Openssl howto one: Unterschied zwischen den Versionen

Aus xinux.net
Zur Navigation springen Zur Suche springen
Zeile 3: Zeile 3:
 
*[[CA signiert den Request]]
 
*[[CA signiert den Request]]
 
*[[Anzeigen und überprüfen von Zertifikaten]]
 
*[[Anzeigen und überprüfen von Zertifikaten]]
−
 
+
*[[Umwandeln von Zertifikaten]]
 
   
 
   
  
Zeile 43: Zeile 43:
 
  openssl x509  -inform der -in cert.cer -out cert.pem
 
  openssl x509  -inform der -in cert.cer -out cert.pem
  
−
 
−
==Umwandlung von pem in PKCS12 Format==
 
−
===Mit CA certifikat===
 
−
openssl pkcs12 -export -in cert.pem -inkey key.pem -certfile ca.crt -out cred.p12
 
−
===Ohne CA certifikat===
 
−
openssl pkcs12 -export -in cert.pem -inkey key.pem -out cred.p12
 
−
 
−
 
−
===openssl P12->PEM===
 
−
 
−
Um Windows Zertifikate unter Linux/openssl verwenden zu können, müssen aus der keyfile.p12-Datei die x509 Zertifikate exportiert werden.
 
−
 
−
openssl pkcs12 -clcerts -nokeys -out cert.pem -in cert.p12
 
−
openssl pkcs12 -cacerts -nokeys -out root.pem -in cert.p12
 
−
openssl pkcs12 -nocerts -out private-key.pem  -in cert.p12
 
−
 
−
===Jetzt können diese wieder verwendet werden.===
 
−
 
−
openssl x509 -text -noout -md5 -in private-key.pem
 
−
openssl x509 -text -noout -md5 -in root.pem
 
−
openssl x509 -text -noout -md5 -in cert.pem
 
−
 
−
===pkcs12 Container entpacken===
 
−
====Ca.crt====
 
−
root@hutze:~/p12# openssl pkcs12  -cacerts -nomacver -nokeys -in <pkcs12-datei> -out <ca.crt>
 
−
 
−
====Client.crt====
 
−
root@hutze:~/p12# openssl pkcs12 -clcerts -nomacver -nokeys -in <pkcs12-datei> -out <client.crt>
 
−
====Client.key====
 
−
 
−
root@hutze:~/p12# openssl pkcs12  -nocerts -nodes -nomacver -in <pkcs12-datei> -out <client.key>
 
−
 
−
====Script====
 
−
#!/bin/bash
 
−
if test "$#" -eq "2"
 
−
then 
 
−
  openssl pkcs12 -in $1 -cacerts -nomacver -nokeys -out ca.crt    -password pass:"$2"
 
−
  openssl pkcs12 -in $1 -clcerts -nomacver -nokeys -out client.crt -password pass:"$2"
 
−
  openssl pkcs12 -in $1 -nocerts -nodes -nomacver -out  client.key -password pass:"$2"
 
−
else
 
−
  echo "$0 <dat.p12> <password>"
 
−
fi
 
−
 
−
=reqext in $CLIENT.cnf=
 
−
[ server-ext ]
 
−
extendedKeyUsage = serverAuth, 1.3.6.1.5.5.8.2.2
 
−
subjectAltName = DNS:huey.xinux.org
 
−
==request==
 
−
openssl req -new -key ${CLIENT}.key -out ${CLIENT}.csr -config ${CLIENT}.cnf -reqexts  server-ext
 
−
 
−
==show==
 
−
openssl req -text -noout -in huey.xinux.org.csr | grep -A 4 "Requested Extensions"
 
−
<pre>
 
−
        Requested Extensions:
 
−
            X509v3 Extended Key Usage:
 
−
                TLS Web Server Authentication
 
−
            X509v3 Subject Alternative Name:
 
−
                DNS:huey.xinux.org
 
−
 
−
</pre>
 
−
 
−
==sign==
 
−
openssl x509 -CA ca.crt -CAkey ca.key -CAserial serial  -sha1 -in $COMMON_NAME.csr -req -out $COMMON_NAME.crt -extfile $COMMON_NAME.cnf -extensions server-ext
 
−
==show==
 
−
openssl x509 -noout -text -in huey.xinux.org.crt
 
−
<pre>
 
−
openssl x509 -noout -text -in huey.xinux.org.crt  | grep -A 4 "X509v3 extensions"
 
−
        X509v3 extensions:
 
−
            X509v3 Extended Key Usage:
 
−
                TLS Web Server Authentication
 
−
            X509v3 Subject Alternative Name:
 
−
                DNS:huey.xinux.org
 
−
 
−
</pre>
 
  
 
=experimental=
 
=experimental=

Version vom 4. Juli 2021, 16:23 Uhr



Erstellen einer CRL (Certificate Revoke Liste):

openssl ca -config <Konfigurationsdatei> -gencrl -out <CRL-file>

Umwandeln der CRL ins DER-Format (Notwendig zum Importieren):

openssl crl -inform PEM -outform DER -in <CRL-File> -out <CRL-File im DER-Format>

Zurückrufen (revoke) eines Zertifikates:

openssl ca -config <Konfigurationsdatei> -revoke <Zertifikat>

Request signieren:

openssl ca -notext -in request.req -out signiert.pem


Aufbau einer SSL Verbindung mit einem Server:

openssl s_client -connect <server>:<Port>


Starten eines SSL-Servers

openssl s_server -CAfile <Zertifikat> -key <Privat key der CA> -cert <Zertifikat des Servers> -accept <Port> -WWW

-WWW : Emuliert einen einfachen Web-server auf angeegenen Port

P12 = PFX

Umwandeln von DER -> PEM

openssl x509  -inform der -in cert.cer -out cert.pem


experimental

openssl.cnf 

copy_extensions = copy

.... zertifzieren mit ca anstatt x509 ... 

openssl ca  -passin env:PASS  -cert ca.crt -days 3650 -keyfile ca.key  -in $COMMON_NAME.csr  -out $COMMON_NAME.crt

openssl ca  -passin env:PASS  -cert ca.crt -days 3650 -keyfile ca.key  -batch -in $COMMON_NAME.csr  -out $COMMON_NAME.crt

....


Links

Abgerufen von „https://xinux.net/index.php?title=Openssl_howto_one&oldid=25423“