TLS SHA256 प्रमाणपत्र अनुरोध कैसे बनाएं

Question

हमारा एक व्यावसायिक भागीदार हमें अपने API से जुड़ने के लिए TLS SHA256 प्रमाणपत्र का उपयोग करने का अनुरोध कर रहा है। मुझे यकीन नहीं है कि ये अनुरोध कैसे उत्पन्न होंगे। मैंने इन अनुरोधों को बनाने के लिए अतीत में ओपनएसएल का उपयोग किया है लेकिन इसने SHA1 का उपयोग करके एक SSL प्रमाणपत्र तैयार किया है। क्या मैं इस अनुरोध को जेनरेट करने के लिए ओपनसेल का उपयोग कर सकता हूं? यदि नहीं, तो मैं कैसे पैदा करूँ कि वे क्या माँग रहे हैं?

मैं इस क्षेत्र में कोई विशेषज्ञ नहीं हूं इसलिए मुझे यह भी नहीं पता कि मैं जो पूछ रहा हूं वह समझ में आता है।

Comments

यदि आप उन 12 लोगों में से एक हैं जिन्हें आज मुझे SHA1 के बजाय SHA256 CSR के साथ वापस आना था, तो यह मेरे लिए मनोरंजक होगा।

— हायपी

@ हैप्पी मुझे आशा है कि आप अभी भी इसे वर्ष के अंत में मनोरंजक लग रहे हैं :)

— Maarten Bodewes

Answer 1

CSR हैश और प्रमाणित हैश संबंधित नहीं है

अनुरोध पर और वास्तविक प्रमाणपत्र पर हैश प्रकार एक दूसरे से संबंधित नहीं हैं।

CA CSR पर हस्ताक्षर की जाँच करता है। इस तरह, CA यह सत्यापित कर सकता है कि CSR पारगमन में नहीं बदला गया था। यह सीएसआर पर सभी हस्ताक्षर करता है।

सीए को यह बताने का कोई आधिकारिक (या अर्ध-आधिकारिक) इन-बैंड तरीका नहीं है कि आप क्या चाहते हैं। इसके बजाय एक CA कंपनी कई CA चला सकती है, जिनमें से एक विशेष रूप से SHA256 का उपयोग करती है। और यदि आप SHA256 चाहते हैं, तो आप अपना CSR उस विशिष्ट SHA256-only-CA की वेबसाइट पर जमा करें। (और उनके SHA1-CA की वेबसाइट पर नहीं।)

अक्सर जो प्रमेय होता है वह कुछ इस प्रकार है: "यदि मैं SHA1 के साथ हस्ताक्षरित CSR जमा करता हूं, तो मेरे प्रमाणपत्र को SHA1 के साथ हस्ताक्षरित किया जाएगा।" यह आमतौर पर नहीं किया जाता है। ( केवल सीए मुझे पता है कि कुछ समय के लिए ऐसा करने के लिए इस्तेमाल किया गया था Gandi.net ।)

SHA256 के साथ CSR पर हस्ताक्षर कैसे करें जो
कहा जा रहा है, -sha256अपने CSR को SHA256 के साथ साइन करने के लिए पैरामीटर का उपयोग करें:

खुलता है = ExampleOrganisation / CN = www.example.com "

कैसे एक सीएसआर के हैश प्रकार की जाँच करें
और यह है कि कैसे आप अपने सीएसआर के हैश प्रकार का पता लगाएं:

$ openssl req -in www.example.com.sha256.csr -noout -text | grep Signature  
    Signature Algorithm: sha256WithRSAEncryption

अच्छा। यह SHA256 का उपयोग कर रहा है जैसे हम चाहते थे।

Answer 2

यदि आप OpenSSL का उपयोग कर रहे हैं, तो आप बस -sha256कमांड लाइन विकल्प जोड़ सकते हैं , जो SHR-256 हस्ताक्षर एल्गोरिथ्म के साथ CSR उत्पन्न करेगा।