OpenSSL，基本配置，new_certs_dir，certs

Question

我已经在 openssl-config-file 中搜索了差异的答案并用于这两个配置参数。

certs         = ... # Where the issued certs are

和

new_certs_dir = ... # default place for new certs 

在Network Security with OpenSSL O'Reilly 一书中，default-openssl-config-file 中也有这两个参数，但certs从未使用过，也从未描述过。通过我的测试openssl，所有证书都存储在由new_cers_dir.

这两个参数有什么区别？参数是否在certs某处使用？

Answer 1

如文档所示

https://www.openssl.org/docs/man1.1.0/apps/ca.html

CA 使用 new_certs_dir 来输出新生成的证书。

此处不使用证书。然而，它在 demoCA 中引用：“./demoCA/certs - 证书输出文件” Certs 也未用于证书链，如下所示：

https://www.openssl.org/docs/man1.1.0/apps/pkcs12.html或https://www.openssl.org/docs/man1.1.0/apps/verify.html

请注意，/etc/ssl/certs 是已颁发证书的默认位置。但是 certs 变量是 $dir/certs 所以它应该是 ./demoCA/certs 我想我们都同意它用于特定于 CA 的已发布证书。这是有道理的，因为 CA 可能正在签署链接到尚未由任何公共证书颁发机构颁发的证书的证书。

但是这方面的文档在哪里？我相信它是配置文件的产物。它用于像证书这样的选项，它将 ca.pem 保存在证书中，所以证书=$certs/ca.pem。

我依稀记得有这个完全相同的问题，直到我意识到它后来在配置文件中使用过，但现在没有了。

编辑：它变得更奇怪了。此处的 ca.c 的当前版本：https : //github.com/openssl/openssl/blob/master/apps/ca.c不引用证书。但是像这样的更旧版本：https : //github.com/openssl/openssl/blob/d02b48c63a58ea4367a0e905979f140b7d090f86/apps/ca.c 参考它，但什么也不做。