cassl - Bulutta Çevrimiçi

Program:

ADI

ca - minimum CA uygulamasını örnekleyin

SİNOPSİS

openssl ca [-ayrıntılı] [-yapılandırma Dosya] [-tatlı patates Bölüm] [-gencrl] [-geri çekmek dosya] [-durum
seri] [-güncellenmişb] [-crl_nedeni neden] [-crl_hold talimat] [-crl_uzlaşma zaman]
[-crl_CA_uzlaşma zaman] [-crldays Gün] [-crlsaat saatler] [-crlext'ler Bölüm] [-Başlangıç ​​tarihi
tarih] [-bitiş tarihi tarih] [-günler arg] [-md arg] [-politika arg] [-Anahtar dosya arg] [-anahtar formu
PEM|DER] [-tuşu arg] [-geçmek arg] [-sertifika dosya] [-kendi kendine imza] [-içinde dosya] [-dışarı dosya]
[-Yazı yok] [-outdir dir] [-dosyalar] [-spkac dosya] [-ss_cert dosya] [-koruDN]
[-noemailDN] [-grup] [-msie_hack] [-uzantılar Bölüm] [-ext dosyası Bölüm] [-motor id]
[-özne arg] [-utf8] [-çok değerli-rdn]

TANIM

The ca komut minimal bir CA uygulamasıdır. Sertifika isteklerini imzalamak için kullanılabilir.
çeşitli formlar ve CRL'ler oluşturur, ayrıca yayınlanan bir metin veritabanını da tutar.
sertifikalar ve durumları.

Seçenek açıklamaları her bir amaca bölünecektir.

CA SEÇENEKLER

-yapılandırma Dosya
kullanılacak yapılandırma dosyasını belirtir.

-tatlı patates Bölüm
kullanılacak yapılandırma dosyası bölümünü belirtir (geçersiz kılar default_ca içinde ca
Bölüm).

-içinde Dosya
CA tarafından imzalanacak tek bir sertifika isteği içeren bir girdi dosya adı.

-ss_cert Dosya
CA tarafından imzalanacak tek bir kendinden imzalı sertifika.

-spkac Dosya
Tek bir Netscape imzalı ortak anahtar ve sorgulama ve ek içeren bir dosya
CA tarafından imzalanacak alan değerleri. Bkz. SPKAC FORMAT hakkında bilgi için bölüm
gerekli giriş ve çıkış biçimi.

-dosyalar
varsa, bu son seçenek olmalıdır, sonraki tüm argümanlar
sertifika isteklerini içeren dosyaların adları.

-dışarı Dosya
sertifikaların çıktısı için çıktı dosyası. Varsayılan, standart çıktıdır. NS
sertifika ayrıntıları da bu dosyaya PEM formatında yazdırılacaktır (bunun dışında
-spkac DER biçimini verir).

-outdir rehber
sertifikaların çıkarılacağı dizin. Sertifika bir dosya adına yazılacak
".pem" eklenmiş onaltılık seri numarasından oluşur.

-sertifika
CA sertifika dosyası.

-Anahtar dosya Dosya
istekleri imzalamak için özel anahtar.

-anahtar formu PEM|DER
özel anahtar dosyasındaki verilerin biçimi. Varsayılan PEM'dir.

-tuşu şifre
özel anahtarı şifrelemek için kullanılan parola. Bazı sistemlerde komut satırından beri
argümanlar görülebilir (örneğin 'ps' yardımcı programı ile Unix) bu seçenek kullanılmalıdır
dikkatle.

-kendi kendine imza
verilen sertifikaların sertifika anahtarıyla imzalanacağını belirtir
istekler ile imzalandı (ile verildi -Anahtar dosya). ile imzalanmış sertifika istekleri
farklı anahtar yoksayılır. Eğer -spkac, -ss_cert or -gencrl verilmiştir, -kendi kendine imza is
görmezden geldi.

kullanmanın bir sonucu -kendi kendine imza kendinden imzalı sertifikanın aşağıdakiler arasında görünmesidir.
sertifika veritabanındaki girişler (konfigürasyon seçeneğine bakın) veritabanı) ve kullanır
diğer tüm sertifikalarla aynı seri numarası sayacı, kendinden imzalı
belgesi.

