Comment travailler avec les certificats

Description

Cette section explique comment utiliser les commandes openssl pour valider une chaîne de certificats (CA, intermédiaire et serveur) et séparer ou combiner des certificats.

Vous pouvez apporter des certificats comme suit :

• Scénario 1: trois fichiers crt/pem comprenant des certificats CA, intermédiaires et de serveur, ainsi qu’une clé privée.
• Scénario 2: deux fichiers crt/pem comprenant des certificats CA et serveur et une clé privée.
• Scénario 3: Un fichier pfx contenant tous les certificats AC/intermédiaire et serveur et une clé privée.

Le tableau suivant décrit les noms de fichiers utilisés :

Nom du fichier	Description
ca.crt	Un certificat CA.
intermediate.crt	Un certificat intermédiaire.
ca-bundle.crt	Un certificat contenant des certificats CA et intermédiaires.
server.crt	Un certificat de serveur.
server.key	Une clé privée utilisée pour générer le server.crt.
server.pfx	Un fichier de certificat pfx contenant l'autorité de certification, les certificats intermédiaires, les certificats de serveur et la clé privée du serveur.

Scénario 1 et scénario 2

Lorsque vous apportez trois fichiers de certificat différents (CA, intermédiaire et serveur), effectuez les étapes de validation suivantes :

1. Combinez l'autorité de certification avec les certificats intermédiaires (applicable uniquement au scénario 1).

   cp ca.crt ca-bundle.crt
   cat intermediate.crt >> ca-bundle.crt
   

2. Vérifiez que le certificat du serveur contient (en particulier les champs subject alternative names et validity ).

   openssl x509 -in server.crt -text -noout
   

3. Vérifiez si le certificat du serveur a été signé par le serveur CA.

   openssl verify -CAfile ca-bundle.crt server.crt
   

   Sortie :

   server.crt: OK
   

4. Vérifiez si le certificat de serveur a été généré par la clé privée du serveur en comparant les hachages md5. Si les sorties des commandes suivantes correspondent, elle valide ainsi que le certificat du serveur a été généré à l'aide de la clé privée.

   • openssl x509 -noout -modulus -in server.crt | openssl md5

     Sortie du certificat du serveur :

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

   • openssl rsa -noout -modulus -in server.key | openssl md5

     Sortie de clé privée du serveur :

     stdin)= c9b0c5c3fe11b0b09947415236c4a441)

5. Générez le fichier pfx à partir du certificat du serveur et de la clé privée. Une fois la commande suivante exécutée, vous êtes invité à saisir un code secret deux fois. Le code d'accès est toujours nécessaire pour décrypter le fichier pfx.

   openssl pkcs12 -inkey server.key -in server.crt -export -out server.pfx
   

   Sortie :

   Enter Export Password:
   Verifying - Enter Export Password:
   

Scénario 3

Lorsque vous apportez un certificat au format pfx contenant une clé AC, intermédiaire, de serveur et privée, vous pouvez utiliser le fichier pfx comme certificat de signature de jeton d'identité, mais vous devez fractionner le fichier pfx en plusieurs fichiers de certificat. Les étapes suivantes décrivent comment casser le fichier pfx en conséquence.

1. Exportez le certificat CA (y compris intermédiaire si fourni dans le fichier pfx) :

   openssl pkcs12 -in server.pfx -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ca.crt
   

2. Exportez le certificat du serveur :

   openssl pkcs12 -in server.pfx -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > server.crt
   

3. Exportez la clé privée :

   openssl pkcs12 -in server.pfx -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > server.key