Я пытаюсь включить аутентификацию сертификата клиента с помощью lighttpd, используя мои собственные внутренние ЦС Windows. Отказ от ответственности: я все еще новичок в PKI: D
У меня есть автономный корневой ЦС и подчиненный ЦС в моей домашней лаборатории. Я уже импортировал корневой ЦС в Firefox под доверенным ЦС. Для сертификата клиента я использовал openssl для создания CSR, который я подписал с моим подчиненным ЦС, используя шаблон с включенной аутентификацией клиента. Этот сертификат клиента также импортируется в Firefox как файл pfx. Я также настроил lighttpd следующим образом:
ssl.pemfile = "/etc/lighttpd/certs/lighttpd.pem"
ssl.ca-file = "/etc/lighttpd/certs/ca.cer"
ssl.verifyclient.activate = "enable"
ssl.verifyclient.enforce = "enable"
ssl.verifyclient.username = "SSL_CLIENT_S_DN_CN"
Я получаю следующую ошибку:
Ошибка Firefox:
Peer does not recognize and trust the CA that issued your certificate.
Error code: SSL_ERROR_UNKNOWN_CA_ALERT
Ошибка Lighttpd:
SSL: 1 error:14089086:SSL routines:ssl3_get_client_certificate:certificate verify failed
SSL: 1 -1 error:140E0197:SSL routines:SSL_shutdown:shutdown while in ini
Другое:
Acceptable client certificate CA names
DC = org, DC = homelab, CN = homelab-V-2019-ICA-CA
Client Certificate Types: RSA sign, DSA sign, ECDSA sign
CA.cer
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
5a:00:00:00:02:47:18:65:49:6e:51:2a:56:00:00:00:00:00:02
Signature Algorithm: sha256WithRSAEncryption
Issuer: CN=V-2019-RCA-CA
Validity
Not Before: Nov 24 06:00:19 2020 GMT
Not After : Nov 24 06:10:19 2021 GMT
Subject: DC=org, DC=homelab, CN=homelab-V-2019-ICA-CA
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Сертификат клиента
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
56:00:00:00:23:c0:0e:f2:75:d8:de:ef:65:00:00:00:00:00:23
Signature Algorithm: sha256WithRSAEncryption
Issuer: DC = org, DC = homelab, CN = homelab-V-2019-ICA-CA
Validity
Not Before: Dec 1 23:54:33 2020 GMT
Not After : Nov 24 06:10:19 2021 GMT
Subject: C = US, ST = Rhode Island, L = Providence, O = HOMELAB, OU = HOMELAB, CN = homelab-V-2019-ICA-CA.homelab.org
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (2048 bit)
...
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
1.3.6.1.4.1.311.21.10:
Нет уверен, куда идти отсюда. Любая помощь или статьи будут очень признательны. :)
Я понял, в чем проблема, если кто-нибудь столкнется с этим. Это вроде очевидно теперь, когда я думаю об этом. Я использовал сертификат подчиненного центра сертификации, который я скачал со страницы регистрации ADCS в Интернете. Вместо этого я использовал сертификат корневого ЦС, который я экспортируемые из подчиненного ЦС сертификата, нажав кнопку Путь сертификации -> Просмотр сертификата (On Root CA) -> Подробнее -> Копировать в файл -> Base-64 кодированный X.509). Я использовал это для этой линии.
ssl.ca-file = "/etc/lighttpd/certs/ca.cer"
Я импортировал сертификат клиента в Firefox, и он отлично работает.