Desejo configurar o OpenSSL de modo que, ao executar openssl req -newpara gerar uma nova solicitação de assinatura de certificado, seja solicitado que qualquer nome de assunto alternativo seja incluído no CSR.
Eu adicionei esta linha à [req_attributes]seção do meu openssl.cnf:
subjectAltName = Alternative subject names
Isso tem o efeito desejado que agora são solicitadas SANs ao gerar um CSR:
$ openssl req -new -out test.csr -key ./test.key <<<
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [US]:
State or Province Name (full name) [New York]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Example Co]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:test.example.com
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
Alternative subject names []:DNS:alt1.example.com
No exemplo acima, entrei DNS:alt1.example.comquando solicitado pelas SANs.
O problema é que o CSR resultante não parece estar bem formatado:
$ openssl req -text -in ./test.csr
Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=US, ST=New York, O=The Banes, CN=test.thebanes.org
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
[...]
Exponent: 65537 (0x10001)
Attributes:
X509v3 Subject Alternative Name:unable to print attribute
O OpenSSL reclama que não consegue imprimir o valor do atributo Subject Alternative Name. A partir de exemplos on-line (onde as pessoas codificam as SANs em seu openssl.cnf, em vez de solicitá-las de maneira interativa, como eu quero), espero ver isso:
Attributes:
X509v3 Subject Alternative Name:
DNS:alt1.example.com
Então, como posso gerar um CSR bem formado com SANs solicitadas interativamente?
fonte
openssl- você precisaria de um script que altere seu arquivo de configuração para isso. :( PS Uma solução para fazer isso de uma maneira não-interativa comprovada está aqui: stackoverflow.com/a/9158662/2693875Respostas:
Eu lutei com essa pequena pepita ... que PITA!
Minha solução: movi o arquivo openssl.cnf para um arquivo Template Toolkit, deixando apenas a peça sans como peça de substituição e envolvi um script perl em volta dela.
O script perl solicita as entradas das SANs, depois as insere no modelo, salva o modelo em um arquivo temporário e, em seguida, chamo o openssl req com a opção -config apontada para o arquivo temporário. descarte o arquivo temporário após a geração do CSR.
Você também pode querer consultar: http://www.openssl.org/docs/apps/config.html
Outras pessoas substituem $ ENV antes da execução e encerram a chamada para openssl req em perl ou shell e realizam a mesma coisa de uma maneira um pouco mais eficiente: http://blog.loftninjas.org/2008/11/11/ configurando-ssl-orders-with-subjectaltname-with-openssl /
fonte
Também estou procurando uma solução. E é isso que você deseja:
E você pode obter isso solicitando nomes alternativos de assuntos :)
fonte
DNS:my.dns.com, DNS:my.otherdns.orgopensslwtf ! Você também deve fornecer a SAN aoCAcomando como-extensions <string>, ou-extfile <file>. mta.openssl.org/pipermail/openssl-users/2016-January/…Este "subjectAltName" não deve estar nesta seção: attribute = req_attributes. Mas em uma seção para req_extensions = (chame como quiser).
E não há necessidade de todas as BS como
Basta digitar o que você quer, quantos você deseja:
(O último faz acesso interno como " https://192.168.1.2 " sem aviso prévio)
Então, algo como:
Felicidades!
fonte