关于【certificates】的问题- 第1页

Schmaehgrunza

Asked: 2024-02-29 08:28:32 +0800 CST

了解 PEM 文件并手动验证签名

5

我正在玩 RSA 来学习和理解。

我从浏览器获得了以下 PEM 文件（BASE 64）

Subject Name
CN (Common Name):   https-guide.de
Issuer Name
C (Country):    US
O (Organization):   Let's Encrypt
CN (Common Name):   R3
Issued Certificate
Version:    3
Serial Number:  04 6C E4 3D 65 68 23 50 83 74 28 5C 47 1A 7B 8C ED 61
Not Valid Before:   2024-02-10
Not Valid After:    2024-05-10
Certificate Fingerprints
SHA1:   0D 0D 1A 18 7D 9A 59 8E 40 5C 71 3B CF 46 14 E3 6B 5E B5 05
MD5:    9A AC AA 7E 7D 51 22 0E F0 DB 89 C8 67 A4 67 DF
Public Key Info
Key Algorithm:  RSA
Key Parameters: 05 00
Key Size:   2048
Key SHA1 Fingerprint:   29 A8 72 98 2E 6E 88 D0 F8 AB 0C C7 65 D4 56 95 94 2E F9 2E
Public Key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
Key Usage
Usages: Digital signature Key encipherment
Critical:   Yes
Extended Key Usage
Allowed Purposes:   Server Authentication Client Authentication
Critical:   No
Basic Constraints
Certificate Authority:  No
Max Path Length:    Unlimited
Critical:   Yes
Subject Key Identifier
Key Identifier: 43 DF 05 06 6D 35 6E 6C 87 00 ED 46 15 44 17 11 54 FF 57 70
Critical:   No
Extension
Identifier: 2.5.29.35
Value:  30 16 80 14 14 2E B3 17 B7 58 56 CB AE 50 09 40 E6 1F AF 9D 8B 14 C2 C6
Critical:   No
Extension
Identifier: 1.3.6.1.5.5.7.1.1
Value:  30 47 30 21 06 08 2B 06 01 05 05 07 30 01 86 15 68 74 74 70 3A 2F 2F 72 33 2E 6F 2E 6C 65 6E 63 72 2E 6F 72 67 30 22 06 08 2B 06 01 05 05 07 30 02 86 16 68 74 74 70 3A 2F 2F 72 33 2E 69 2E 6C 65 6E 63 72 2E 6F 72 67 2F
Critical:   No
Subject Alternative Names
DNS:    https-guide.de
DNS:    www.https-guide.de
Critical:   No
Extension
Identifier: 2.5.29.32
Value:  30 0A 30 08 06 06 67 81 0C 01 02 01
Critical:   No
Extension
Identifier: 1.3.6.1.4.1.11129.2.4.2
Value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
Critical:   No
Signature
Signature Algorithm:    1.2.840.113549.1.1.11
Signature Parameters:   05 00
Signature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

1）如何手动验证签名？
我知道发行者是“Let's Encrypt”
我从 PEM 文件链中获取了 Let's Encrypt 的公钥

#PUBLIC KEY
exponent: 65537
modulo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

我尝试使用简短的浏览器控制台 Javascript 手动验证签名

var modulo="BB:02:15:28:CC:F6:A0:94:D3:0F:12:EC:8D:55:92:C3:F8:82:F1:99:A6:7A:42:88:A7:5D:26:AA:B5:2B:B9:C5:4C:B1:AF:8E:6B:F9:75:C8:A3:D7:0F:47:94:14:55:35:57:8C:9E:A8:A2:39:19:F5:82:3C:42:A9:4E:6E:F5:3B:C3:2E:DB:8D:C0:B0:5C:F3:59:38:E7:ED:CF:69:F0:5A:0B:1B:BE:C0:94:24:25:87:FA:37:71:B3:13:E7:1C:AC:E1:9B:EF:DB:E4:3B:45:52:45:96:A9:C1:53:CE:34:C8:52:EE:B5:AE:ED:8F:DE:60:70:E2:A5:54:AB:B6:6D:0E:97:A5:40:34:6B:2B:D3:BC:66:EB:66:34:7C:FA:6B:8B:8F:57:29:99:F8:30:17:5D:BA:72:6F:FB:81:C5:AD:D2:86:58:3D:17:C7:E7:09:BB:F1:2B:F7:86:DC:C1:DA:71:5D:D4:46:E3:CC:AD:25:C1:88:BC:60:67:75:66:B3:F1:18:F7:A2:5C:E6:53:FF:3A:88:B6:47:A5:FF:13:18:EA:98:09:77:3F:9D:53:F9:CF:01:E5:F5:A6:70:17:14:AF:63:A4:FF:99:B3:93:9D:DC:53:A7:06:FE:48:85:1D:A1:69:AE:25:75:BB:13:CC:52:03:F5:ED:51:A1:8B:DB:15",
signature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
signature_decrypt;

