ssl - 如何创建用于测试的旧版(v1 或 v2)X.509 证书

Question

我必须针对新代码编写测试用例，检查以确保 X.509 证书是版本 3，但我需要一些遗留 (v1/v2) 证书在测试期间使用以验证代码是否有效。

我正在尝试在 Mac 上使用 openssl 生成证书。我得到的只是 v3 证书。

我已经通读了 openssl 联机帮助页，但没有看到任何有关创建 v1 或 v2 证书的内容。

除了在旧硬件上设置旧操作系统和安装旧版本的 openssl 之外，是否有生成旧证书或将 v3 证书转换为 v1/v2 的想法？

Answer 1

版本 1 和版本 3 证书之间的主要区别在于版本 3 中添加了证书扩展。

看看 OpenSSL ca command documentation . -extensions section 的文档选项说明:

the section of the configuration file containing certificate extensions to be added when a certificate is issued (defaults to x509_extensions unless the -extfile option is used). If no extension section is present then, a V1 certificate is created. If the extension section is present (even if it is empty), then a V3 certificate is created. See the:w x509v3_config(5) manual page for details of the extension section format.

要创建版本 1 证书，请将您的 openssl 命令指向一个没有扩展部分的配置文件。删除该部分的快速方法是注释掉或删除阅读 x509_extensions = <...> 的行.

然后您应该能够通过运行常用命令来生成版本 1 证书。例如:

openssl genrsa -out ca.key 1024
openssl req -new -key ca.key -out ca.csr -config /path/to/config-file
openssl x509 -req -days 365 -in ca.csr -signkey ca.key -out ca.crt