openssl продолжает создавать сертификат v1 вместо v3

Ваш центр сертификации не добавляет расширения, запрошенные в CSR, в подписанный сертификат. Когда OpenSSL создает сертификат без расширения, он помечает его как сертификат версии 1.

Обратите внимание на параметр copy_extensions , который следует поместить в раздел, на который указывает default_ca вариант. В частности, установите для него значение копировать или копировать (предпочтительно первое). Это заставит openssl ca скопировать все запрошенные расширения из CSR в подписанный сертификат, а также пометить его как версию 3.

Вот пример, который должен работать:

Создайте центр сертификации:

Создайте файл конфигурации OpenSSL, назовите его root_create.cnf :

################ Req Section ################
# This is used by the `openssl req` command
# to create a certificate request

[ req ]

# Don't prompt for the DN, use configured values instead
# This saves having to type in your DN each time.

prompt             = no
string_mask        = default
distinguished_name = req_dn

# The size of the keys in bits:
default_bits       = 4096

# The extensions added when generating a CSR
#req_extensions     = req_ext

[ req_dn ]

countryName = CA
stateOrProvinceName = ON
localityName = Toronto
organizationName = Boss Insights
organizationalUnitName = CA
commonName = Boss Insights Certification Authority

[ req_ext ]

# Extensions added to the request

################ CA Section ################
# This is used with the 'openssl ca' command
# to sign a request

[ ca ]

default_ca = CA

[ CA ]

# Where OpenSSL stores information

dir             = .                             # Where everything is kept
certs           = $dir                          # Where the issued certs are kept
crldir          = $dir                          # Where the issued crl are kept

new_certs_dir   = $certs
database        = $dir/index
certificate     = $certs/rootcrt.pem
private_key     = $dir/rootprivkey.pem
crl             = $crldir/crl.pem   
serial          = $dir/serial.txt
RANDFILE        = $dir/.rand

# How OpenSSL will display certificate after signing
name_opt    = ca_default
cert_opt    = ca_default

# How long the CA certificate is valid for
default_days = 3650
# default_startdate  = 180517000000Z
# default_enddate    = 181231235959Z

# The message digest for self-signing the certificate
# sha1 or sha256 for best compatability, although most
# OpenSSL digest algorithm can be used.
# md4,md5,mdc2,rmd160,sha1,sha256
default_md = sha256

# Subjects don't have to be unique in this CA's database
unique_subject    = no
# What to do with CSR extensions
copy_extensions    = copy

# Rules on mandatory or optional DN components
policy      = simple_policy

# Extensions added while singing with the `openssl ca` command
x509_extensions = x509_ext

[ simple_policy ]
countryName             = optional
stateOrProvinceName     = optional
localityName            = optional
organizationName        = optional
organizationalUnitName  = optional
commonName              = optional
domainComponent         = optional
emailAddress            = optional
name                    = optional
surname                 = optional
givenName               = optional
dnQualifier             = optional

[ x509_ext ]

# These extensions are for a CA certificate

subjectKeyIdentifier    = hash
authorityKeyIdentifier  = keyid:always

basicConstraints            = critical, CA:TRUE
# basicConstraints          = critical, CA:TRUE, pathlen:1

keyUsage = critical, keyCertSign, cRLSign

Создайте два файла, требуемых OpenSSL при работе в качестве CA:

touch index
echo 01 > serial.txt

Создайте запрос сертификата CA с помощью (который использует ваш исходный rootCA.key ):

openssl req -new -key rootCA.key -out rootCA.req -nodes -config root_create.cnf

Самоподписать сертификат CA с помощью:

openssl ca -out rootCA.pem -keyfile rootCA.key -selfsign -config root_create.cnf  -in rootCA.req

Теперь у вас будет сертификат CA ( rootCA.pem ), который вы можете просмотреть с помощью:

openssl x509 -noout -text -in rootCA.pem

Сертификат ( rootCA.pem ) - это тот сертификат, который вам нужно распространить в хранилище доверенных якорей всех ваших доверяющих сторон (клиентов).

