheii trebuie să lipsească sau să includă „clientul web
authentication" OID. keyUsage trebuie să lipsească sau trebuie să aibă bitul digitalSignature
a stabilit. Tipul de certificat Netscape trebuie să fie absent sau trebuie să aibă setat bitul client SSL.

SSL Client CA
Extensia de utilizare extinsă a cheii trebuie să lipsească sau să includă „clientul web
autentificare" OID. Tipul de certificat Netscape trebuie să fie absent sau trebuie să aibă SSL
Set de biți CA: acesta este folosit ca o soluție în cazul în care extensia basicConstraints este absentă.

SSL server de
Extensia de utilizare extinsă a cheii trebuie să lipsească sau să includă „serverul web
autentificare" și/sau unul dintre OID-urile SGC. keyUsage trebuie să lipsească sau trebuie să aibă
digitalSignature, keyEncipherment setul sau ambii seturi de biți. Certificat Netscape
tipul trebuie să fie absent sau să aibă setat bitul de server SSL.

SSL server de CA
Extensia de utilizare extinsă a cheii trebuie să lipsească sau să includă „serverul web
autentificare" și/sau unul dintre OID-urile SGC. Tipul de certificat Netscape trebuie să lipsească
sau bitul SSL CA trebuie setat: acesta este folosit ca o soluție în jurul valorii de basicConstraints
prelungirea este absentă.

Netscape SSL server de
Pentru ca clienții Netscape SSL să se conecteze la un server SSL, trebuie să aibă keyEncipherment
bit setat dacă extensia keyUsage este prezentă. Acest lucru nu este întotdeauna valabil pentru că unii
suitele de cifrare folosesc cheia pentru semnarea digitală. Altfel este la fel ca un normal
Server SSL.

Comun S / MIME Client Teste
Extensia extinsă de utilizare a cheii trebuie să lipsească sau să includă OID-ul „protecție e-mail”.
Tipul de certificat Netscape trebuie să fie absent sau ar trebui să aibă setat bitul S/MIME. Dacă
Bit S/MIME nu este setat în tipul de certificat netscape, atunci este bitul client SSL
tolerat ca alternativă, dar este afișat un avertisment: acest lucru se datorează faptului că unele Verisign
certificatele nu setează bitul S/MIME.

S / MIME Semnare
În plus față de testele comune ale clientului S/MIME, bitul digitalSignature trebuie setat dacă
extensia keyUsage este prezentă.

S / MIME Criptare
În plus față de testele comune S/MIME, bitul keyEncipherment trebuie setat dacă
Extensia keyUsage este prezentă.

S / MIME CA
Extensia extinsă de utilizare a cheii trebuie să lipsească sau să includă OID-ul „protecție e-mail”.
Tipul de certificat Netscape trebuie să fie absent sau trebuie să aibă setat bitul CA S/MIME: acesta este
folosit ca soluție dacă extensia basicConstraints este absentă.

CRL Semnare
Extensia keyUsage trebuie să fie absentă sau trebuie să aibă setat bitul de semnare CRL.

CRL Semnare CA
Se aplică testele CA normale. Cu excepția acestui caz, extensia basicConstraints trebuie să fie
prezent.

Utilizați x509ssl online folosind serviciile onworks.net