Anpassen der Expect-Dialog-CA

Meine Variante einer Certificate Authority generiert bereits ein Setup für diverse CAs, das auch anspruchsvollen Szenarien genügen sollte.

Allerdings gibt es noch diverse Stellen, an denen man vielleicht Anpassungen vornehmen möchte und die nicht durch den Dialog-gestützten Erstellungsprozess adressiert werden.

Als erstes wären da die Policies zu nennen, die beim Setup der CAs eingerichtet werden und die dazu dienen sollen, Zertifikate nur für Distinguished Names zu erstellen, die bestimmten Regeln folgen. Während der Erstellung werden zwei Policies exemplarisch in die Konfigurationen aufgenommen: Eine namens match_O_pol kommt zur Anwendung, um nur Zertifikate auszustellen, deren Distinguished Name den gleiche organizationName enthält, wie der Distinguished Name der CA selbst - darüber hinaus fordert diese Policy, dass die Felder countryName und commonName nicht leer sein dürfen:

countryName             = supplied
stateOrProvinceName     = optional
localityName            = optional
organizationName        = match
organizationalUnitName  = optional
commonName              = supplied

Die zweite Policy stellt minimale Anforderungen: sie heißt minimal_pol und fordert lediglich, dass das Feld commonName nicht leer sein darf:

domainComponent         = optional
countryName             = optional
stateOrProvinceName     = optional
localityName            = optional
organizationName        = optional
organizationalUnitName  = optional
commonName              = supplied
emailAddress            = optional

Man kann nach diesem Muster weitre Policies definieren, diese vorgefertigten ändern oder gänzlich löschen - wichtig ist nur, dass es mindestens eine Policy gibt und der Name in der Konfiguration mit _pol endet.

Weiterhin kann man die Anforderungen an den Distinguished Name für den Anwender genauer definieren. Beispiele finden sich in den etc/ Verzeichnissen der issuing CAs. In diesen Konfigurationen, die zur Erzeugung entsprechender Certificate Signing Requests benutzt werden können kann man Vorgaben für die einzelnen Komponenten des Distinguished Name machen, in dem der CSR erzeugt wird.

In der neuesten Version des Projektes werden entsprechende Kommentare in diese Konfigurationen geschrieben, die man entsprechend aktivieren und modifizieren kann, um zum Beispiel den Vorgabewert, die dem Nutzer angezeigte Unterstützung und die minimale und maximale Länge für jede einzelne Komponente des DN vorzugeben. Für S\Mime CSRs sieht ein Ausschnitt im entsprechenden Abschnitt der Konfiguration zum Beispiel so aus:

[ smime_dn ]
countryName             = "1. Country Name (2 letters) (eg, US)       "
countryName_default = "DE"
#countryName_min         = 1
countryName_max         = 2

Und schließlich noch die Name Constraints - auch wenn sie im praktischen Betrieb .link x509nameconstraints.txt=noch keine wirklich großen Auswirkungen zeitigen möchte man sie vielleicht doch definieren. Das geschieht, indem man die entsprechende Extension beim Signieren eines CA-Zertifikats definiert. Einige Beispiele dafür sind hier aufgelistet. <pre> nameConstraints=permitted;email:.somedomain.com nameConstraints=excluded;email:.com

Weitere Informationen zu diesem Thema findet man in den unten aufgeführten Links.

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Brian May, Kerry Ellis & Vittorio Grigolo: Bohemian Rhapsody

    19.05.2019

    Eine andere Sicht auf den schönen Queen-Klassiker

    Weiterlesen...

Neueste Artikel

  • sQLshell, SQLite und Redis - oh my!

    Ich habe in letzter Zeit hin und wieder mit der sQLshell und SQLite herumgespielt - Neulich wurde ich gefragt, ob die sQLshell eigentlich auch Redis kann...

    Weiterlesen...
  • bad-certificates Version 3.0.0

    Das bereits vorgestellte Projekt zur automatisierten Erzeugung von Zertifikaten mit allen möglichen Fehlern wurde um eine weitere Kategorie von Zertifikaten erweitert

    Weiterlesen...
  • Erste Vor-Version eines Gis-Plugin für die sQLshell

    Wie bereits in einem früheren Artikel erwähnt plane ich, demnächst ein Plugin für die sQLshell anzubieten, das eine Visualisierung von Daten mit räumlichem Bezug im Stil eines Geoinformationssystems erlaubt.

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.