openssl - 如何使用 OpenSSL 生成包括通用(任意)扩展的证书请求？

Question

我已经在网上搜索了几个小时，但找不到方法来做到这一点。我已经能够使用以下命令创建自签名 CA 证书:

openssl genrsa -out ca.key 1024
openssl req -new -x509 -extensions v3_ca -key ca.key -out ca.crt -days 3650

现在我想创建新证书并使用我的 CA 对其进行签名。在新证书中，我想要有自己的扩展名 - 我们可以将其称为“abc”，以具有整​​数值“1”。我尝试了以下命令:

openssl req -new -nodes -newkey rsa -extensions abc -keyout mycert.key -out mycsr.csr -days 365 -config ./openssl.cnf

使用 openssl.cnf 文件时，仅包含以下内容:

[ abc ]

abc = ASN1:INTEGER:1

我收到以下错误

Error Loading extension section abc
3073632456:error:0D06407A:asn1 encoding routines:a2d_ASN1_OBJECT:first num too large:a_object.c:109:
3073632456:error:22074073:X509 V3 routines:V3_GENERIC_EXTENSION:extension name error:v3_conf.c:271:name=abc

我在 SO 上找到了 this 模糊相关的 topis，但它根本没有帮助......

问题出在哪里？我该如何纠正自己？任何想法表示赞赏。

Answer 1

您的错误位于参数 abc extension name error:v3_conf.c:271:name=abc 中，而不是 [abc] 部分。你不能写 abc = ...如果您在配置中看到类似这样的内容 policyConstraints = ...这意味着关键字policyConstraints有自己的OID(2.5.29.36参见http://www.oid-info.com/get/2.5.29.36)并且它在库中预编译。那么你能做什么1. 尝试找到一个适合您的现有 OID 并写入它们而不是 abc。2.定义自己的OID(只需替换1.2.3.4而不是abc)，但这样的证书不能在其他系统中使用。