So arbeiten Sie mit Zertifikaten

Beschreibung

In diesem Abschnitt wird erläutert, wie Sie openssl -Befehle verwenden, um eine Kette von Zertifikaten (Zertifizierungsstelle, Zwischenzertifikat und Server) zu validieren und Zertifikate zu trennen oder zu kombinieren.

Sie können Zertifikate wie folgt einbringen:

• Szenario 1: Drei CRT/PEM-Dateien mit Zertifizierungsstellen-, Zwischen- und Serverzertifikaten sowie einem privaten Schlüssel.

• Szenario 2: Zwei CRT/PEM-Dateien mit Zertifizierungsstellen- und Serverzertifikaten und einem privaten Schlüssel.

• Szenario 3: Eine pfx-Datei mit allen Zertifizierungsstellen-/Zwischen- und Serverzertifikaten und einem privaten Schlüssel.

In der folgenden Tabelle sind die verwendeten Dateinamen beschrieben:

Dateiname	Beschreibung
ca.crt	Ein Zertifikat einer Zertifizierungsstelle.
intermediate.crt	Ein Zwischenzertifikat.
ca-bundle.crt	Ein Zertifikat, das Zertifizierungsstellen- und Zwischenzertifikate enthält.
server.crt	Ein Serverzertifikat.
server.key	Ein privater Schlüssel, der zum Generieren der server.crt verwendet wird.
server.pfx	Eine pfx-Zertifikatdatei, die Zertifizierungsstellen, Zwischen- und Serverzertifikate sowie den privaten Schlüssel des Servers enthält.

Szenario 1 und Szenario 2

Wenn Sie drei verschiedene Zertifikatsdateien (Zertifizierungsstelle, Zwischenzertifikat und Server) mitbringen, führen Sie die folgenden Schritte zur Validierung aus:

1. Kombinieren Sie die Zertifizierungsstelle mit den Zwischenzertifikaten (gilt nur für Szenario 1).

   cp ca.crt ca-bundle.crt
   cat intermediate.crt >> ca-bundle.crt

2. Überprüfen Sie, ob das Serverzertifikat die Felder subject alternative names und validity enthält.

   openssl x509 -in server.crt -text -noout

3. Überprüfen Sie, ob das Serverzertifikat vom Server der Zertifizierungsstelle signiert wurde.

   openssl verify -CAfile ca-bundle.crt server.crt

   Ausgabe:

   server.crt: OK

4. Überprüfen Sie, ob das Serverzertifikat vom privaten Serverschlüssel generiert wurde, indem Sie die md5-Hashes vergleichen. Wenn die Ausgaben der folgenden Befehle übereinstimmen, wird überprüft, ob das Serverzertifikat mit dem privaten Schlüssel generiert wurde.

   • openssl x509 -noout -modulus -in server.crt | openssl md5

     Ausgabe des Serverzertifikats:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

   • openssl rsa -noout -modulus -in server.key | openssl md5

     Ausgabe des privaten Serverschlüssels:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

5. Generieren Sie die pfx-Datei aus dem Serverzertifikat und dem privaten Schlüssel. Nachdem der folgende Befehl ausgeführt wurde, werden Sie aufgefordert, zweimal einen Passcode einzugeben. Das Passwort ist immer zum Entschlüsseln der pfx-Datei erforderlich.

   openssl pkcs12 -inkey server.key -in server.crt -export -out server.pfx

   Ausgabe:

   Enter Export Password:
   Verifying - Enter Export Password:

Szenario 3

Wenn Sie ein Zertifikat im pfx-Format mit der Zertifizierungsstelle, dem Zwischenschlüssel, dem Server und dem privaten Schlüssel bereitstellen, können Sie die pfx-Datei als Identitätstoken-Signaturzertifikat verwenden, müssen die pfx-Datei jedoch in mehrere Zertifikatsdateien aufteilen. In den folgenden Schritten wird beschrieben, wie die pfx-Datei entsprechend aufgebrochen wird.

1. Exportieren Sie das Zertifizierungsstellenzertifikat (einschließlich Zwischenzertifikat, falls in der pfx-Datei angegeben):

   openssl pkcs12 -in server.pfx -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ca.crt

2. Serverzertifikat exportieren:

   openssl pkcs12 -in server.pfx -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > server.crt

3. Exportieren Sie den privaten Schlüssel:

   openssl pkcs12 -in server.pfx -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > server.key