标签: certificate

我有一些密钥对，用作身份验证，用于通过 ssh 连接到我在 Amazon 云上的服务器。我每周手动轮换这些证书。我的问题是，我需要与一些同事共享证书，一些在局域网上，一些在国内其他地方。共享证书的最佳做法是什么？我最初的想法是 Dropbox 和电子邮件。我们不托管带有加密功能的专用电子邮件服务器，也没有 VPN。

谢谢。

我们有我们网站的内部测试版本，可（通过内部 DNS 区域）作为 www.mysite.com.test

我想为 www.mysite.com.test 创建 SSL 证书，以便我们的测试人员不会收到无效证书警告（“真实”证书绑定到 www.mysite.com）

我知道如何使用 OpenSSL 创建自签名证书，但我想知道是否有某种方式将证书颁发机构与我们的 Active Directory 域相关联，以便作为域成员的 PC 上的任何用户都将接受自签名证书。签名证书而无需显式安装它（或显式安装自签名证书颁发机构作为受信任的机构）

有任何想法吗？

我正在尝试Virtualhost在 apache 中设置部分 a以要求客户端身份验证。该VirtualHost问题也作为实际的Web服务器的反向代理。这是我所做的：

• 在我用作 CA 的服务器上创建ca.crt、ca.csr和ca.key。
• 将配置修改为VirtualHost如下所示：

...

ProxyPass / http://xxx.xxx.xxx.xxx:80/
ProxyPassReverse / http://xxx.xxx.xxx.xxx:80/
ProxyPassReverseCookiePath / /

SSLEngine On
SSLCertificateFile "/private/etc/apache2/server.crt"
SSLCertificateKeyFile "/private/etc/apache2/server.key"
SSLCertificateChainFile "/private/etc/apache2/ca_bundle.crt"
SSLCACertificateFile "/private/etc/apache2/self_ca.crt"
SSLVerifyClient none
SSLOptions StrictRequire   
SSLProtocol all -SSLv2
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

<Location /clientauth>
    # These options force the client to authenticate with a client certificate.
    SSLVerifyClient require
    SSLVerifyDepth 1
</Location>

• 使用我的自定义 CA 创建了一个测试客户端证书。
• 在 Mac OS X Lion 上将客户端证书安装到登录钥匙串中，并手动安装到 Firefox。

但我无法浏览到/clientauth …

我想知道我是否可以将单个证书用于所有直接访问功能。

我正在一个相对较小的网络上实际设置 DirectAccess。由于这是一个小型网络，我试图找到必要的最低配置。

在测试环境中，我使用 Direct Access 向导执行了快速安装，让它自动生成自签名证书，结果是三个证书。

• CN = DirectAccess.example.org

  • 友好名称：DirectAccess-IPHTTPS
  • 用途：服务器认证

• CN = CN = DirectAccess-NLS.example.org

  • 友好名称：DirectAccess-NLS
  • 用途：服务器认证

• CN = DirectAccess-RADIUS-Encrypt-servername.example.org

  • 友好名称：远程访问为 RADIUS 共享机密颁发的证书
  • 用途：所有

所以重申我的问题，我真的需要 3 个单独的证书吗？我可以使用单个证书和主题备用名称执行此操作吗？从我读到的描述中，NLS 和 IPHTTPS 证书都用于 HTTPS，它们似乎应该支持替代名称。

在C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys目录中有一个 Key Containers 的枚举。命名约定是<uniqueGUID>_<staticGUID>，我假设<staticGUID>是机器标识符。最终，我希望能够将密钥容器与其各自的证书配对，以便我可以针对 ACL 的特定密钥文件。为此，我需要知道<uniqueGUID>它是如何派生的以及它与证书的关系。

到目前为止，我检查过的 Microsoft 资源尚未阐明答案，但非常适合参考：

了解机器级和用户级 RSA 密钥容器（IIS 参考）

如何：更改 MachineKeys 目录的安全权限

假设我从证书开始。

使用 openssl 我可以像这样打印出来：

openssl x509 -in cert.pem -text -noout

我会得到一些输出，例如Validity，Issuer和Subject沿Authority Key Identifier和Subject Key Identifier。

我如何使用这些字段来计算链中的下一个证书？

然后一旦我获得下一个证书，计算下一个证书应该是什么等等。

基本上，我想制定完整的链，并按照 EC2 负载均衡器的正确顺序进行处理。由于网络解决方案似乎不只是给你一个有效的包。他们给你单独的证书，我已经尝试并尝试了很多不同的 EC2 排序，但仍然没有让它工作。我最后的赌注是尝试 openssl 并手动解决这个问题，而不是猜测。

我正在尝试使用 StartSSL 证书设置 Nginx (1.4.6-1ubuntu3.1)。我一直在关注文档以使其正常工作，但 Nginx 仅提供服务器证书，而不提供中间证书。

我的服务器配置：

server {
    server_name lanzz.org www.lanzz.org;
    root /var/www/lanzz.org/public;
    index index.html;
    include listen.conf;
    ssl_certificate /etc/ssl/nginx/lanzz.org.chained.pem;
    ssl_certificate_key /etc/ssl/nginx/lanzz.org.key;
}

我的证书包 ( /etc/ssl/nginx/lanzz.org.chained.pem)：

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIGNDCCBBygAwIBAgIBGDANBgkqhkiG9w0BAQUFADB9MQswCQYDVQQGEwJJTDEW
MBQGA1UEChMNU3RhcnRDb20gTHRkLjErMCkGA1UECxMiU2VjdXJlIERpZ2l0YWwg
Q2VydGlmaWNhdGUgU2lnbmluZzEpMCcGA1UEAxMgU3RhcnRDb20gQ2VydGlmaWNh
dGlvbiBBdXRob3JpdHkwHhcNMDcxMDI0MjA1NDE3WhcNMTcxMDI0MjA1NDE3WjCB
jDELMAkGA1UEBhMCSUwxFjAUBgNVBAoTDVN0YXJ0Q29tIEx0ZC4xKzApBgNVBAsT
IlNlY3VyZSBEaWdpdGFsIENlcnRpZmljYXRlIFNpZ25pbmcxODA2BgNVBAMTL1N0
YXJ0Q29tIENsYXNzIDEgUHJpbWFyeSBJbnRlcm1lZGlhdGUgU2VydmVyIENBMIIB
IjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAtonGrO8JUngHrJJj0PREGBiE
gFYfka7hh/oyULTTRwbw5gdfcA4Q9x3AzhA2NIVaD5Ksg8asWFI/ujjo/OenJOJA
pgh2wJJuniptTT9uYSAK21ne0n1jsz5G/vohURjXzTCm7QduO3CHtPn66+6CPAVv …