我知道OS /浏览器/应用程序之间的根CA捆绑不同。 但是，似乎总是包含Verisign。 这是怎么成为的呢？ 有某种标准吗？ 我只是好奇，因为在我的工作地点，SSL已经成为一个很大的话题。
最近我的一台机器被放在一个代理服务器的后面，这意味着我已经工作的一些程序不再执行 当我尝试做“openssl s_client -showcerts -connect remoteserver：remoteport”时，它给我带来了一个可爱的“validation返回码：20（无法获得本地颁发者证书）”，我认为这是因为中间（代理）证书不被认可。 如果我的假设是正确的，我相信我必须安装代理的根证书，以使我的程序再次工作。 我被给了一个.cer文件，我转换成一个pem文件如下： openssl x509 -inform der -in certificate.cer -out certificate.pem 然后我继续得到pem的散列（正如这里所build议的https://stackoverflow.com/questions/12041512/openssl-unable-to-get-local-issuer-certificate-unless-cafile-is-explicitly-speci ）： openssl x509 -issuer_hash -noout -in certificate.pem 这给了我一个string（例如：a8a87a6a）。 然后我去复制pem文件，重新命名为a8a87a6a到/ etc / pki / tls / certs，但是我仍然得到相同的“validation返回码：20（无法获得本地颁发者证书）”，甚至当运行“-CApath / etc / pki / tls / certs /“。 我也尝试重命名该文件的扩展名.pem .crt .cer无济于事。 非常沮丧在这个，我怎么能得到这个证书被认可为合法，让我的东西再次工作？
我为公司build立了一个邮件服务器，我做了所有事情，生成了csr，一切正常，我只需要添加godaddy的ssl，godaddy给出的指示不清楚，我需要一些帮助，我们有一个centos专用服务器和Apache，任何帮助如何设置它？ 顺便说一下，主站点托pipe在另一台服务器上，邮件服务器只用于服务邮件，我们使用mxlogging指向邮件服务器到主域，我们必须在两台服务器上安装ssl还是只有一台？
我有DER私钥和证书。 我需要将它们转换成PEM格式。 证书正常转换，但是当我尝试转换键时发生此错误： # openssl x509 -in client-key.der -inform DER -out private.pem -outform PEM unable to load certificate 3077748360:error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag:tasn_dec.c:1319: 3077748360:error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error:tasn_dec.c:381:Type=X509_CINF 3077748360:error:0D08303A:asn1 encoding routines:ASN1_TEMPLATE_NOEXP_D2I:nested asn1 error:tasn_dec.c:751:Field=cert_info, Type=X509 我究竟做错了什么？ client-key.der是二进制格式，已经在JAVA应用程序中使用，现在我需要在我的C应用程序中使用它
我正在尝试生成一个SSL证书，由我自己的CA签名后，将为多个域的工作。 我的opensslconfiguration文件如下所示： [ req ] default_bits = 2048 distinguished_name = req_distinguished_name req_extensions = req_ext [ req_distinguished_name ] countryName = Country Name (2 letter code) countryName_default = DE stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = Berlin localityName = Locality Name (eg, city) localityName_default = organizationName = Organization Name (eg, company) organizationName_default = commonName […]
我有几个站点和应用程序的VPS，我想通过HTTPS运行MySQLpipe理工具，以避免中间人攻击的可能性，因为我经常使用MySQL的root密码。 现在，如果我专门为此目的设置了域名，那完全不是问题，因为build立SSL虚拟主机没有问题。 我的任务是仅使默认虚拟主机https-forced的一个（子）文件夹。 假设我有/var/www与vhosts文件夹和下面的一切。 如果我inputhttp：// {ip -adress-of-vps}，我得到的文件作为默认主机/var/www索引。 我想在/var/www （ /var/www/phpmyadmin ）下面创buildphpmyadmin dir，只有在调用http://{ip-adress-of-vps}/phpmyadmin时才能通过https访问它。 那可能吗？ 怎么做？ 如果不可能的话，你最好的做法是什么？ 提前致谢。
我需要将ntp部署到一个非常关键的pxe-imaging系统。 （是的，每个知识库很重要。）脚印需要尽可能小，所以我想编译ntp而不链接openssl。 根据手册，这应该是可能的： 如果可用的话，来自http://www.openssl.org的OpenSSL库被用来支持公钥encryption。 在构buildNTP之前，必须构build和安装库。 OpenSSL文档中包含了这样做的过程。 在正常的NTPconfiguration阶段find该库，并自动编译接口例程。 只需要libcrypto.a库文件和openssl头文件。 如果库不可用或禁用，则此步骤不是必需的。 我已经试过了 ./configure –without-openssl 然而，这并没有帮助。 这是我的ldd输出： ldd ntpd/ntpd linux-gate.so.1 => (0xb7706000) libm.so.6 => /lib/i686/cmov/libm.so.6 (0xb76d5000) libcrypto.so.0.9.8 => /usr/lib/i686/cmov/libcrypto.so.0.9.8 (0xb7582000) librt.so.1 => /lib/i686/cmov/librt.so.1 (0xb7578000) libc.so.6 => /lib/i686/cmov/libc.so.6 (0xb741d000) /lib/ld-linux.so.2 (0xb7707000) libdl.so.2 => /lib/i686/cmov/libdl.so.2 (0xb7419000) libz.so.1 => /usr/lib/libz.so.1 (0xb7404000) libpthread.so.0 => /lib/i686/cmov/libpthread.so.0 (0xb73eb000) 我正在编译的系统是使用openssl 0.9.8g-15 + lenny16的32位debian lenny。 什么是正确的configuration选项编译ntp没有openssl？
我在RHEL中特别使用openssl。 certstore和密钥库有什么区别？
我正尝试在我的WAMP服务器上首次安装SSL证书。 我从来没有做过这样的事情，所以请和我一起裸照。 W:\wamp\bin\apache\apache2.2.22\bin>echo %OPENSSL_CONF% w:\wamp\bin\apache\apache2.2.22\conf\openssl.cnf W:\wamp\bin\apache\apache2.2.22\bin>openssl req -x509 -new -out my.root.ca.crt – keyout my.root.ca.key -days 3650 Loading 'screen' into random state – done Generating a 1024 bit RSA private key ….++++++ ……..++++++ writing new private key to 'my.root.ca.key' Enter PEM pass phrase: inputPEM密码短语是我卡住的地方。 它不会让我input任何东西。 还有，我应该拿出我自己的密码短语，并告诉这个程序使用，或者我应该有一个预先确定的通行证短语设置…以及… Apache，openssl，wamp等我很失落…哈哈。
标题最好总结我的问题。 我试图使我的Ubuntu 10.0.4服务器PCI兼容，并且这样做，列表中的最后一颗是确保它不容易受到BEAST攻击。 要做到这一点，我可以禁用SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS，但根据以下链接： http://people.canonical.com/~ubuntu-security/cve/2011/CVE-2011-3389.html 这将破坏与SSL的某些实现的兼容性，但是由于BEAST攻击是不切实际的并且现代浏览器不允许任意代码运行，所以没有提供太多的安全优势。 最终目标如下：符合PCI规范，但没有不切实际的解决scheme（例如，我不想禁用TLS 1.0）。 编辑：移动次要问题到一个单独的问题： 我在哪里可以find该文件来设置SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS