cassl - Online sa Cloud

PROGRAMA:

NAME

ca - sample minimal na aplikasyon ng CA

SINOPSIS

openssl ca [-salita] [-config filename] [-yam seksyon] [-gencrl] [-bawiin file] [-katayuan
serye] [-na-updateb] [-crl_reason dahilan] [-crl_hold pagtuturo] [-crl_compromise oras]
[-crl_CA_compromise oras] [-crldadays araw] [-crlhours oras] [-crlexts seksyon] [-startdate
petsa] [-enddate petsa] [-araw arg] [-md arg] [-patakaran arg] [-keyfile arg] [-keyform
PEM|DER] [-susi arg] [-ipasa arg] [-cert file] [-selfsign] [-in file] [-labas file]
[-walang text] [-labas dir] [-infiles] [-spkac file] [-ss_cert file] [-preserveDN]
[-noemailDN] [-batch] [-msie_hack] [-mga extension seksyon] [-extfile seksyon] [-makina id]
[-subj arg] [-utf8] [-multivalue-rdn]

DESCRIPTION

Ang ca Ang command ay isang minimal na aplikasyon ng CA. Maaari itong magamit upang pirmahan ang mga kahilingan sa sertipiko
isang iba't ibang mga form at bumubuo ng mga CRL pinapanatili din nito ang isang database ng teksto ng inisyu
mga sertipiko at ang kanilang katayuan.

Ang mga paglalarawan ng mga opsyon ay hahatiin sa bawat layunin.

CA Opsyon

-config filename
tumutukoy sa configuration file na gagamitin.

-yam seksyon
Tinutukoy ang seksyon ng configuration file na gagamitin (i-override default_ca nasa ca
seksyon).

-in filename
isang input filename na naglalaman ng isang kahilingan sa sertipiko na pirmahan ng CA.

-ss_cert filename
isang single self signed certificate na pipirmahan ng CA.

-spkac filename
isang file na naglalaman ng iisang Netscape signed public key at challenge at karagdagang
mga halaga ng field na lalagdaan ng CA. Tingnan ang SPKAC FORMAT seksyon para sa impormasyon sa
ang kinakailangang format ng input at output.

-infiles
kung naroroon ito ay dapat na ang huling opsyon, ang lahat ng kasunod na mga argumento ay ipinapalagay sa
ang mga pangalan ng mga file na naglalaman ng mga kahilingan sa sertipiko.

-labas filename
ang output file sa output certificate sa. Ang default ay karaniwang output. Ang
ang mga detalye ng certificate ay ipi-print din sa file na ito sa PEM format (maliban doon
-spkac naglalabas ng DER format).

-labas direktoryo
ang direktoryo upang maglabas ng mga sertipiko sa. Ang sertipiko ay isusulat sa isang filename
na binubuo ng serial number sa hex na may ".pem" na nakadugtong.

-cert
ang file ng sertipiko ng CA.

-keyfile filename
ang pribadong key para lagdaan ang mga kahilingan.

-keyform PEM|DER
ang format ng data sa pribadong key file. Ang default ay PEM.

-susi password
ang password na ginamit upang i-encrypt ang pribadong key. Dahil sa ilang mga sistema ang command line
nakikita ang mga argumento (hal. Unix na may 'ps' utility) dapat gamitin ang opsyong ito
may pagiingat.

-selfsign
ay nagpapahiwatig na ang mga ibinigay na sertipiko ay lalagdaan gamit ang susi ng sertipiko
ang mga kahilingan ay nilagdaan gamit ang (binigyan ng -keyfile). Mga kahilingan sa sertipikasyon na nilagdaan ng a
hindi pinapansin ang iba't ibang susi. Kung -spkac, -ss_cert or -gencrl ay ibinigay, -selfsign is
hindi pinansin

Isang kahihinatnan ng paggamit -selfsign ay ang self-signed certificate ay lilitaw sa mga
mga entry sa database ng sertipiko (tingnan ang opsyon sa pagsasaayos database), at mga gamit
ang parehong serial number counter gaya ng lahat ng iba pang certificate na pinirmahan gamit ang self-signed
sertipiko

-ipasa arg
ang pangunahing mapagkukunan ng password. Para sa karagdagang impormasyon tungkol sa format ng arg tingnan ang Pumasa
PHRASE MGA PANGANGATWIRANG seksyon sa opensslNa (1).