-geçmek arg
anahtar parola kaynağı. biçimi hakkında daha fazla bilgi için arg bakın PASS
İFADE ARGÜMANLAR bölümündeki bölüm openssl(1).

-ayrıntılı
bu, gerçekleştirilen işlemlerle ilgili ek ayrıntıları yazdırır.

-Yazı yok
bir sertifikanın metin formunu çıktı dosyasına çıkarmayın.

-Başlangıç ​​tarihi tarih
bu, başlangıç ​​tarihinin açıkça ayarlanmasına izin verir. Tarih biçimi
YYMMDDHHMMSSZ (ASN1 UTCTime yapısıyla aynı).

-bitiş tarihi tarih
bu, son kullanma tarihinin açıkça ayarlanmasına izin verir. Tarih biçimi
YYMMDDHHMMSSZ (ASN1 UTCTime yapısıyla aynı).

-günler arg
sertifikanın onaylanacağı gün sayısı.

-md alg
kullanılacak mesaj özeti. Olası değerler arasında md5, sha1 ve mdc2 bulunur. Bu seçenek
CRL'ler için de geçerlidir.

-politika arg
bu seçenek, kullanılacak CA "politikasını" tanımlar. Bu, yapılandırmadaki bir bölümdür
Hangi alanların zorunlu olacağına veya CA sertifikasıyla eşleşmesine karar veren dosya. Kontrol etmek
dışarı POLİTİKA FORMAT daha fazla bilgi için bölüm.

-msie_hack
bu yapmak için eski bir seçenektir ca IE sertifikasının çok eski sürümleriyle çalışın
kayıt kontrolü "certenr3". Hemen hemen her şey için UniversalStrings kullandı. Dan beri
eski kontrolün çeşitli güvenlik hataları vardır, kullanımı kesinlikle önerilmez. daha yeni
kontrol "Xenroll" bu seçeneğe ihtiyaç duymaz.

-koruDN
Normalde bir sertifikanın DN sırası, sertifikadaki alanların sırası ile aynıdır.
ilgili politika bölümü. Bu seçenek ayarlandığında sipariş, istekle aynıdır.
Bu, büyük ölçüde eski IE kayıt kontrolü ile uyumluluk içindir.
yalnızca DN'leri isteğin sırasına uygunsa sertifikaları kabul edin. Bu değil
Xenroll için gerekli.

-noemailDN
Bir sertifikanın DN'si, istek DN'sinde mevcutsa EMAIL alanını içerebilir,
ancak e-postanın altName uzantısına ayarlanması iyi bir politikadır.
sertifika. Bu seçenek ayarlandığında, EMAIL alanı sertifikadan kaldırılır'
konu ve yalnızca sonunda mevcut uzantılarda ayarlanır. NS e-posta_in_dn Anahtar kelime
bu davranışı etkinleştirmek için yapılandırma dosyasında kullanılabilir.

-grup
bu, toplu iş modunu ayarlar. Bu modda hiçbir soru sorulmayacak ve tüm sertifikalar
otomatik olarak sertifikalandırılacaktır.

-uzantılar Bölüm
eklenecek sertifika uzantılarını içeren yapılandırma dosyasının bölümü
bir sertifika verildiğinde (varsayılan olarak x509_uzantıları sürece -ext dosyası seçenek
kullanıldı). Uzantı bölümü yoksa, bir V1 sertifikası oluşturulur. Eğer
extension bölümü mevcutsa (boş olsa bile), ardından bir V3 sertifikası oluşturulur.
Bkz: w x509v3_config(5) uzantı bölümü formatının ayrıntıları için kılavuz sayfası.

