openssl “tidak dapat menemukan 'differished_name' di config”

Saya mendapatkan kesalahan berikut dari openssl req:

unable to find 'distinguished_name' in config
problems making Certificate Request
41035:error:0E06D06C:configuration file routines:NCONF_get_string:no value:/SourceCache/OpenSSL098/OpenSSL098-52.30.1/src/crypto/conf/conf_lib.c:329:group=req name=distinguished_name

Pemahaman saya adalah bahwa ini adalah "Subject" bahwa ia tidak dapat menemukan ... Namun, saya sedang menetapkan bahwa:

openssl req -new \
    -key "$PRIVATE_KEY" \
    -sha256 \
    -config "$OPTIONS_FILE" \
    -subj "/C=US/ST=California/L=San Francisco/O=ACME, Inc./CN=*.*.$DOMAIN/" \
    -out "$CSR_FILENAME"

Satu-satunya saran manual adalah bahwa file konfigurasi tidak ada; Saya bisa cat "$OPTIONS_FILE", jadi pasti ada di sana, dan kesalahan tidak didahului oleh kesalahan catatan manual itu akan didahului oleh jika ini terjadi, jadi saya cukup yakin opensslmelihat file konfigurasi.

File config saya berisi yang berikut ini:

[req]
req_extensions = v3_req

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = *.*.example.com 

... yang secara harfiah adalah contoh dalam dokumen .

Apa yang saya lakukan salah di sini?

Sejauh yang saya tahu , -configmenimpa semacam konfigurasi internal; jika Anda melihat bagian "CONTOH" untuk halaman manual untuk openssl req , ia memperlihatkan contoh file konfigurasi distinguished_namedi dalamnya. Pada firasat, saya menambahkan yang berikut ke konfigurasi saya:

[req]
…
distinguished_name = req_distinguished_name

[req_distinguished_name]
# empty.

Dengan demikian, seluruh konfigurasi saya terlihat seperti

[req]
req_extensions = v3_req
distinguished_name = req_distinguished_name

[req_distinguished_name]

[v3_req]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = *.*.${DOMAIN}

(Perhatikan bahwa di sini, ${DOMAIN}tidak secara literal; Anda harus menggantinya dengan nama domain DNS Anda; Saya membuat file ini dengan bashskrip cat >"$OPTIONS_FILE" <<EOF, diikuti oleh yang di atas, diikuti oleh EOF)

openssl req … -subj <my subject> -config <that file> …kemudian mengambil subjek saya dari baris perintah. Bagi mereka yang tertarik, seluruh perintah akhirnya tampak seperti:

openssl req -new \
    -key "$PRIVATE_KEY" \
    -sha256 \
    -config "$OPTIONS_FILE" \
    -subj "/C=US/ST=California/L=San Francisco/O=My Company, Inc./CN=*.*.$DOMAIN/" \
    -out "$CSR_FILENAME"

Pada posting ini, pemahaman saya adalah bahwa SHA-1 sudah usang¹ untuk sertifikat X.509, karenanya -sha256(yang merupakan bendera tidak berdokumen ...), dan subjectAltName menjadi wajib², maka diperlukan konfigurasi. Satu-satunya gotcha tambahan yang saya tahu untuk menghasilkan CSR praktik terbaik ke atas adalah bahwa Anda harus menggunakan ukuran kunci RSA setidaknya 2048 bit (jika Anda menggunakan RSA, yang saya); Anda harus menentukan ukuran keopenssl genrsa perintah karena standar saat ini tidak aman.

_{¹Sementara tidak rusak pada saat saya menulis ini, orang-orang merasa hanya masalah waktu saja. Lihat "
Matahari terbenam secara bertahap SHA1" ²Menggunakan CN untuk nama domain tidak lagi direkomendasikan; Saya tidak yakin kapan / jika browser berencana untuk menghentikan ini. "Minggir dari memasukkan dan memeriksa string yang terlihat seperti nama domain dalam Nama Umum subjek.", RFC 6125
Catatan: Saya kurang yakin tentang nilai "benar" dari keyUsage.}

Saya memiliki masalah yang sama dan menemukan jawabannya di sini:

https://www.citrix.com/blogs/2015/04/10/how-to-create-a-csr-for-a-san-certificate-on-netscaler/

File konfigurasi terlihat seperti ini:

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = www.company.com
[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = www.company.com
DNS.2 = company.com
DNS.3 = www.company.net 
DNS.4 = company.net 

Lalu:

openssl req -new -key private.key -sha256 -nodes -config openssl.conf -out certificate.csr

Bagi saya kesalahan ini tampaknya disebabkan oleh pembuatan jalur yang salah saat menjalankan perintah di Windows Server 2012, C:\OpenSSL-Win32\bin

openssl req -new -sha256 -key private.pem -out example.csr

yang menghasilkan kesalahan non-pemblokiran sebelum meminta pass phare:

Tidak dapat membuka C: \ Program Files (x86) \ Common Files \ SSL / openssl.cnf untuk membaca, Tidak ada file atau direktori

Jelas, path tidak valid karena slash yang salah, jadi file config harus ditambahkan secara eksplisit di baris perintah:

openssl req -new -sha256 -key private.pem -config openssl.cfg -out example.csr

Kesalahan serupa ini:

$ openssl req -x509 -newkey rsa: 4096 -keyout _key.pem -out cert.pem -days 365 -nodes Anda akan diminta untuk memasukkan informasi yang akan dimasukkan ke dalam permintaan sertifikat Anda. Apa yang akan Anda masukkan adalah apa yang disebut dengan Distinguished Name atau DN. Ada beberapa bidang tetapi Anda dapat membiarkan beberapa kosong. Untuk beberapa bidang akan ada nilai default, Jika Anda memasukkan '.', Bidang tersebut akan dibiarkan kosong. ----- Nama Negara (2 kode huruf) [AU]: masalah dalam membuat Permintaan Sertifikat

(Ubuntu 17.04) berarti "Anda perlu menambahkan

-subj "/C=US/ST=California/L=San Francis co/O=ACME, Inc./CN=*.*.$DOMAIN/"

ke baris perintah "FWIW.

Masalah lain yang mungkin terjadi adalah karakter UTF-8 khusus (tidak terlihat). Periksa file Anda menggunakan

cat -v $OPTIONS_FILE