如何在 Mac OS X 服务器上安装替换 SSL 证书？

Question

mimo

Asked: 2020-08-19 05:40:56 +0800 CST2020-08-19 05:40:56 +0800 CST 2020-08-19 05:40:56 +0800 CST

当中间 CA 妨碍时，根据 CRL 检查 SSL 证书

772

我试图了解如何检查 SSL 证书，并在证书链如下时考虑任何相关的已发布 CRL：

根 CA（没有 CRL 分发点）
- 中间 CA（通告由根 CA 签名的 CRL 分发点）
  - 网站证书（宣传由中间 CA 签署的 CRL DP）

因此，需要检查两个 CRL 列表。

碰巧BBC的网站配置如上所示，我们以此为例。我使用的文件在这个问题的末尾。

当我尝试在不检查 CRL 的情况下验证证书时，没关系：

$ openssl verify -CAfile intermediate_fullchain.pem bbc.pem
bbc.pem: OK

当我尝试从证书中给出的 CRL URL 检查 CRL 时，我收到一个错误：

$ openssl verify -crl_download -crl_check_all -CAfile intermediate_fullchain.pem bbc.pem
Error loading CRL from http://crl.globalsign.com/gsrsaovsslca2018.crl
C = GB, ST = London, L = London, O = British Broadcasting Corporation, CN = www.bbc.com
error 3 at 0 depth lookup: unable to get certificate CRL
error bbc.pem: verification failed

这对我来说很有意义，因为 crl 文件是 DER 格式，而 openssl 需要 PEM 格式，所以让我们下载 CRL 并将它们转换为 PEM。可以使用以下方法找到 CRL URL：

$ openssl x509 -in bbc.pem -text -noout
$ openssl x509 -in intermediate_fullchain.pem -text -noout

然后，我做了：

$ wget -O intermediate_crl.der http://crl.globalsign.com/gsrsaovsslca2018.crl
$ openssl crl -inform DER -in intermediate_crl.der -outform PEM -out intermediate_crl.pem
$ wget -O root_crl.der http://crl.globalsign.com/root-r3.crl
$ openssl crl -inform DER -in root_crl.der -outform PEM -out root_crl.pem

现在，我认为我拥有验证证书所需的一切：

$ openssl verify -crl_check_all -CRLfile intermediate_crl.pem -CRLfile root_crl.pem -CAfile intermediate_fullchain.pem bbc.pem
OU = GlobalSign Root CA - R3, O = GlobalSign, CN = GlobalSign
error 3 at 2 depth lookup: unable to get certificate CRL
error bbc.pem: verification failed

但不是！验证仍然失败。我的问题：

上面命令中的问题到底是什么？这是否意味着 OpenSSL 期望根 CA 具有 CRL？
根据 CA 链中公布的两个 CRL 检查证书的正确方法是什么？

文件

bbc.pem：网络服务器证书：

intermediate_fullchain.pem: 中间 CA 证书，带有指向根 CA 的链：

1 个回答

Voted

garethTheRed · Answer 1 · 2020-08-19T07:12:30+08:00

该intermediate_fullchain.pem文件不包含自签名根。我必须从 GlobalSign下载正确的文件，尽管您的机器可能已经安装了它，在这种情况下，您只需从上述链文件中删除错误的中间文件。

您可以通过以下方式查看您的中间体：

openssl crl2pkcs7 -nocrl -certfile intermediate_chain.pem | openssl pkcs7 -print_certs -noout

这使：

subject=/C=BE/O=GlobalSign nv-sa/CN=GlobalSign RSA OV SSL CA 2018
issuer=/OU=GlobalSign Root CA - R3/O=GlobalSign/CN=GlobalSign

subject=/OU=GlobalSign Root CA - R3/O=GlobalSign/CN=GlobalSign
issuer=/C=BE/O=GlobalSign nv-sa/OU=Root CA/CN=GlobalSign Root CA

您需要将链中的第二个证书替换为 Root CA 证书，或者如果您的系统安装了 Root，则将其删除。正是这个导致openssl verify找不到 CRL 并因此给您错误。

您可以使用主题和授权密钥标识符扩展来确认链。证书的授权密钥标识符 (AKI) 应该是其签名者 (CA) 的主题密钥标识符 (SKI)。所以顶级BBC证书的AKI就是中间CAF8:EF:7F:F2:CD:78:67:A8:DE:6F:8F:24:8D:88:F1:87:03:02:B3:EB的SKI。C=BE, O=GlobalSign nv-sa, CN=GlobalSign RSA OV SSL CA 2018该 CA 证书的 AKI 是上面第一段中链接的根 CA8F:F0:4B:7F:A8:2E:45:24:AE:4D:50:FA:63:9A:8B:DE:E2:DD:1B:BC的 SKI 。OU=GlobalSign Root CA - R3, O=GlobalSign, CN=GlobalSign

但是，为了混淆问题，您文件中的第二个中间证书也有一个 SKI 和 Subject 与上面链接的根相同，但不是自签名的。该证书的 AKI 是您的信任锚存储中可能拥有的另一个根 CA 证书的 AKI（我的旧测试系统没有它，因此它对我来说失败了）。在不下载链接的根 CA 证书的情况下，您的路径因此有 4 个证书长（1 个最终实体、2 个中间体和一个根），因此需要三个 CRL - 根和一个由每个中间体颁发的证书。

使用正确的链接根，我得到：

openssl verify -crl_check_all -CRLfile all_crl.pem -CAfile intermediate_fullchain.pem bbc.pem
bbc.pem: OK

如果您要找到第三个 CRL，那么您应该得到相同的结果。

当中间 CA 妨碍时，根据 CRL 检查 SSL 证书

文件

新安装后 postgres 的默认超级用户用户名/密码是什么？

SFTP 使用什么端口？

命令行列出 Windows Active Directory 组中的用户？

什么是 Pem 文件，它与其他 OpenSSL 生成的密钥文件格式有何不同？

如何确定bash变量是否为空？

当中间 CA 妨碍时，根据 CRL 检查 SSL 证书

文件

1 个回答

相关问题