modulo=BigInt("0x"+modulo.replace(new RegExp(":","g"),""));
signature=BigInt("0x"+signature.replace(new RegExp(" ","g"),""));

signature_decrypt=signature;
for (let i=0;i<16;i++)  //-- exponent: 65537 -> 2**16=65536
  {
  signature_decrypt=signature_decrypt**2n % modulo
  }

signature_decrypt=signature_decrypt*signature % modulo  //65537
console.log (signature_decrypt.toString(16));

我得到以下输出：

1ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff003031300d060960864801650304020105000420bc56117d619d50579b700bd9e3fd275a2009234dbf413c89e13c0d12664188ff

由于我得到的填充，我认为这是正确的解密签名，但我不知道应该从 pem 文件的哪一部分构建 sha256 哈希值，因为我没有相等 - 或者我的解密是错误的完整的
pem 文件包括签名，所以我认为应该在之前的部分上制作sha256值，但具体在哪里。有人可以帮忙吗？

第二个问题：pem SHA256 中有两个证书时间戳

48:B0:E3:6B:DA:A6:47:34:0F:E5:6A:02:FA:9D:30:EB:1C:52:01:CB:56:DD:2C:81:D9:BB:BF:AB:39:D8:84:73

A2:E2:BF:D6:1E:DE:2F:2F:07:A0:D6:4E:6D:37:A7:DC:65:43:B0:C6:B5:2E:A2:DA:B7:8A:F8:9A:6D:F5:17:D8

谁制作的，它们是关于什么的，为什么是两个？- 有人可以链接一个页面，其中一个 pem 文件逐行解释，因为我搜索了它并且只得到了一般的 bla, bla, bla

Daniel Walker

Asked: 2023-06-13 22:50:02 +0800 CST

拉取网站的签名机构证书

6

我公司的内部网络上运行着一个 Docker 注册中心，比如 registry.com。我知道注册表是合法的，但是当我运行时

docker login registry.com

它抱怨该证书是由一个未知的授权机构签署的。

有没有办法从命令行下载/构建权限的 .crt 文件，以便我可以将它添加到/usr/local/share/ca-certificates并运行update-ca-certificates？

我知道我可以将 registry.com 添加到"insecure-registries"in/etc/docker/daemon.json但我想要一个不是特定于 Docker 的更通用的解决方案。

Swift

Asked: 2023-06-02 18:52:16 +0800 CST

如何在 Debian 气隙主机上添加本地 CA 机构

8

给定：一个绝对隔离的 LAN，其中包含许多使用本地 CA 服务器的 Web 服务。

所有用户主机都安装了 ca 证书，并且 .crt 文件由update-ca-certificates. 类似浏览器的软件，例如 Chrome 等，在没有报告的情况下运行。

但是每个命令行实用程序，例如 curl、git、wget 等都会遇到错误，因为它们无法验证本地发行者。

来自卷曲的消息：

curl: (60) SSL 证书问题：无法获取本地颁发者证书。

大多数食谱只涉及为 Internet 范围的证书安装包。一些提到 /etc/pki/whitelist 路径和update-ca-trust脚本的使用，但系统或存储库中都没有。

主机操作系统：Debian 11

Black

Asked: 2022-09-21 01:19:33 +0800 CST

CA 捆绑包中是否包含私钥？

0

您可以在下面从我们的一个域中看到我的 apache2 虚拟主机 SSL 配置，效果很好：

    ...

