Dotaz: pridani CN do SSL certifikatu

[pepan]

Dobry vecer. Chtel jsem se zeptat, jestli jde do ssl certifikatu prodat dalsi CN nebo se musi vygenerovat novy?

Odpovědi

[Jendа]

Jako že by sis do certifikátu s CN=pepan.cz jen tak přidal CN=google.com? Nový.

[pepan]

Dalo by se to tak rict :) Jen ten google.com by byl pepan.net. Pri vytvareni noveho certifikatu to preci problem neni.

[MMichal]

A ted si predstavte, ze by jste se pripojil k verejne WiFi siti a chtel se prihlasit na svuj portal pepan.cz. A spravce te verejne site majici svuj certifikat s CN nejcracker.cz podepsany nejakou velkou certifikacni autoritou (ktere Vas prohlizec automaticky duveruje) by si tam pridal jako dalsi CN pepan.cz a tento svuj certifikat Vam podstrcil a mohl tedy desifrovat celou komunikaci a odchytit Vase heslo. Opravdu chcete, aby to tak slo ?

Udaje, ktere obsahuje certifikat, jsou podepsany certifikacni autoritou a certifikat menit nelze (pominu-li teoretickou moznost nalezeni kolize v hashovaci funkci). Pokud potrebujete zmenu, je treba nechat podepsat novy (lisici se napriklad pouze a jen tim CN).

[pepan]

No ano. Mam svoji CA (ktere ja duveruji:) a pomoci teto CA bych chtel pridat CN do certifikatu ktery byl u teto CA overeny. Kdyz si ho sam vytvorim, tak jsem myslel/doufal, ze si ho muzu i sam zmenit.

[homunkulus]

Nechapu, co je vam nejasne. Vytvorte novy certifikat a je to.

[pepan]

dobre, ted jsem se ale zarazil na tom, jak pridat dalsi cn. vytvarim takto:

openssl req -new -nodes -out requests/server.req -keyout private/server.key -days 3650

openssl ca -in requests/server.req -out certs/server.crt -days 3650

[pepan]

zeditoval jsem /etc/ssl pridanim dalsich CN, pri generovani jsem vsechny vyplnil, ale nakonec v certifikatu je jen ten posledni nazev

http://rrr.thetruth.de/2008/04/openssl-certificates-with-multiple-domains-common-names/

[rastos]

dobre, ted jsem se ale zarazil na tom, jak pridat dalsi cn. vytvarim takto:

openssl req -new -nodes -out requests/server.req -keyout private/server.key -days 3650

Počas tohto kroku dostaneš otázku na "Common Name", nie je tak?

[pepan]

Ano, puvodne 1x, po uprave /openssl.cnf 2x. Nicmene v certifikatu pak vidim jen to posledne zadane Common Name.

[pepan]

openssl.cnf

0.commonName = Common Name 1 (eg, YOUR name) 
0.commonName_max = 64 
1.commonName = Common Name 2 (eg, YOUR name) 
1.commonName_max =64 

[Pindal]

No to už je lepší. Zkuste při req specifikovat subjekt na řádku ve stylu -subj "/CN=A/CN=B/O=Linux/C=CZ", ale stejně doporučuju použít subjectAltName.

[pepan]

jestli altnames budou plnit ten ucel, aby mi nevyskakovala chyba, ze nazev certifikatu neodpovida nazvu serveru, tak s tim problem nemam.. co openssl.cnf jsem doplnil

[ alt_names ]
DNS.1                                    = *.pepan.net
DNS.2                                    = pepan.net¨
DNS.3                                    = pepan.cz

Ale nevim, jestli je to spravne a jestli se to do certifikatu spravne zapsalo, protoze mi s timto certifikatem web nejede a pise to unknown err :)

[Pindal]

Jestli se to zapsalo správně se podíváš přes openssl req/x509 -text -in server.req, každopádně je to závislé na tvém openssl.cnf. Jedno commonName a více subjectAltName je nicméně nejvíc použitelné pokuď nemůžeš/nechceš použít SNI. Viz třeba tady.

[alkoholik]

No jo, jenze tenhle seznam musis pridat do nejake sekce v openssl.cnf:
[ certifikat_s_alt_names ]
...
subjectAltName = @alt_names
A tu sekci pak pouzit pri podpisu certifikatu:
openssl ca .. -extensions certifikat_s_alt_names

[Pindal]

Problém to opravdu není:

openssl x509 -in cert.pem -text -noout > new-cert.crt

Následně libovolným editorem otevřeš new-cert.crt a změníš "Subject:" nebo klidně i jiné údaje. Zvláštní pozornost je nutné jen věnovat té řadě čísel pod "Signature Algorithm:", to dá málokdo z hlavy, takže se podívej jak na to. Tady je ta jednoduší část a zde pak ta mírně složitější. Pak jen uložíš a voilà! máš co jsi chtěl.

PS: Funguje to na libovolný certifikát od libovolné autority, jen se trošku hůř získává to jedno číslo pro tu popisovanou úpravu. Se strojem času to ale opravdu problém není.

[Petr]

Ahoj,

Zkusil bych neco podobneho viz:

http://rrr.thetruth.de/2008/04/openssl-certificates-with-multiple-domains-common-names/

[pepan]

diky, tam uz jsem byl (viz. vys:)

[pepan]

Tak at delam cokoliv, nejsem schopny prodat Alternative name do certifikatu.. a co je horsi, jakykoliv web prohlizec mi hlasi, ze platnost vyprsela.. pritom jeho datum je ok.. a systemovy cas na serveru i klientu je taky presny podle ntp:(