-salita
nagpi-print ito ng mga karagdagang detalye tungkol sa mga operasyong ginagawa.

-walang text
huwag i-output ang text form ng isang certificate sa output file.

-startdate petsa
ito ay nagbibigay-daan sa petsa ng pagsisimula na tahasang itakda. Ang format ng petsa ay
YYMMDDHHMMSSZ (kapareho ng isang istraktura ng ASN1 UTCTime).

-enddate petsa
nagbibigay-daan ito sa expiration date na tahasang itakda. Ang format ng petsa ay
YYMMDDHHMMSSZ (kapareho ng isang istraktura ng ASN1 UTCTime).

-araw arg
ang bilang ng mga araw upang patunayan ang sertipiko para sa.

-md algae
ang message digest na gagamitin. Kabilang sa mga posibleng value ang md5, sha1 at mdc2. Ang pagpipiliang ito
nalalapat din sa mga CRL.

-patakaran arg
tinutukoy ng opsyong ito ang "patakaran" ng CA na gagamitin. Ito ay isang seksyon sa pagsasaayos
file na nagpapasya kung aling mga field ang dapat mandatory o tumugma sa certificate ng CA. Suriin
out the PATAKARAN FORMAT seksyon para sa karagdagang impormasyon.

-msie_hack
isa itong legacy na opsyon na gagawin ca gumana sa mga lumang bersyon ng IE certificate
kontrol sa pagpapatala "certenr3". Ginamit nito ang UniversalStrings para sa halos lahat. Since
ang lumang kontrol ay may iba't ibang mga bug sa seguridad ang paggamit nito ay mahigpit na hindi hinihikayat. Ang mas bago
hindi kailangan ng control na "Xenroll" ang opsyong ito.

-preserveDN
Karaniwan ang pagkakasunud-sunod ng DN ng isang sertipiko ay kapareho ng pagkakasunud-sunod ng mga patlang sa
kaugnay na seksyon ng patakaran. Kapag ang opsyong ito ay itinakda ang order ay kapareho ng kahilingan.
Ito ay higit sa lahat para sa pagiging tugma sa mas lumang IE enrollment control na gagawin
tumatanggap lamang ng mga certificate kung tumugma ang kanilang mga DN sa pagkakasunud-sunod ng kahilingan. Hindi ito
kailangan para sa Xenroll.

-noemailDN
Ang DN ng isang certificate ay maaaring maglaman ng EMAIL field kung naroroon sa kahilingan DN,
gayunpaman, magandang patakaran ang pagkakaroon lamang ng e-mail sa extension ng altName ng
sertipiko. Kapag naitakda ang opsyong ito, ang EMAIL field ay aalisin sa certificate'
paksa at itinakda lamang sa, sa kalaunan ay naroroon, mga extension. Ang email_in_dn keyword
ay maaaring gamitin sa configuration file upang paganahin ang gawi na ito.

-batch
ito ang nagtatakda ng batch mode. Sa mode na ito walang itatanong at lahat ng mga sertipiko
ay awtomatikong ma-certify.

-mga extension seksyon
ang seksyon ng configuration file na naglalaman ng mga extension ng certificate na idaragdag
kapag ang isang sertipiko ay inisyu (default sa x509_extensions maliban kung -extfile opsyon
Ginagamit). Kung walang seksyon ng extension na naroroon, isang V1 certificate ang gagawin. Kung ang
Ang seksyon ng extension ay naroroon (kahit na ito ay walang laman), pagkatapos ay isang V3 certificate ay nilikha.
Tingnan ang: w x509v3_config(5) manu-manong pahina para sa mga detalye ng format ng seksyon ng extension.

-extfile file
isang karagdagang configuration file upang basahin ang mga extension ng certificate mula sa (gamit ang
default na seksyon maliban kung ang -mga extension ginagamit din ang opsyon).

