OpenSSL 使用自定义主题字段生成并签署证书

Question

我需要使用自定义主题 (, SERIALNUMBER=...,) 创建并签署（我是 CA）证书。

到目前为止，我已经修改了 openssl 配置文件，因此我能够在主题中包含自定义字段。

[ new_oids ]
SERIALNUMBER = 1.2.3.4.1333

问题是，签署此类证书后，新字段会以奇怪的数字格式出现 -

C = FI
O = Maahanmuuttovirasto
1.2.3.4.1333 = 00REINIS00

我应该在 openssl 配置文件中更改哪些位置和内容以生成具有正常字段名称的证书？我如何告诉签名过程 1.2.3.4.1333 应编码为“序列号”。

谢谢你， 牛肉

Answer 1

这实际上根本没有错误。证书主题中存储的是 DistinguishedName。比照。 RFC 5280

TBSCertificate  ::=  SEQUENCE  {
     version         [0]  Version DEFAULT v1,
     serialNumber         CertificateSerialNumber,
     signature            AlgorithmIdentifier,
     issuer               Name,
     validity             Validity,
     subject              Name,
     subjectPublicKeyInfo SubjectPublicKeyInfo,
     issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL,
                          -- If present, version MUST be v2 or v3
     subjectUniqueID [2]  IMPLICIT UniqueIdentifier OPTIONAL,
                          -- If present, version MUST be v2 or v3
     extensions      [3]  Extensions OPTIONAL
                          -- If present, version MUST be v3 --  }

所以主题是一个Name，它被定义为

Name ::= CHOICE { -- only one possibility for now --
      rdnSequence  RDNSequence }

RDNSequence ::= SEQUENCE OF RelativeDistinguishedName

RelativeDistinguishedName ::= SET SIZE (1..MAX) OF AttributeTypeAndValue

AttributeTypeAndValue ::= SEQUENCE {
     type     AttributeType,
     value    AttributeValue }

AttributeType ::= OBJECT IDENTIFIER

AttributeValue ::= ANY -- DEFINED BY AttributeType

所以如你所见，主题由一系列RelativeDistingsuishedNames组成，每个代表一对oid加上分配的值。这意味着您的证书中不会存储“SERIALNUMBER”，而只会存储 oid 的值 1.2.3.4.1333。由应用程序将这些 oid 解释为有意义的东西，并且大多数应用程序都知道许多常见的 oid，并将使用字符串表示，例如“C”、“O”、“OU”、“CN”等（参见 RFC 2253 或 RFC 1779）。

但默认情况下，OpenSSL 不知道“SERIALNUMBER”，事实上，您自己将其添加到 new_oids 中。因此，除了打印 OID 本身之外，OpenSSL 不知道如何表示“SERIALNUMBER”。但任何其他识别“SERIALNUMBER”的软件（IIRC Windows/IE 是）都会将其正确显示为“SERIALNUMBER”的值。