인증서 x509 확장자

Question

닫힌 응용 프로그램이 SSL을 사용하는 HTTP 서버로 작동합니다. 나는 인증서를 교환하고 싶지만 어떤 이유로 나는 자체 서명 한 것을 거부하고 서버는 서버를 보내지 않는다 (나는 104 개의 오류가있다). 아무도 그들 사이의 차이점과 문제가 될 수있는 것이 무엇인지 압니다. Btw. 또한 일부 CA가 있지만 문제가 없다고 생각합니다. 서버가 없어도 인증서가 다시 전송되기 때문입니다.

하려면 openssl REQ -x509 -newkey RSA : 2048 -keyout key.pem -out cert.pem -days 360

내 인증서 :

Certificate: 
    Data: 
     Version: 3 (0x2) 
     Serial Number: 
      e7:ee:93:5d:78:65:56:ad 
    Signature Algorithm: sha1WithRSAEncryption 
     Issuer: O=(...), CN=(...) 
     Validity 
      Not Before: Apr 23 17:58:29 2014 GMT 
      Not After : Apr 18 17:58:29 2015 GMT 
     Subject: O=(...), CN=(...) 
     Subject Public Key Info: 
      Public Key Algorithm: rsaEncryption 
       Public-Key: (2048 bit) 
       Modulus: 
       (...) 
       Exponent: 65537 (0x10001) 
     X509v3 extensions: 
      X509v3 Subject Key Identifier: 
       31:CD:5A:41:C0:64:DD:C4:96:30:AB:E2:99:9F:2D:40 
      X509v3 Authority Key Identifier: 
       keyid:31:CD:5A:41:C0:64:DD:C4:96:30:AB:E2:99:9F 
1 

      X509v3 Basic Constraints: 
       CA:TRUE 
    Signature Algorithm: sha1WithRSAEncryption 
    (...) 

-----BEGIN CERTIFICATE----- 
(...) 
-----END CERTIFICATE----- 

나는 사용하여 내 인증서를 생성 할 oryginal 인증서 :

Certificate: 
    Data: 
     Version: 3 (0x2) 
     Serial Number: 1284084212 (0x4c8991f4) 
     Signature Algorithm: sha256WithRSAEncryption 
     Issuer: O=(...), CN=(...) 
     Validity 
      Not Before: Apr 23 17:58:29 2014 GMT 
      Not After : Apr 18 17:58:29 2015 GMT 
     Subject: CN=(...).com, O=(...) 
     Subject Public Key Info: 
      Public Key Algorithm: rsaEncryption 
       Public-Key: (2048 bit) 
       Modulus: 
       (...) 
       Exponent: 65537 (0x10001) 
     X509v3 extensions: 
      X509v3 Key Usage: critical 
       Digital Signature, Key Encipherment 
      X509v3 Certificate Policies: 
       Policy: (...) 

      X509v3 Subject Alternative Name: 
       DNS:(...).com 
      X509v3 Authority Key Identifier: 
       keyid:(...) 

      X509v3 Subject Key Identifier: 
       (...) 
    Signature Algorithm: sha256WithRSAEncryption 
    (...) 
-----BEGIN CERTIFICATE----- 
(...) 
-----END CERTIFICATE----- 

Answer 1

내가 SSL이 여기서 일하는 happends 것입니다 방법을 이해하는 경우 : 이전에 일부 기관에서 서명 한 인증서와 서버, 브라우저 트러스트를했다. https : // ...로 서버의 url에 액세스하려고 시도 할 때 인터넷에 연결되어 있지는 않지만 브라우저는 서버의 인증서를 확인합니다.이 인증서는 신뢰하는 ca로 서명 했으므로 이제 시작하겠습니다. 그러나 이것은 더 이상 그렇지 않습니다. 클라이언트가 자체 서명 인증서를 신뢰하는 방법은 클라이언트가 누구인지에 따라 다릅니다. 브라우저, 모바일 응용 프로그램 등입니다. 브라우저 인 경우 설정을 확인하십시오. 참고 : 서버가 인터넷에 연결되어 있지 않아도 기본적으로 전역 적으로 신뢰할 수있는 일부 기본 CA 목록이 브라우저의 설정에 사전 구성되어 있으므로 일부 CA에서 인증서를 서명 한 것은 아닙니다.

Answer 2

다음의 확장이 필요하지만 누락 된 것으로 보인다 :

• 키 사용 : 중요한, keyEncipherment (아마도 디지털 서명도?)
• 확장 키 사용 : 한 ServerAuth
• 어쩌면 : 넷스케이프 CERT는 유형 : server

또한 CN은 호스트 이름과 일치해야합니다 (또는 주체 대체 이름이 호스트 이름과 일치해야 함). 물론 인증서가 자체 서명되었으므로 클라이언트에 명시 적으로 트러스트를 추가해야합니다.