-makina id
pagtukoy ng isang makina (sa pamamagitan ng natatangi nito id string) ay magdudulot ca upang subukang makakuha ng a
functional na sanggunian sa tinukoy na makina, kaya sinisimulan ito kung kinakailangan. Ang
Ang engine ay itatakda bilang default para sa lahat ng available na algorithm.

-subj arg
pumapalit sa pangalan ng paksa na ibinigay sa kahilingan. Ang arg ay dapat na naka-format bilang
/type0=value0/type1=value1/type2=..., ang mga character ay maaaring i-escape ng \ (backslash), hindi
nilaktawan ang mga puwang.

-utf8
ang pagpipiliang ito ay nagiging sanhi ng mga halaga ng field na bigyang-kahulugan bilang mga string ng UTF8, bilang default ay ang mga ito
binibigyang kahulugan bilang ASCII. Nangangahulugan ito na ang mga halaga ng field, na-prompt man mula sa a
terminal o nakuha mula sa isang configuration file, dapat ay wastong mga string ng UTF8.

-multivalue-rdn
ang pagpipiliang ito ay nagiging sanhi ng -subj na argumento upang bigyang-kahulugan ang buong suporta para sa
multivalued na mga RDN. Halimbawa:

/DC=org/DC=OpenSSL/DC=users/UID=123456+CN=John usang babae

Kung hindi ginagamit ang -multi-rdn kung gayon ang halaga ng UID ay 123456+CN=Juan usang babae.

CRL Opsyon

-gencrl
ang pagpipiliang ito ay bumubuo ng isang CRL batay sa impormasyon sa index file.

-crldadays num
ang bilang ng mga araw bago ang susunod na CRL ay dapat bayaran. Iyon ang mga araw mula ngayon hanggang sa lugar
ang CRL nextUpdate field.

-crlhours num
ang bilang ng mga oras bago ang susunod na CRL ay dapat bayaran.

-bawiin filename
isang filename na naglalaman ng isang sertipiko na bawiin.

-katayuan serye
ipinapakita ang katayuan ng pagbawi ng sertipiko na may tinukoy na serial number at
labasan.

-na-updateb
Ina-update ang index ng database para i-purge ang mga nag-expire na certificate.

-crl_reason dahilan
dahilan ng pagbawi, kung saan dahilan ay isa sa: Hindi natukoy, keyCompromise, CACompromise,
affiliationBinago, superseded, cessationOfOperation, certificateHold or
alisinFromCRL. Ang pagtutugma ng dahilan ay case insensitive. Pagtatakda ng anumang pagbawi
ang dahilan ay gagawin ang CRL v2.

Sa praktis alisinFromCRL ay hindi partikular na kapaki-pakinabang dahil ginagamit lamang ito sa delta
Mga CRL na hindi kasalukuyang ipinapatupad.

-crl_hold pagtuturo
Itinatakda nito ang code ng dahilan ng pagbawi ng CRL sa certificateHold at ang pagtuturo ng hold
sa pagtuturo na dapat ay isang OID. Bagama't anumang OID ay maaari lamang gamitin
holdInstructionNone (ang paggamit nito ay hindi hinihikayat ng RFC2459)
holdInstructionCallIssuer or holdInstructionReject ay karaniwang gagamitin.

-crl_compromise oras
Itinatakda nito ang dahilan ng pagbawi sa keyCompromise at ang oras ng kompromiso sa oras. oras
dapat nasa GeneralizedTime na format iyon ay YYYYMMDDHHMMSSZ.

-crl_CA_compromise oras
Ito ay katulad ng crl_compromise maliban kung ang dahilan ng pagbawi ay nakatakda sa
CACompromise.

-crlexts seksyon
ang seksyon ng configuration file na naglalaman ng mga extension ng CRL na isasama. Kung walang CRL
Ang seksyon ng extension ay naroroon pagkatapos ay isang V1 CRL ang ginawa, kung ang seksyon ng extension ng CRL ay
kasalukuyan (kahit na ito ay walang laman) pagkatapos ay isang V2 CRL ay nilikha. Tinukoy ang mga extension ng CRL
ay mga extension ng CRL at hindi Mga extension ng CRL entry. Dapat pansinin na ang ilan
software (halimbawa Netscape) ay hindi maaaring pangasiwaan ang V2 CRLs. Tingnan mo x509v3_config(5) manwal na pahina
para sa mga detalye ng format ng seksyon ng extension.