-ext dosyası dosya
sertifika uzantılarını okumak için ek bir yapılandırma dosyası (kullanarak
varsayılan bölüm olmadıkça -uzantılar seçeneği de kullanılır).

-motor id
bir motor belirtme (benzersiz id dize) neden olur ca bir elde etmeye çalışmak
belirtilen motora işlevsel referans, böylece gerekirse başlatılır. NS
motor daha sonra mevcut tüm algoritmalar için varsayılan olarak ayarlanacaktır.

-özne arg
istekte verilen konu adının yerine geçer. Arg şu şekilde biçimlendirilmelidir:
/type0=value0/type1=value1/type2=..., karakterlerden önce \ (ters eğik çizgi) olabilir, hayır
boşluklar atlanır.

-utf8
bu seçenek, alan değerlerinin UTF8 dizeleri olarak yorumlanmasına neden olur, varsayılan olarak bunlar
ASCII olarak yorumlanır. Bu, bir alandan istenmiş olsun ya da olmasın alan değerlerinin
terminal veya bir yapılandırma dosyasından alınan, geçerli UTF8 dizeleri olmalıdır.

-çok değerli-rdn
bu seçenek -subj argümanının tam destekle yorumlanmasına neden olur.
çok değerli RDN'ler. Örnek:

/DC=org/DC=OpenSSL/DC=kullanıcılar/UID=123456+CN=John dişi geyik

-multi-rdn kullanılmazsa, UID değeri 123456+CN=John dişi geyik.

SİL SEÇENEKLER

-gencrl
bu seçenek, dizin dosyasındaki bilgilere dayalı olarak bir CRL oluşturur.

-crldays num
sonraki CRL'nin vadesine kadar geçen gün sayısı. İşte bundan böyle günler
CRL nextUpdate alanı.

-crlsaat num
bir sonraki CRL'nin vadesine kalan saat sayısı.

-geri çekmek Dosya
iptal edilecek bir sertifika içeren bir dosya adı.

-durum seri
belirtilen seri numarasına sahip sertifikanın iptal durumunu görüntüler ve
çıkışlar.

-güncellenmişb
Süresi dolmuş sertifikaları temizlemek için veritabanı dizinini günceller.

-crl_nedeni neden
iptal nedeni, nerede neden biridir: belirtilmemiş, anahtarUzlaşma, CAÖdün verme,
üyelikDeğiştirildi, yerini, Operasyonun durdurulması, sertifikaHold or
RemoveFromCRL. eşleştirme neden büyük/küçük harfe duyarsızdır. Herhangi bir iptalin ayarlanması
nedeni, CRL v2'yi yapacaktır.

pratikte RemoveFromCRL özellikle yararlı değildir çünkü yalnızca deltada kullanılır
Şu anda uygulanmayan CRL'ler.

-crl_hold talimat
Bu, CRL iptal nedeni kodunu şu şekilde ayarlar: sertifikaHold ve bekletme talimatı
için talimat bu bir OID olmalıdır. Herhangi bir OID yalnızca kullanılabilir olsa da
holdTalimatHiçbiri (kullanımı RFC2459 tarafından önerilmez)
holdTalimatÇağrı Veren or bekletTalimatReddet normalde kullanılacaktır.

-crl_uzlaşma zaman
Bu, iptal nedenini belirler anahtarUzlaşma ve uzlaşma zamanı zaman. zaman
GeneralizedTime biçiminde olmalıdır, yani YYYYAAGGHMMSSZ.

-crl_CA_uzlaşma zaman
Bu aynıdır crl_uzlaşma iptal nedeninin ayarlanması dışında
CAÖdün verme.

-crlext'ler Bölüm
dahil edilecek CRL uzantılarını içeren yapılandırma dosyasının bölümü. CRL yoksa
uzantı bölümü mevcutsa, CRL uzantı bölümü varsa bir V1 CRL oluşturulur.
mevcut (boş olsa bile) o zaman bir V2 CRL oluşturulur. Belirtilen CRL uzantıları
CRL uzantılarıdır ve değil CRL giriş uzantıları. Unutulmamalıdır ki, bazı
yazılım (örneğin Netscape) V2 CRL'leri işleyemez. Görmek x509v3_config(5) kılavuz sayfası
uzantı bölümü formatının ayrıntıları için.