    # Example SSL configuration
    SSLEngine on
    #SSLProtocol all -SSLv2
    #SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
    SSLCertificateFile "/etc/ssl/certs/company/cert"
    SSLCertificateKeyFile "/etc/ssl/certs/company/key"
    SSLCertificateChainFile "/etc/ssl/certs/company/ca-bundle"

    ...

我需要升级另一个网站以使其使用 SSL。

但是我们的IT部门只给了我cert和ca-bundle，他们说私钥包含在ca-bundle

所以我试图省略“SSLCertificateKeyFile”，但它仍然不能以这种方式工作。

那么私钥真的包含在 CA 包中吗？

我读过它可以包含在证书本身中，但非常不鼓励这样做。

“最后，终端实体证书的私钥也可以添加到证书文件中，而不是使用单独的 SSLCertificateKeyFile 指令。这种做法是非常不鼓励的。如果使用它，则必须在证书之后配置使用这种嵌入密钥的证书文件“

文档

KJ7LNW

Asked: 2022-07-08 12:53:37 +0800 CST

sendmail：“TLS_Clt”是否支持 /etc/mail/access 中的 CIDR 格式的网络块？

0

sendmail 是否支持TLS_Clt基于 IP 块的访问匹配？到目前为止，我发现的官方 sendmail TLS 文档并未表明它确实（也不是）。

showkey

Asked: 2022-04-12 22:28:49 +0800 CST

为什么 /etc/ssl/certs 中有这么多奇怪的证书文件名以 0 结尾？

1

我们知道 CA 证书位于/etc/ssl/certsdebian 中。

cd  /etc/ssl/certs
ls | grep  0$ |wc -l
126

我在这里粘贴了其中的一部分：

f081611a.0
f0c70a8d.0
f249de83.0
f30dd6ad.0
f3377b1b.0
f387163d.0
f39fc864.0
f51bb24c.0
fc5a8f99.0
fe8a2cd8.0

为什么 /etc/ssl/certs 中有这么多奇怪的证书文件名以 0 结尾？

stackprotector

Asked: 2022-03-22 01:06:49 +0800 CST

使用 `openssl` 显示 PEM 文件的所有证书

8

我可以使用以下命令在 PEM 文件中显示证书：

openssl x509 -in cert.pem -noout -text

但它只会显示第一个证书的信息。PEM 文件也可能包含证书链。如何显示所有包含的证书？

Jeff

Asked: 2022-01-31 10:42:16 +0800 CST

是否可以在 Debian 上安装没有 ca-certificates 包的自定义 CA 证书？

1

是否可以在不安装软件包的情况下在 Debian 上安装自定义 ca 证书ca-certificate？

我倾向于在每个版本的生命周期之后运行我的服务器，而且几年后我似乎总是遇到问题。简单的问题，例如 cURL 无法验证服务器的合法性、PHPopenssl.cafile和curl.cainfo等。没有什么破坏性的，但很烦人。

我现在正在安装 Buster，希望从一开始就避免任何问题。

理想情况下，我想从 curl.se（Mozilla 源代码）下载cacert.pem，将它放在一个目录中，然后告诉操作系统和任何要求它使用它的软件。这样，当它过期时，我可以从 curl.se 或 Mozilla 源重新下载最新版本。

Lukas

Asked: 2021-09-07 06:11:53 +0800 CST

Debian 10 不知何故完全坏了 apt-get update / upgrade 不起作用

-1

Debian 10 不知何故完全坏了 apt-get update / upgrade 不起作用 ca-certificates 不起作用我现在尝试修复它太久但没有任何效果。这就是为什么我希望有人可以在这里帮助我。我是 Linux Debian 的新手，不知道我到底做了什么._。已经谢谢你了：D

apt-get 更新

Err:2 https://packages.sury.org/php buster Release
  Certificate verification failed: The certificate is NOT trusted. The certifica                                                                                                                                                             te issuer is unknown.  Could not handshake: Error in the certificate verificatio                                                                                                                                                             n. [IP: 172.67.182.150 443]
Reading package lists... Done
W: https://packages.sury.org/php/dists/buster/InRelease: No system certificates                                                                                                                                                              available. Try installing ca-certificates.
W: https://packages.sury.org/php/dists/buster/Release: No system certificates av                                                                                                                                                             ailable. Try installing ca-certificates.
E: The repository 'https://packages.sury.org/php buster Release' no longer has a                                                                                                                                                              Release file.
N: Updating from such a repository can't be done securely, and is therefore disa                                                                                                                                                             bled by default.
N: See apt-secure(8) manpage for repository creation and user configuration deta   ```

willowen100

Asked: 2019-07-28 06:52:20 +0800 CST

证书颁发机构不工作

1

如果我的理解是正确的，CA 就像一个父证书，用于验证已由 CA 证书签名的其他证书，而无需为 Web 服务（例如 FTP 服务器、Web 服务器、Nextcloud、OpenVPN）安装多个服务器证书服务器等？