Configuration FILE Opsyon

Ang seksyon ng configuration file na naglalaman ng mga opsyon para sa ca ay matatagpuan tulad ng sumusunod: Kung
ang -yam Ginagamit ang opsyon sa command line, pagkatapos ay pinangalanan nito ang seksyong gagamitin. Kung hindi man ang
seksyon na gagamitin ay dapat na pinangalanan sa default_ca opsyon ng ca na seksyon ng
configuration file (o sa default na seksyon ng configuration file). Bukod sa
default_ca, ang mga sumusunod na opsyon ay direktang binabasa mula sa ca seksyon:
RANDFILE panatilihin
msie_hack Maliban sa RANDFILE, ito ay malamang na isang bug at maaaring magbago sa hinaharap
naglalabas.

Marami sa mga opsyon sa pagsasaayos ng file ay magkapareho sa mga opsyon sa command line. Kung saan ang
Ang opsyon ay nasa configuration file at ang command line ay ang command line value
ginamit. Kung ang isang opsyon ay inilarawan bilang sapilitan, dapat itong naroroon sa
configuration file o ang katumbas ng command line (kung mayroon man) na ginamit.

oid_file
Tinutukoy nito ang isang file na naglalaman ng karagdagang LAYUNIN MGA IDENTIFIER. Ang bawat linya ng file
dapat na binubuo ng numerical form ng object identifier na sinusundan ng white space
pagkatapos ay ang maikling pangalan na sinusundan ng puting espasyo at panghuli ang mahabang pangalan.

oid_section
Tinutukoy nito ang isang seksyon sa configuration file na naglalaman ng karagdagang bagay
mga identifier. Ang bawat linya ay dapat na binubuo ng maikling pangalan ng object identifier
sinundan ng = at ang numerical form. Ang maikli at mahabang pangalan ay pareho kapag ito
ginagamit ang opsyon.

new_certs_dir
katulad ng sa -labas opsyon sa command line. Tinutukoy nito ang direktoryo kung saan bago
maglalagay ng mga sertipiko. Sapilitan.

sertipiko
kapareho ng -cert. Ibinibigay nito ang file na naglalaman ng sertipiko ng CA. Sapilitan.

private_key
katulad ng -keyfile opsyon. Ang file na naglalaman ng CA private key. Sapilitan.

RANDFILE
isang file na ginamit upang basahin at isulat ang random na numero ng impormasyon ng binhi, o isang EGD socket (tingnan
RAND_egd(3)).

default_days
katulad ng sa -araw opsyon. Ang bilang ng mga araw upang patunayan ang isang sertipiko para sa.

default_startdate
katulad ng sa -startdate opsyon. Ang petsa ng pagsisimula upang patunayan ang isang sertipiko para sa. Kung hindi
itakda ang kasalukuyang oras na ginagamit.

default_enddate
katulad ng sa -enddate opsyon. Alinman sa pagpipiliang ito o default_days (o ang utos
mga katumbas ng linya) ay dapat naroroon.

default_crl_hours default_crl_days
katulad ng sa -crlhours at ang -crldadays mga pagpipilian. Ang mga ito ay gagamitin lamang kung wala
Ang opsyon sa command line ay naroroon. Hindi bababa sa isa sa mga ito ay dapat na naroroon upang makabuo ng a
CRL.

default_md
katulad ng sa -md opsyon. Ang mensaheng digest na gagamitin. Sapilitan.

database
ang text database file na gagamitin. Sapilitan. Ang file na ito ay dapat na naroroon bagaman sa simula
ito ay walang laman.

unique_subject
kung ang halaga oo ay ibinigay, ang wastong mga entry ng sertipiko sa database ay dapat na mayroon
mga natatanging paksa. kung ang halaga hindi ay ibinigay, maaaring may ilang wastong mga entry sa sertipiko
ang eksaktong parehong paksa. Ang default na halaga ay oo, para maging tugma sa mas matanda (pre
0.9.8) na mga bersyon ng OpenSSL. Gayunpaman, upang gawing mas madali ang pag-roll-over ng CA certificate, ito ay
inirerekomenda na gamitin ang halaga hindi, lalo na kung pinagsama sa -selfsign utos
opsyon sa linya.