YAPILANDIRMA DOSYA SEÇENEKLER

için seçenekleri içeren yapılandırma dosyasının bölümü ca aşağıdaki gibi bulunur:
the -tatlı patates komut satırı seçeneği kullanılır, ardından kullanılacak bölümü adlandırır. Aksi takdirde
kullanılacak bölümün adı belirtilmelidir. default_ca seçeneği ca bölümünde
yapılandırma dosyası (veya yapılandırma dosyasının varsayılan bölümünde). dışında
default_ca, aşağıdaki seçenekler doğrudan ca Bölüm:
RANDFILE koru
msie_hack Şunlar dışında: RANDEVU, bu muhtemelen bir hatadır ve gelecekte değişebilir
bültenleri.

Yapılandırma dosyası seçeneklerinin çoğu, komut satırı seçenekleriyle aynıdır. Nerede
yapılandırma dosyasında seçenek var ve komut satırı komut satırı değeri
kullanılmış. Bir seçeneğin zorunlu olarak tanımlandığı durumlarda,
yapılandırma dosyası veya kullanılan komut satırı eşdeğeri (varsa).

oid_file
Bu, ek içeren bir dosyayı belirtir NESNE TANIMLAYICILAR. Dosyanın her satırı
nesne tanımlayıcısının sayısal biçiminden ve ardından beyaz boşluktan oluşmalıdır
ardından kısa ad, ardından beyaz boşluk ve son olarak uzun ad.

oid_section
Bu, yapılandırma dosyasında fazladan nesne içeren bir bölümü belirtir.
tanımlayıcılar. Her satır, nesne tanımlayıcısının kısa adından oluşmalıdır.
ardından = ve sayısal form. Bu durumda kısa ve uzun isimler aynıdır.
seçeneği kullanılır.

new_certs_dir
aynı şekilde -outdir komut satırı seçeneği. Yeni dizinin bulunduğu dizini belirtir.
sertifikalar yerleştirilecektir. Zorunlu.

sertifika
aynı -sertifika. CA sertifikasını içeren dosyayı verir. Zorunlu.

Özel anahtar
aynı -Anahtar dosya seçenek. CA özel anahtarını içeren dosya. Zorunlu.

RANDEVU
rasgele sayı tohum bilgilerini okumak ve yazmak için kullanılan bir dosya veya bir EGD soketi (bkz.
RAND_egd(3)).

default_days
aynı şekilde -günler seçenek. Bir sertifikanın onaylanacağı gün sayısı.

default_startdate
aynı şekilde -Başlangıç ​​tarihi seçenek. Bir sertifikanın onaylanacağı başlangıç ​​tarihi. değilse
kullanılan geçerli saati ayarlayın.

default_enddate
aynı şekilde -bitiş tarihi seçenek. Bu seçenek veya default_days (veya komut
hat eşdeğerleri) bulunmalıdır.

default_crl_hours default_crl_days
aynı şekilde -crlsaat ve -crldays seçenekler. Bunlar yalnızca hiçbiri kullanılmadığında kullanılacaktır.
komut satırı seçeneği mevcut. oluşturmak için bunlardan en az birinin mevcut olması gerekir.
SİL.

default_md
aynı şekilde -md seçenek. Kullanılacak mesaj özeti. Zorunlu.

veritabanı
kullanılacak metin veritabanı dosyası. Zorunlu. Bu dosya başlangıçta mevcut olmalıdır
boş olacak.

