我处于以下情况。 我需要build立一个与外部系统的双向集成。 外部系统的pipe理员要求我发送两个CSR，一个用于生成客户端证书，另一个生成服务器证书。 他们给了我相应的证书。 我设置了频道我 – >他们成功（即：我可以调用他们的服务提供我的客户端证书），但我不能正确设置反向频道（即：我不能让我的Apache接受他们的客户端证书没有抱怨）。 再加上我的服务器证书（我们称之为my-server.pem），他们也给我发送了自己的客户端证书（我们称之为“客户端.pem”）。 这个证书（their-client.pem）是由一个“自签名的”CA发出的，这个CA是不在我的Linux系统中已经可用的那些知名的CA之中的。 我没有这个证书，我还没有从外部系统pipe理员那里得到它（他们不愿意…让我们搁置这个请求…> – |） 这是我如何在Apache中设置我的VirtualHost： SSLEngine on SSLCertificateFile /path/to/my-server.pem SSLCertificateKeyFile /path/to/my-server-secret-key.key SSLVerifyClient require SSLCACertificateFile /path/to/their-client.pem SSLVerifyDepth 0 由于我没有CA证书，因为我完全可以说“只要信任客户证书，别人就可以！”，我把客户证书本身作为SSLCACertificateFile ，正如答案中的build议： https：/ / /security.stackexchange.com/questions/36069/use-client-certificate-using-self-signed-ca-while-using-web-certificate-of-a-pub 但是，这似乎并不奏效。 他们看到的错误是： javax.net.ssl.SSLException: Received fatal alert: unknown_ca 启用SSL日志并将其设置为debugging后，我在我身边看到的是： [ssl:debug] [pid 3396] ssl_engine_kernel.c(1381): [client <their-ip>:41474] AH02275: Certificate Verification, depth 1, CRL checking mode: none [subject: CN=Test […]
我正在使用easy-rsa使用./build-ca＆./build-inter命令连续创build根CA和中间CA. 现在，我想我的根CA作为脱机，我希望我的证书/密钥由中间CA签名。 我正在使用keytool生成证书/密钥。 当我使用根CA对它们进行签名时，它工作正常，但是当我使用中间CA对它们进行签名时，出现以下错误（在步骤编号：6之后提到）：“keytool error：java.lang.Exception：Failed to establish从答复链“ 我提到所有创build证书/密钥的命令并在下面签名。 keytool -importcert -alias clusterCA -file root_ca.crt / intermediate_ca.crt -keystore clustertruststore -storepass keytool -genkeypair -alias节点-keyalg RSA -keysize 2048 -keypass -keystore node.keystore -storepass -validity 365 keytool -keystore node.keystore -alias节点-certreq -file node.cert -storepass -keypass openssl x509 -req -CA root_ca.crt / intermediate_ca.crt -CAkey root_ca.key / intermediate_ca.key -in node.cert -out node.signed -days […]
为了摆脱“错误0×80092013：撤销function无法检查撤销，因为吊销服务器已脱机”，您必须在您要连接到VPN服务器的客户端上安装基/增量CRL … 但是，似乎我必须频繁地从我的客户机上的证书颁发机构服务器（每隔几天，而不是一次）安装CRL，这是一个相当麻烦的任务。 有没有办法自动化CRL下载/ addstore或实际上解决这个问题（不禁用CRL检查）？
我有一个工作（直到现在）的Ubuntu的OpenVPN的服务器。 我认为我的服务器使用错误的CA来签署客户端CRT。 例如： 我使用“source./vars”后跟“./build-key john.doe”，它一切正常（通过工作好吧，我的意思是我得到了john.doe的csr，crt和键）。 但是，如果我testingcrt：“opensslvalidation-CAfile ca.crt键/ john.doe.crt”我得到以下内容： 密钥/ john.doe.crt：C = VE，ST = MI，L =加拉加斯，O = www www，CN = john.doe，emailAddress = [email protected]在0深度查找时出错20：无法获得本地发行者证书 testing任何工作（和旧的）客户端CRT，不会引发错误… 我也试过这个命令：“openssl x509 -in keys / jhon.doe.crt -noout -text | grep Issuer”并引发： 发行人：C = VE，ST = MI，L =加拉加斯，O = www www，CN = fred.durst / name = Fred Durst / [email protected] 这是非常奇怪的，因为弗雷德Durst是一个客户端，而不是一个CA … 当我用一个工作的客户端crt尝试相同的命令，它会抛出： […]