Это также сертификат и закрытый ключ, который вы будет использоваться для подписи сертификата вашего сервера (CSR).

Настройте центр сертификации:

Создайте еще один файл конфигурации OpenSSL для подписания CSR с именем root_sign.cn f :

# OpenSSL config for CA signing only (not for CA cert generation)

[ ca ]

default_ca = CA

[ CA ]

# Where OpenSSL stores information

dir             = .                             # Where everything is kept
certs           = $dir                          # Where the issued certs are kept
crldir          = $dir                          # Where the issued crl are kept

new_certs_dir   = $certs
database        = $dir/index

certificate     = $certs/rootCA.pem
private_key     = $dir/rootCA.key

crl             = $crldir/crl.pem   
serial          = $dir/serial.txt
RANDFILE        = $dir/.rand

# How OpenSSL will display certificate after signing
name_opt    = ca_default
cert_opt    = ca_default

# How long the certificate is valid for
default_days = 365
# default_startdate  = 180517000000Z
# default_enddate    = 181231235959Z

# The message digest for signing the certificate
# sha1 or sha256 for best compatability, although most
# OpenSSL digest algorithm can be used.
# md4,md5,mdc2,rmd160,sha1,sha256
default_md = sha256

# Subjects don't have to be unique in this CA's database
unique_subject    = no

# What to do with CSR extensions
copy_extensions    = copy

# Rules on mandatory or optional DN components
policy      = simple_policy

# Extensions added while singing with the `openssl ca` command
x509_extensions = x509_ext

[ simple_policy ]
countryName             = optional
stateOrProvinceName     = optional
localityName            = optional
organizationName        = optional
organizationalUnitName  = optional
commonName              = optional
domainComponent         = optional
emailAddress            = optional
name                    = optional
surname                 = optional
givenName               = optional
dnQualifier             = optional

[ x509_ext ]
#Default extensions
# These extensions are for an end-entity certificate

# Extensions added when using the `openssl ca` command.
# This section is pointed to by `x509_extensions` above.

# These will override any requested extensions in the CSR:

subjectKeyIdentifier    = hash
authorityKeyIdentifier  = keyid:always

keyUsage = critical, digitalSignature
extendedKeyUsage = serverAuth

Управляйте центром сертификации:

Подпишите свой CSR с помощью:

openssl ca -in BossInsight.req  -cert rootCA.pem -keyfile rootCA.key -out BossInsight.pem -config root_sign.cnf

Просмотрите свой новый сертификат с помощью:

openssl x509 -noout -text -in BossInsight.pem

Если вы все выполнили правильно, ваш сертификат будет версии 3 с альтернативой темы Расширения имен.

Вы можете повторить этот последний раздел для любых представленных вам CSR.

в качестве справки после исследования на случай, если кто-то ищет самозаверяющий сертификат.

1. создание ключа с помощью следующей команды (учитывайте пароль для защиты)

• #openssl genrsa -aes128 -out fd.key 2048

2. Создание запросов на подпись сертификата (CSR)

• #openssl req -new -key fd.key -out fd.csr

3. поместить информацию о расширении в отдельный текстовый файл. Я назову его fd.ext

• #touch fd.ext
• #nano fd.ext

добавьте следующую строку:

• subjectAltName = DNS:*.yourdomain.com, yourdomain.com

4. Затем при использовании команды x509 для выдачи сертификата обратитесь к файлу с ключом -extfile:

• #openssl x509 -req -days 365 -in fd.csr -signkey fd.key -out fd .crt -extfile fd.ext

Примечания

• для защиты ключа учтите вопрос пароля во время этой процедуры
• перед перезагрузкой apache2 инициируйте следующую команду
• #systemd-tty-ask-password-agent
• enter предыдущий пароль
• перезагрузить службу apache2

Спасибо автору Ivan Ristić https://www.feistyduck.com/books/openssl-cookbook/