benzersiz_konu
eğer değer Evet verildiğinde, veritabanındaki geçerli sertifika girişlerinin sahip olması gerekir.
benzersiz konular eğer değer yok hayır verildiğinde, birkaç geçerli sertifika girişi olabilir
tamamen aynı konu. Varsayılan değer Evet, eskilerle uyumlu olması için (ön
0.9.8) OpenSSL sürümleri. Ancak, CA sertifikası geçişini kolaylaştırmak için
değeri kullanmanız önerilir yok hayırile birleştirilirse, özellikle -kendi kendine imza komuta
satır seçeneği.

seri
hex'te kullanılacak bir sonraki seri numarasını içeren bir metin dosyası. Zorunlu. Bu dosya
mevcut olmalı ve geçerli bir seri numarası içermelidir.

crlnumara
hex'te kullanılacak bir sonraki CRL numarasını içeren bir metin dosyası. crl numarası olacak
yalnızca bu dosya varsa CRL'lere eklenir. Bu dosya mevcutsa,
geçerli bir CRL numarası içerir.

x509_uzantıları
aynı -uzantılar.

crl_uzantıları
aynı -crlext'ler.

korumak
aynı -koruDN

e-posta_in_dn
aynı -noemailDN. E-POSTA alanının DN'den kaldırılmasını istiyorsanız
sertifika bunu basitçe 'hayır' olarak ayarlayın. Mevcut değilse, varsayılan
EMAIL, sertifikanın DN'sinde dosyalandı.

msie_hack
aynı -msie_hack

politika
aynı -politika. Zorunlu. Bkz. POLİTİKA FORMAT daha fazla bilgi için bölüm.

name_opt, cert_opt
bu seçenekler, sertifika ayrıntılarını sorarken kullanılan biçime izin verir.
Kullanıcının imzalamayı onaylaması için tarafından desteklenen tüm seçenekler x509 kamu hizmetleri -nameopt ve
-sertifika dışında anahtarlar burada kullanılabilir. no_signname ve no_sigdump vardır
kalıcı olarak ayarlanır ve devre dışı bırakılamaz (bunun nedeni sertifika imzasının
sertifika bu noktada imzalanmadığından görüntülenemiyor).

Kolaylık sağlamak için değerler ca_default makul bir üretmek için her ikisi tarafından kabul edilir
çıktı.

Hiçbir seçenek yoksa, OpenSSL'nin önceki sürümlerinde kullanılan biçim kullanılır.
Eski formatın kullanımı şiddetle cesareti kırıldı çünkü yalnızca alanları gösteriyor
belirtilen politika bölümü, çok karakterli dize türlerini yanlış işler ve
uzantıları görüntüleyin.

kopya_uzantıları
sertifika isteklerindeki uzantıların nasıl ele alınacağını belirler. olarak ayarlanırsa Yok
veya bu seçenek mevcut değilse, uzantılar yoksayılır ve
sertifika. olarak ayarlanırsa kopya sonra istekte mevcut olmayan herhangi bir uzantı
zaten mevcut olanlar sertifikaya kopyalanır. olarak ayarlanırsa hepsini kopyala sonra tüm uzantılar
istekte sertifikaya kopyalanır: uzantı zaten mevcutsa
önce sertifika silinir. Bkz. UYARILAR Bunu kullanmadan önce bölüm
seçeneği.

Bu seçeneğin ana kullanımı, bir sertifika talebinin aşağıdakiler için değerler sağlamasına izin vermektir.
konuAltName gibi belirli uzantılar.

POLİTİKA FORMAT

Politika bölümü, sertifika DN alanlarına karşılık gelen bir dizi değişkenden oluşur.
Değer "eşleşiyor" ise, alan değeri CA'daki aynı alanla eşleşmelidir.
sertifika. Değer "sağlanır" ise, mevcut olmalıdır. değer ise
"isteğe bağlı" o zaman mevcut olabilir. Politika bölümünde belirtilmeyen tüm alanlar
sessizce silindi, aksi takdirde -koruDN seçeneği ayarlanmıştır ancak bu daha çok bir
amaçlanan davranıştan daha tuhaf.

