mod_ssl SSLCACertificatePath Penggunaan yang Tepat atau Apa cara terbaik untuk Menangani Beberapa CA Sertifikat Klien yang Dapat Diterima

Saya mencoba menggunakan direktif mod_proxy SSLCACertificatePath, tapi saya agak bingung bagaimana menggunakannya dengan benar.

Berikut adalah dua tautan yang menjelaskan arahan SSLCACertificatePath:
http://httpd.apache.org/docs/2.0/mod/mod_ssl.html#sslcacertificatepath
http://www.modssl.org/docs/2.8/ssl_reference.html#ToC13

Saya tidak positif tentang cara membuat tautan simbolik hash. Tautan kedua menyatakan untuk menggunakan file apache make, tapi saya tidak mengerti apa yang sebenarnya dikatakan di sana.

Bimbingan ramah apa pun akan sangat dihargai.

Terima kasih atas waktu Anda.

MEMPERBARUI

Tujuan pertanyaan saya adalah untuk mengetahui bagaimana menangani beberapa CA untuk memvalidasi Sertifikat Klien pengguna akhir. Saya tidak menyadari bahwa beberapa sertifikat pem dapat digunakan dalam satu file, yang, dalam kasus saya jelas merupakan cara yang tepat untuk maju.

Jika Anda tidak jelas tentang cara membuat symlink bernama hash saran saya bukan untuk digunakan CACertificatePath, melainkan untuk digunakan CACertificateFilesebagai gantinya. (Sebenarnya ini adalah saran saya secara umum: mempertahankan dengan benar CACertificateFile mungkin sedikit lebih banyak pekerjaan jika Anda memiliki banyak sertifikat CA yang sering berubah, tetapi Anda mungkin seharusnya tidak memiliki banyak Sertifikat CA, dan mereka tidak boleh banyak berubah pula. .) Selain itu tampaknya Makefile yang dirujuk telah menghilang dari tarball distribusi Apache (dan kurangnya kemarahan publik dapat mengindikasikan berapa banyak orang yang menggunakan metode "jalur" untuk menyimpan sertifikat :).

Semua yang dikatakan, jika Anda masih ingin melakukan ini, Anda dapat melanjutkan per apa yang dikatakan DerfK (dapatkan Makefile lama, atau tulis skrip Anda sendiri / makefile yang berjalan openssl x509 -noout -hashmelawan semua file sertifikat Anda dan buat tautan simbolik yang diberi nama dengan tepat).

Saya menemukan bug terbuka mengenai hal ini. Selain mengunduh rilis modssl.org lama yang disebutkan dalam bug dan mendapatkan Makefile darinya, tampaknya Anda bisa mendapatkan nilai dari hash dari openssl x509 -in foo.crt -noout -hashmeskipun tidak jelas apa yang dimaksud dengan bagian ".N" (mungkin ini untuk tabrakan hash (mis. cert pertama dengan hash 12345678 memiliki symlink 12345678.1 menunjuk ke sana, cert kedua yang memiliki hash yang sama menggunakan .2? Atau mungkin itu dimulai dengan .0?)

Jika Anda mendapatkan Makefile.crtfile dari modssl lama, saya yakin yang akan Anda lakukan adalah meletakkannya di folder dengan semua sertifikat Anda, kemudian jalankan make -f Makefile.crtdi folder itu.