ssl - 将 CRL(证书吊销列表)url 添加到证书

Question

我正在使用以下命令生成根 CA:

openssl genrsa -aes256 -out ca.key.pem -passout pass:KeyPassword 4096
openssl req -key ca.key.pem -passin pass:Password -new -x509 -days 365 -sha256 -out ca.root.pem

然后我使用以下命令创建签名用户证书(不使用中间证书):

1) 为用户生成 key

openssl req -newkey rsa:2048 -nodes -keyout keyname.pem -days 365

2) 创建客户服务代表

openssl req -out keyname.csr -key keyname.pem -new -days 365

3) 使用根证书签署 key

openssl ca -batch -create_serial -config openssl.cnf -cert ca.root.pem -keyfile ca.key.pem -passin pass:KeyFinalPassword -in keyname.csr -out certname.pem

4) 生成.p12文件

openssl pkcs12 -name username -inkey keyname.pem -in certname.pem -export -out username.p12 -password pass:password

注意 - 我添加了 crlDistributionPoints = URI: http://localhost:8000/crl/distripoint.crl.pem到 openssl.cnf 以及以下选项:

# For certificate revocation lists.
# crlDistributionPoints = URI:http://HOSTNAME/crl/distripoint.crl.pem
crlDistributionPoints = URI:http://localhost:8000/crl/distripoint.crl.pem
crlnumber         = $dir/config/crl/crlnumber
crl               = $dir/config/crl/ca.crl.pem
crl_extensions    = crl_ext
default_crl_days  = 60

注意 - 我使用 this tutorial 生成了 distribution.crl.pem

Answer 1

必须将 crlDistributionPoints 参数添加到您正在使用的 CA 的 x509_extensions 部分。 (在您的示例中，您似乎已将此参数添加到 CA 部分本身。)

openssl ca 使用带有这些行的 openssl.cnf 将 CRL Distribution Points 扩展添加到颁发的证书中:

[ ca ]
default_ca      = CA_default

[ CA_default ]
(...other parameters...)
x509_extensions = added-extensions

[ added-extensions ]
crlDistributionPoints = URI:http://localhost:8000/crl/distripoint.crl.pem

您可能希望使用自定义的 openssl.cnf 而不是 req 和 ca 命令的默认设置；默认包含许多示例条目，它们可能无法满足您的要求。这里是examples of minimal openssl.cnf .

(旁注:您生成 .p12 文件的最后一条命令与问题无关；它仅以另一种格式打包已创建的证书。)