serye
isang text file na naglalaman ng susunod na serial number na gagamitin sa hex. Sapilitan. Ang file na ito
dapat naroroon at naglalaman ng wastong serial number.

crlnumber
isang text file na naglalaman ng susunod na CRL number na gagamitin sa hex. Ang crl number ay magiging
ipinasok sa mga CRL lamang kung umiiral ang file na ito. Kung naroroon ang file na ito, dapat
naglalaman ng wastong numero ng CRL.

x509_extensions
kapareho ng -mga extension.

crl_extensions
kapareho ng -crlexts.

pangalagaan
kapareho ng -preserveDN

email_in_dn
kapareho ng -noemailDN. Kung gusto mong alisin ang field ng EMAIL mula sa DN ng
certificate itakda lang ito sa 'hindi'. Kung hindi ipakita ang default ay upang payagan ang
Nai-file ang EMAIL sa DN ng certificate.

msie_hack
kapareho ng -msie_hack

patakaran
kapareho ng -patakaran. Sapilitan. Tingnan ang PATAKARAN FORMAT seksyon para sa karagdagang impormasyon.

name_opt, cert_opt
pinapayagan ng mga opsyong ito ang format na ginamit upang ipakita ang mga detalye ng certificate kapag tinatanong ang
user upang kumpirmahin ang pagpirma. Lahat ng mga opsyon na sinusuportahan ng x509 utilities -nameopt at
-certopt maaaring gamitin ang mga switch dito, maliban sa walang_signname at walang_sigdump ay
permanenteng nakatakda at hindi maaaring hindi paganahin (ito ay dahil ang certificate signature
ay hindi maipapakita dahil ang sertipiko ay hindi pa nalagdaan sa puntong ito).

Para sa kaginhawahan ang mga halaga ca_default ay tinatanggap ng pareho upang makabuo ng isang makatwirang
output.

Kung walang opsyon ang naroroon ang format na ginamit sa mga naunang bersyon ng OpenSSL ay ginagamit.
Ang paggamit ng lumang format ay malakas nasiraan ng loob dahil ipinapakita lamang nito ang mga patlang
nabanggit sa patakaran seksyon, maling humahawak ng mga uri ng string ng multicharacter at hindi
mga extension ng display.

copy_extensions
tinutukoy kung paano dapat pangasiwaan ang mga extension sa mga kahilingan sa certificate. Kung nakatakda sa wala
o wala ang opsyong ito pagkatapos ay binabalewala ang mga extension at hindi kinokopya sa
sertipiko. Kung nakatakda sa kopyahin pagkatapos ay anumang mga extension na naroroon sa kahilingan na hindi
na naroroon ay kinopya sa sertipiko. Kung nakatakda sa copyall tapos lahat ng extension
sa kahilingan ay kinopya sa sertipiko: kung ang extension ay naroroon na sa
ang sertipiko ay tinanggal muna. Tingnan ang MGA BABAE seksyon bago gamitin ito
pagpipilian.

Ang pangunahing paggamit ng opsyong ito ay upang payagan ang isang kahilingan sa sertipiko na magbigay ng mga halaga para sa
ilang mga extension gaya ng subjectAltName.

PATAKARAN FORMAT

Ang seksyon ng patakaran ay binubuo ng isang hanay ng mga variable na nauugnay sa mga field ng certificate DN.
Kung "tugma" ang value, dapat tumugma ang value ng field sa parehong field sa CA
sertipiko. Kung ang halaga ay "ibinigay" kung gayon dapat itong naroroon. Kung ang halaga ay
"opsyonal" kung gayon maaari itong naroroon. Anumang mga field na hindi nabanggit sa seksyon ng patakaran ay
tahimik na tinanggal, maliban kung ang -preserveDN ang opsyon ay nakatakda ngunit ito ay maaaring ituring na higit pa sa isang
quirk kaysa sa nilalayon na pag-uugali.

