使用我的 CA 签署证书

Question

跑步时：

openssl ca -in ${ALIAS}.csr -out user-cert.pem -keyfile cacert-private.pem -cert cacert.pem -passin pass:$PASSWD -config ${CONFIG}

我得到：

stateOrProvinceName 字段需要与 CA 证书（格洛斯特郡）和请求（格洛斯特郡）

我已经阅读了该错误几次，并且相当确定该字段在每种情况下都是相同的值。我发现了由不同编码引起的类似问题的参考，但我不知道应该如何指定以及在哪里指定。

这是 ${ALIAS}.csr:

-----BEGIN NEW CERTIFICATE REQUEST-----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-----END NEW CERTIFICATE REQUEST-----

还有 cacert.pem：

有什么想法吗？预先感谢。

Answer 1

您还可以将属性设置为可选：

# For the CA policy

[policy_match]
countryName= optional
stateOrProvinceName= optional
organizationName= optional
organizationalUnitName= optional
commonName= supplied
emailAddress= optional

Answer 2

我也遇到过这个问题。感谢上面的回复（主要是Francois），我找到了问题的根源。

openssl 使用 UTF8STRING 进行编码，keytool (Java 6) 使用 PRINTABLESTRING 进行编码。

通过更改 openssl 配置来解决这个问题，使其与 keytool 匹配。在 /usr/ssl/openssl.cnf 中将“string_mask”设置更改为“pkix”。

Answer 3

之前的发帖者已经回答了这个问题，但为了更容易，这里有一个如何指定编码的示例。使用字符串掩码：

[ req ]
default_bits            = 2048
default_md              = rsa
prompt                  = no
string_mask             = utf8only  # <--------------
distinguished_name      = req_distinguished_name

[ req_distinguished_name ]
countryName             = GB
stateOrProvinceName     = Gloucestershire
localityName            = Cheltenham
organizationName        = Wansdyke House Limited
organizationalUnitName  = Fizio
commonName              = localhost

Answer 4

如图所示：

openssl asn1parse -in req.csr

请求 DN 字符串被编码为 PRINTABLESTRING。

openssl asn1parse -in cacert.pem

显示 CA DN 字符串被编码为 UTF8STRING。

对于快速肮脏的黑客，我建议您使用您最喜欢的十六进制编辑器，通过将 PRINTABLESTRING (0x13) 的编码类型替换为 UTF8STRING (0x0c) 的类型来更改请求中的字符串编码。
在戳它之前，您必须在 DER 中转换您的请求。
可以通过以下方式找到要更改的字节偏移量：

openssl asn1parse -in csr |grep PRINTABLESTRING |awk -F":" '{print $1}'

然后再次尝试签名。

Answer 5

我刚刚遇到了这个问题。根本原因是客户端和 CA 的 openssl.cnf 中的 string_mask 值不匹配。简单的修复方法是修改客户端的值以匹配 CA 的期望，然后重新生成 CSR。硬修复是编辑 CA 的值并启动一个新的 CA。

Answer 6

^{将mbrownnyc的评论提升为答案，因为它对我有用并且值得更多关注。}

我相信

/usr/ssl/openssl.cnf

包含一个名为

policy_anything

的策略，其中包含上述设置。您可以通过使用

policy

参数来使用它，如下所示：

openssl ca -policy policy_anything -days 365 -out /root/ca/certs/out.pem -in certreq.csr

Answer 7

下面的链接提出了同样的问题，并且有多个答案。你可以参考这里

如何与证书颁发机构签署证书签名请求？

使用我的 CA 签署证书

问题描述投票：0回答：7

7个回答

最新问题

使用我的 CA 签署证书

问题描述 投票：0回答：7

7个回答

最新问题

问题描述投票：0回答：7