我正在学习本教程： https : //technet.microsoft.com/en-us/library/dn781428(v=ws.11).aspx 我正在这一步： 单击以选中“证书模板”容器（在CA名称下，而不是“证书模板”pipe理单元）。 我相信我应该看到这样的事情： 我看到其他的容器，但不是那个。 我错过了什么？ 我正在使用AWS的ami-c8a9baa2中提供的Windows Server 2012 R2 Standard。
我正在寻找安装经常使用的https服务的SSL证书。 我曾经为此使用StartSSL，但他们“暂时”停止提供他们的服务。 我想知道是否有其他提供类似服务的提供者？ 我知道我可以自我签署一个证书，但我想在我的所有机器上没有不安全的通知，而不必手动安装SSL证书。
我使用openssl为内部testing使用创build了一个自签名根CA证书。 这已成功安装，并在许多机器和平台（Windows，Linux，各种Java / .NET /浏览器客户端）上用作可信CA。 一个用户（运行WinXP SP3 / IE8）在尝试将CA证书导入其受信任的根存储时收到以下错误：“此证书已被其证书颁发机构吊销” CA确实引用了我自己创build的CRL，但它是空的。 用户可以手动访问和查看CRL并确认它是空的。 在IE浏览器中禁用CRL检查，但是我猜这个设置在填充证书存储时可能不适用。 什么可以解释这个？ 有没有办法从不同的CA，但具有相同的指纹撤销证书可以导致我的CA证书被标记为撤销？
在CA侧签署CSR时，如何通过自定义值覆盖特定的DN字段？ 我想忽略在CSR中写的东西。 例如在C =和O =字段中，并用静态的东西replace它们。 其他值，如CN = ，应该被CSR接受。 openssl / ca / policyconfiguration只支持匹配和提供的选项。
将第三方根CA证书导入到Windows域中的企业NTAuth存储区之后，除了可信CA颁发证书外，还有哪些相关风险？ 这是为了testing目的，解决无线客户端连接到无线networking时获得Windows安全警报的问题，并通过WS2012 R2上运行的新NPS服务器进行身份validation。 根CA证书已存在于受信任的根证书颁发机构下的客户机的计算机存储中，但该窗口仍然出现在第一次连接尝试中。 目标是摆脱popup窗口： 编辑：我会详细阐述一下。 目标： 允许join域的设备通过NPS进行身份validation; 使用第三方证书; 用户不应该得到安全警告popup窗口; 使用WS2012R2上的NPS。 PEAP / MsCHAPv2用于authentication。
所以我一直遵循在Apache2 w / mod_ssl中设置客户端证书authentication的说明。 这仅仅是为了testing针对CAA的应用程序，而不是用于任何types的生产用途。 到目前为止，我已经遵循http://www.impetus.us/~rjmooney/projects/misc/clientcertauth.html获取有关生成我的CA，服务器和客户端encryption信息的build议。 我把它们全部放到/etc/ssl/ca/private 。 我在我的default_ssl站点文件中设置了以下附加指令： <IfModule mod_ssl.c> <VirtualHost _default_:443> … SSLEngine on SSLCertificateFile /etc/ssl/ca/private/server.crt SSLCertificateKeyFile /etc/ssl/ca/private/server.key SSLVerifyClient require SSLVerifyDepth 2 SSLCACertificatePath /etc/ssl/ca/private SSLCACertificateFile /etc/ssl/ca/private/ca.crt <Location /> SSLRequireSSL SSLVerifyClient require SSLVerifyDepth 2 </Location> <FilesMatch "\.(cgi|shtml|phtml|php)$"> SSLOptions +StdEnvVars </FilesMatch> <Directory /usr/lib/cgi-bin> SSLOptions +StdEnvVars </Directory> … </VirtualHost> </IfModule> 我已经将p12文件安装到Chrome中，但是当我访问https：// localhost时 ，出现以下错误 Chrome： Error 107 […]