我正在尝试创建一个 CA 证书，我可以将其分发到我的本地网络并通过 WAN 分发到朋友的网络上，以便当他们尝试访问我的一项服务时，可以安全地连接到该证书。例如，与其为我托管的每项服务提供几个证书，不如只给他们一个，即 CA 证书。

每个服务器证书都由 CA 不经意地签名，因此通过在他们的机器上安装一个 CA 证书，这将自动验证服务器证书，因为它首先是使用 CA 签名的。正确的？

问题是今天我尝试将 CA 证书安装到我的 Windows 客户端 PC 上，并尝试通过 HTTPS 访问我的 OpenMediaVault GUI，但我仍然收到不安全的警告屏幕。

下面的代码块显示了 CA 和服务器证书的整个创建过程。我将包含目录树的屏幕截图，以便您查看所有文件和文件夹。我还将包括配置文件的内容

我的指南

# Make OpenSSL Directory
mkdir ~/Desktop/OpenSSL

# Make Child Directories
mkdir -p ~/Desktop/OpenSSL/{ca,configs,"csr's",keys}

# Change Directory Into OpenSSL Directory
cd ~/Desktop/OpenSSL

# Create CA Certificate
openssl req -x509 -newkey rsa:4096 -keyout ca/cakey.pem -out ca/cacert.pem -days 3650 -sha256 -nodes -config configs/ca_openssl.cnf

# Create serial file
echo '01' > serial

# Create index.txt
touch index.txt

##
### Create server certificates ###
##

# OpenMediaVault
openssl genrsa -out keys/OpenMediaVault.pem 4096
openssl req -new -key keys/OpenMediaVault.pem -config configs/openmediavault_openssl.cnf -out "csr's"/OpenMediaVault.csr

# OpenWrt
openssl genrsa -out keys/OpenWrt.pem 4096
openssl req -new -key keys/OpenWrt.pem -config configs/openwrt_openssl.cnf -out "csr's"/OpenWrt.csr

##
### Sign Server Certificates With CA ###
##

# OpenMediaVault
openssl x509 -req -CA ca/cacert.pem -CAkey ca/cakey.pem -in "csr's"/OpenMediaVault.csr -out certificates/OpenMediaVault.crt -extfile configs/openmediavault_openssl.cnf -extensions v3_req -CAserial serial

# OpenWrt
openssl x509 -req -CA ca/cacert.pem -CAkey ca/cakey.pem -in "csr's"/OpenWrt.csr -out certificates/OpenWrt.crt -extfile configs/openwrt_openssl.cnf -extensions v3_req -CAserial serial

# Convert PEM to CRT
openssl x509 -outform der -in ca/cacert.pem -out "My Custom CA".crt

# Convert PEM to PKCS12
openssl pkcs12 -export -out certificate.pfx -inkey ca/cakey.pem -in ca/cacert.pem -certfile CACert.crt

'ca_openssl.cnf'

[ ca ]
default_ca    = CA_default        # The default ca section

[ CA_default ]
dir                   = ~/Desktop/"OpenSSL Certificates"
certs               = $dir/certs
crl_dir               = $dir/crl
database           = $dir/index.txt
new_certs_dir       = $dir/newcerts
certificate        = $dir/cacert.pem
serial             = $dir/serial
crlnumber          = $dir/crlnumber
cr                 = $dir/crl.pem
private_key        = $dir/private/cakey.pem

[ req ]

# Don't prompt for the Domanin Name (DN). Use configured values instead.
# This Saves having to type in your DN each time.

prompt              = no
string_mask         = default
distinguished_name  = req_distinguished_name
x509_extensions     = v3_ca

