Додавання альтернативних імен предметів (SAN) до існуючого запиту підпису Cert (CSR)

Чи може хтось мені сказати, як я додати ряд альтернативних імен предметів до існуючої CSR?

Я не говорю про створення КСВ з SAN та про додавання SAN під час підписання - я знаю, як зробити обидва ці речі.

Передумови: Проблема, що ми маємо, полягає в тому, що ходова частина леза HP дозволяє генерувати CSR, але вони дозволяють використовувати лише один SAN. Ми не можемо використовувати CSR, згенерований в іншому місці, оскільки ми не могли використати результуючий сертифікат, оскільки немає можливості (що я можу знайти) для завантаження ключа до шасі леза.

Стандартний процес нашого КА не дозволяє додавати SAN, підписуючи час. Вони готові експериментувати, проте я намагаюся знайти рішення в нашому кінці, оскільки це означатиме, що нам не доведеться покладатися на те, що для нас нестандартний процес - на мій досвід, якщо їм потрібно використовувати нестандартний процес життя з часом стане важким. Наприклад, коли співробітник, який знає нестандартний процес, не присутній через відпустку тощо.

Поточний метод полягає в підключенні до бортового адміністратора бортового адміністру через веб-gui та генерування CSR за допомогою єдиного CN.

Веб-інтерфейс допускає лише один SAN в CSR.

Тоді ми самостійно підписуємо його наступною строфою у configsl config:

[ v3_ca ]
subjectAltName = "DNS:bladesystem8,DNS:bladesystem8.services.adelaide.edu.au,DNS:bladesystem8-backup,DNS:bladesystem8-backup.services.adelaide.edu.au"

Отриманий сертифікат має додаткові SAN.

Якщо ваше шасі не підтримує додавання SAN, вам потрібно буде вийняти ключ шасі та створити CSR за допомогою openssl.

Переконайтесь, що req_extensions = v3_reqце не коментується в [ req ]розділі.

Додайте subjectAltNameдо [ v3_req ]розділу.

Створіть нову КСВ.

openssl req -new -key extracted_c7000.key -out your_new.csr

Ви не можете редагувати існуючу CSR.

Важлива примітка: Все це дещо умоглядно, тому якщо ви глибоко в коді, і це не узгоджується з тим, що я говорю, повірте коду. Я не фахівець з Каліфорнії, я просто граю на телевізорі. Це сказав:

Як особливість КСВ, це буде важко. Останнім кроком у програмному генеруванні CSR є хешування всього, що ви створили, а потім підписання за допомогою приватного ключа. Тож, хоча ви могли додати ці атрибути до тексту КСВ, підпис не збігався б із вмістом, тому жоден ЦА не підписав би його.

Однак у вашому випадку ви керуєте (або принаймні контактуєте з ним). Це дає два варіанти:

1. Ви можете доручити керівництву центральної служби відверто проігнорувати підпис у КСВ і все-таки видати сертифікат.
2. Ви можете дозволити CA видавати інший сертифікат, ніж те, що вимагається (наприклад, додаючи атрибути).

З них номер 1 здається найпростішим. Вам потрібно буде зламати печатку, яка виявляється несанкціонованою, на OpenSSL, щоб це зробити, але він має деякі функції, які повинні зробити трохи простішими. Я б почав з asn1parse, який покаже вам, як розірвати КСВ.

Хоча відповідь cakemox, безумовно, найпростіший, якщо ви можете якось отримати копію приватного ключа, є інший спосіб, якщо ви не можете, в основному повторно підписавши CSR за допомогою сертифіката "Агент реєстрації".

Ця публікація в блозі css-security.com містить усі деталі, що містять гострий смак . Але огляд процесу на високому рівні виглядає приблизно так:

• Отримайте свідоцтво про агента з реєстрації
• Змініть шаблон сертифіката SSL, щоб вимагати сертифікат EA для видачі
• Придбайте КСВ, яка потребує інформації про SAN
• Використовуйте сертифікат EA для відставки КСВ, додаючи інформацію про SAN

Коли я спробував це особисто, я майже впевнений, що пропустив частину про зміну шаблону сертифіката. Припускаючи, що ви можете створити сертифікат агента реєстрації для себе, фактичний процес виглядає приблизно так.

Створіть san.inf з інформацією про розширення SAN

[Extensions]
2.5.29.17="{text}dns=mysan1.example&dns=mysan2.example"

Повторно підпишіть запит

certreq -policy -config "myca.example\CA" orig-request.csr san.inf corrected-request.csr

Надішліть виправлений запит

certreq -submit -config "myca.example\CA" -attrib "CertificateTemplate:MyTemplate" corrected-request.csr

А потім продовжуйте як звичайно процес випуску.