让我们用 ECC 加密 csr (P-521)

Question

我正在尝试使用 Let's Encrypt 为我的 Web 服务器生成证书。我想用openssl手动生成密钥和csr，然后使用letsencrypt / certbot来获取证书。我特别想要使用该证书sha256withecdsa。我特别想使用曲线secp521r1（又名P-521）。

然而，当我输入命令时，密钥生成和 csr 生成工作正常

certbot certonly --apache -d [censored] --csr mycsr.csr --agree-tos

我收到以下错误：

请求消息格式错误 :: 证书请求中的密钥无效 :: 不允许 ECDSA 曲线 P-521

仍然ECDSA不受支持，还是我做错了什么？

Answer 1

虽然 P-521 可在X.509 证书中使用，但大多数浏览器都放弃了对它的支持，因为它不是Suite B的一部分并且不太流行。因此，Certbot不允许使用 P-521 生成证书，因为浏览器无论如何都会拒绝它。您仍然可以使用 P-256 和 P-384 曲线生成证书。有关详细信息，请参阅Mozilla和Google错误报告。