# The size of the key in bits
default_bits    = 4096

[ req_distinguished_name ]
countryName             = GB
stateOrProvinceName     = SOME_PROVINCE
localityName            = SOME_CITY
organizationName        = domain
organizationalUnitName  = domain
commonName              = domain Certificate Authority
emailAddress            = [email protected]

[ v3_ca ]
# Extensions added to the request

basicConstraints = critical, CA:TRUE
keyUsage =         critical, keyCertSign, cRLSign

'openmediavault_openssl.cnf'

[ req ]

# Don't prompt for the Domanin Name (DN). Use configured values instead.
# This Saves having to type in your DN each time.

prompt              = no
string_mask         = default
distinguished_name  = req_distinguished_name
req_extensions      = v3_req

# The size of the key in bits
default_bits    = 4096

[ req_distinguished_name ]
countryName             = GB
stateOrProvinceName     = SOME_PROVINCE
localityName            = SOME_CITY
organizationName        = OpenMediaVault
organizationalUnitName  = OpenMediaVault
commonName              = OpenMediaVault.local

[ v3_req ]
# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alternative_names

[ alternative_names ]
DNS.0   = domain.com
IP.0    = 192.168.1.123

'openwrt_openssl.cnf'

[ req ]
# Don't prompt for the Domanin Name (DN). Use configured values instead.
# This Saves having to type in your DN each time.

prompt              = no
string_mask         = default
distinguished_name  = req_distinguished_name
req_extensions      = v3_req

# The size of the key in bits
default_bits    = 4096

[ req_distinguished_name ]
countryName             = GB
stateOrProvinceName     = SOME_PROVINCE
localityName            = SOME_CITY
organizationName        = OpenWrt
organizationalUnitName  = OpenWrt
commonName              = OpenWrt.local

[ v3_req ]
# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alternative_names

[ alternative_names ]
DNS.0   = domain.com
IP.0    = 192.168.1.1

我从“/certificates”目录安装了“OpenMediaVault.crt”，从“/keys”目录安装了“OpenMediaVault.pem”。

“certificate.pfx”文件是“我的指南”部分中最后一个命令的结果，并已导入 Windows certmgr。我使用带有 Firefox 认证选项的“我的自定义 CA.crt”文件。

我究竟做错了什么？

非常感谢

将要

更新 1

我想我已经找到了问题的原因。当我访问https://openmediavault.local（这是证书中设置的通用名称）时，我收到此消息“证书仅对以下名称有效：”我的屏幕上显示的两个（一个模糊了隐私）是我添加的subjectAltNames。为什么替代名称有效但 CN 无效？我从https://192.168.1.123访问它，我的 Firefox 地址栏中有一个绿色挂锁。

更新 2

只是为了让您知道我将 CN 添加到 subjectAltName 中，并且一切正常。

作为与 OpenSSL 相关的一个附带问题，我现在希望制作一些 OpenVPN 证书。使用 OpenSSL 制作的 CA 可以签署我的 OpenVPN 证书吗？

了解 PEM 文件并手动验证签名

拉取网站的签名机构证书

如何在 Debian 气隙主机上添加本地 CA 机构

CA 捆绑包中是否包含私钥？

sendmail：“TLS_Clt”是否支持 /etc/mail/access 中的 CIDR 格式的网络块？

为什么 /etc/ssl/certs 中有这么多奇怪的证书文件名以 0 结尾？

使用 `openssl` 显示 PEM 文件的所有证书

是否可以在 Debian 上安装没有 ca-certificates 包的自定义 CA 证书？

Debian 10 不知何故完全坏了 apt-get update / upgrade 不起作用

证书颁发机构不工作

模块 i915 可能缺少固件 /lib/firmware/i915/*

无法获取 jessie backports 存储库

如何将 GPG 私钥和公钥导出到文件

我们如何运行存储在变量中的命令？

如何配置 systemd-resolved 和 systemd-networkd 以使用本地 DNS 服务器来解析本地域和远程 DNS 服务器来解析远程域？

dist-upgrade 后 Kali Linux 中的 apt-get update 错误 [重复]

如何从 systemctl 服务日志中查看最新的 x 行

Nano - 跳转到文件末尾

grub 错误：你需要先加载内核

如何下载软件包而不是使用 apt-get 命令安装它？

问题[certificates](unix)