SPKAC FORMAT

giriş -spkac komut satırı seçeneği, Netscape imzalı bir ortak anahtar ve sorgulamadır.
Bu genellikle KEYGEN yeni bir özel anahtar oluşturmak için bir HTML formunda etiketleyin.
Bununla birlikte, aşağıdakileri kullanarak SPKAC'ler oluşturmak mümkündür. spkac Yarar.

Dosya, SPKAC değerine ayarlanmış SPKAC değişkenini ve ayrıca
ad değeri çiftleri olarak gerekli DN bileşenleri. Aynı bileşeni eklemeniz gerekiyorsa
iki kez önüne bir sayı ve bir '.' gelebilir.

SPKAC formatı işlenirken, çıktı ise DER'dir. -dışarı bayrak kullanılır, ancak PEM formatı
stdout'a gönderiyorsanız veya -outdir bayrak kullanılır.

ÖRNEKLER

Not: Bu örnekler, ca dizin yapısı zaten kurulmuş ve
ilgili dosyalar zaten var. Bu genellikle bir CA sertifikası oluşturmayı ve özel
ile anahtar req, bir seri numarası dosyası ve boş bir dizin dosyası ve bunları
ilgili dizinler.

DemoCA, demoCA/private ve dizinlerinin altındaki örnek yapılandırma dosyasını kullanmak için
demoCA/newcerts oluşturulacaktır. CA sertifikası demoCA/cacert.pem'e kopyalanacaktır.
ve demoCA/private/cakey.pem için özel anahtarı. Bir dosya demoCA/seri oluşturulur
örneğin "01" ve boş dizin dosyası demoCA/index.txt içerir.

Bir sertifika isteği imzalayın:

openssl ca -in req.pem -out newcert.pem

CA uzantılarını kullanarak bir sertifika isteği imzalayın:

openssl ca -in req.pem -uzantıları v3_ca -out newcert.pem

CRL oluştur

openssl ca -gencrl -çıkış crl.pem

Birkaç isteği imzalayın:

openssl ca -infiles req1.pem req2.pem req3.pem

Bir Netscape SPKAC'ı onaylayın:

openssl ca -spkac spkac.txt

Örnek bir SPKAC dosyası (SPKAC satırı netlik için kısaltılmıştır):

SPKAC=MIG0MGAwXDANBgkqhkiG9w0BAQEFAANLADBIAkEAn7PDhCeV/xIxUg8V70YRxK2A5
CN=Steve Testi
e-postaAdresi=[e-posta korumalı]
0.OU=OpenSSL Grubu
1.OU=Başka Bir Grup

İlgili bölümleri içeren örnek bir yapılandırma dosyası ca:

[ CA ]
default_ca = CA_default # Varsayılan ca bölümü

[ CA_varsayılan ]

dizin = ./demoCA # üst dizin
veritabanı = $dir/index.txt # dizin dosyası.
new_certs_dir = $dir/newcerts # yeni sertifikalar dizini

sertifika = $dir/cacert.pem # CA sertifikası
seri = $dir/seri # seri dosya yok
private_key = $dir/private/cakey.pem# CA özel anahtarı
RANDFILE = $dir/private/.rand # rastgele sayı dosyası

default_days = 365 # ne kadar süreyle sertifikalandırılacağı
default_crl_days= 30 # bir sonraki CRL'ye ne kadar zaman kaldı
default_md = md5 # md kullanılacak

politika = politika_any # varsayılan politika
email_in_dn = hayır # E-postayı sertifika DN'sine ekleme

name_opt = ca_default # Konu adı görüntüleme seçeneği
cert_opt = ca_default # Sertifika görüntüleme seçeneği
copy_extensions = yok # İstekten uzantıları kopyalama

[ politika_any ]
countryName = sağlanan
stateOrProvinceName = isteğe bağlı
organizasyonAdı = isteğe bağlı
organizasyonBirimiAdı = isteğe bağlı
commonName = sağlanan
emailAddress = isteğe bağlı

onworks.net hizmetlerini kullanarak cassl'yi çevrimiçi kullanın