Dotaz: SSL certifikaty a zasady pouziti..

Kdyz vytvorim certifikat pomoci

openssl req -new -nodes -out request.pem -keyout key.pem -days 1098

a

openssl ca -in request.pem -out cert.pem

dostanu certifikat se zasadami vsech aplikaci. Jak ale udelam certifikat k danemu ucelu, jako je napr. podepisovani, overovani uzivatele na serveru, sifrovani atd.? Poradite?

Odpovědi

[Jindra]

A jeste jedna otazka, da se nejak dodatecne zmenit moznosti pouziti certifikatu?

[petr_p]

Ne, protože použití je podepsánp autoritou, avšak aplikace tuto položku může schválně ignorovat a klíč použít neschváleným způsobem, avšak ověřující aplikace může způsob použití kontrolovat a stěžovat si.

[petr_p]

Volba KeyUsage v konfiguračním souboru openssl.

Mějte na paměti, že toto téma je mimo mísu a asi tato diskuze asi bude uzamčena.

[Jindra]

Mimo misu? V tom pripade nevim, kde je misa:( omlouvam se..

[Dalibor Smolík]

Nevím, tvorba certifikátů SSL pod Linuxem a jejich praktické využití sem patří, dle mého názoru.

[petr_p]

Dotaz je na použití OpenSSL, nikoliv Linuxu nebo problému s provozem pod Linuxem. Budeme tu snad diskutovat o aplikacích jenom proto, že mimojiné běží i pod Linuxem?

[Jindra]

nezlobte se na me, ale tohle podle me postrada logiku..

[tezkatlipoka]

Budeme tu snad diskutovat o aplikacích jenom proto, že mimojiné běží i pod Linuxem?

ale to se tady prece uz davno deje, kdyz se ted kouknu jenom na posledni dotazy, vidim tady Ovladace ATI, Squid, VMWare, python, Firefox. Dokonce Asus router. nebyl bych zase az tak strasne striktni.

[Pavel1]

Ano, budeme zde diskutovat o aplikacích běžících pod Linuxem, jejich nastavením a o případných problémech. Kde jinde? Nebudeme zde diskutovat o prg. a problémech např. pod W. O čem jinak by se tu mělo diskutovat? Co to je tedy Linux, jenom jádro? To samotné by bylo k ničemu ...

[Jirka]

Když už se tu tlachá třeba o OOXML, tak se tu může racionálně mluvit i o OpenSSL.

[Jindra]

Tak se tedy odvazim a navazu na muj puvodni dotaz:) Jde mi spis o to, jestli ten ucel pouziti jde primo zmenit v tom prikazu pro generovani certifikatu? A muzete se mi jeste podivat na zapis toho prikazu? I kdyz mam na konci -days xxx, tak mi to stejne vytvori certifikat na rok.. diky

[Michal Kubeček]

Zkuste použít -days i při podepisování.

[Jindra]

aha, to me nenapadlo. diky, vyzkousim a dam vedet.

[petr_p]

Pravděpodpobně nelze. (Nemohu vyloučit, protože ne všechny volby jsou zdokumentované v manuálu nebo se objevují při výpisu použití.)

Snad jedině číst rozšíření ze standardního vstupu: echo -e "[moje_rozsireni]\nkeyUsage=…" |openssl ca -extfile /dev/stdin -extensions moje_rozsireni