SPKAC FORMAT

Ang input sa -spkac Ang opsyon sa command line ay isang pampublikong susi at hamon na nilagdaan ng Netscape.
Ito ay karaniwang magmumula sa KEYGEN tag sa isang HTML form upang lumikha ng bagong pribadong key.
Gayunpaman, posible na lumikha ng mga SPKAC gamit ang spkac kagamitan.

Ang file ay dapat maglaman ng variable na SPKAC na nakatakda sa halaga ng SPKAC at gayundin ang
kinakailangang mga bahagi ng DN bilang mga pares ng halaga ng pangalan. Kung kailangan mong isama ang parehong bahagi
dalawang beses pagkatapos ay maaari itong unahan ng isang numero at isang '.'.

Kapag pinoproseso ang format ng SPKAC, ang output ay DER kung ang -labas flag ay ginagamit, ngunit PEM format
kung nagpapadala sa stdout o sa -labas ginagamit ang bandila.

HALIMBAWA

Tandaan: ipinapalagay ng mga halimbawang ito na ang ca naka-set up na ang istraktura ng direktoryo at ang
umiiral na ang mga nauugnay na file. Ito ay karaniwang nagsasangkot ng paglikha ng isang CA certificate at pribado
susi na may kahilingan, isang serial number file at isang walang laman na index file at inilalagay ang mga ito sa
kaugnay na mga direktoryo.

Upang gamitin ang sample na configuration file sa ibaba ng mga direktoryo na demoCA, demoCA/pribado at
malilikha ang demoCA/newcerts. Kokopyahin ang CA certificate sa demoCA/cacert.pem
at ang pribadong key nito sa demoCA/private/cakey.pem. Isang file demoCA/serye ay gagawin
na naglalaman ng halimbawa "01" at ang walang laman na index file na demoCA/index.txt.

Pumirma ng kahilingan sa sertipiko:

openssl ca -in req.pem -out newcert.pem

Pumirma ng kahilingan sa sertipiko, gamit ang mga extension ng CA:

openssl ca -in req.pem -extensions v3_ca -out newcert.pem

Bumuo ng CRL

openssl ca -gencrl -out crl.pem

Pumirma ng ilang kahilingan:

openssl ca -infiles req1.pem req2.pem req3.pem

Mag-certify ng Netscape SPKAC:

openssl ca -spkac spkac.txt

Isang sample na SPKAC file (ang linya ng SPKAC ay pinutol para sa kalinawan):

SPKAC=MIG0MGAwXDANBgkqhkiG9w0BAQEFAANLADBIAkEAn7PDhCeV/xIxUg8V70YRxK2A5
CN=Steve Test
emailAddress=[protektado ng email]
0.OU=OpenSSL Group
1.OU=Ibang Grupo

Isang sample na configuration file na may mga nauugnay na seksyon para sa ca:

[ ca ]
default_ca = CA_default # Ang default na seksyon ng ca

[ CA_default ]

dir = ./demoCA # nangungunang dir
database = $dir/index.txt # index file.
new_certs_dir = $dir/newcerts # bagong certs dir

certificate = $dir/cacert.pem # Ang CA cert
serial = $dir/serial # serial walang file
private_key = $dir/private/cakey.pem# CA private key
RANDFILE = $dir/private/.rand # random number file

default_days = 365 # kung gaano katagal magse-certify
default_crl_days= 30 # gaano katagal bago ang susunod na CRL
default_md = md5 # md na gagamitin

patakaran = patakaran_anumang # default na patakaran
email_in_dn = hindi # Huwag idagdag ang email sa cert DN

name_opt = ca_default # Opsyon sa pagpapakita ng pangalan ng paksa
cert_opt = ca_default # Pagpipilian sa pagpapakita ng sertipiko
copy_extensions = none # Huwag kumopya ng mga extension mula sa kahilingan

[ patakaran_anuman ]
countryName = ibinigay
stateOrProvinceName = opsyonal
organizationName = opsyonal
organizationalUnitName = opsyonal
commonName = ibinigay
emailAddress = opsyonal

Gamitin ang cassl online gamit ang mga serbisyo ng onworks.net