[OpenSSL] CMP 명령어 사용법

Manual/OpenSSL

[OpenSSL] CMP 명령어 사용법

JayKim🙂 2023. 4. 7. 12:01

CMP (Certificate Management Protocol) 프로토콜은 OpenSSL 3.0 버전에서 지원되는 프로토콜이다.
CMP 를 사용하기 위해서는 OpenSSL 3.0 이상 사용해야 한다.

https://www.openssl.org/docs/man3.0/man1/openssl-cmp.html

사실 OpenSSL CMP 명령어는 인증서와 사실 개인키가 미리 만들어 놓고 CMP 프로토콜로 전송 하기 위한 테스트 명령어이다.
그러니 openssl.cnf 파일과 미리 인증서와 개인키 들 모두 준비 가 되어야 한다.
여기 예제로 사용 된 인증서와 개인키는 아래 "테스트용 인증서 및 개인키 PEM" 부분의 내용을 파일로 만들어 쓰면 된다.

CMP 에서 cmd 옵션에 관하여

ir - Initialization Request
cr - Certificate Request
p10cr - PKCS#10 Certificate Request ( for legacy support )
kur - Key Update Request
rr - Revocation Request
genm - General Message

인증서 폐기 이유

CRLReason ::= ENUMERATED {
     unspecified             (0),
     keyCompromise           (1),
     cACompromise            (2),
     affiliationChanged      (3),
     superseded              (4),
     cessationOfOperation    (5),
     certificateHold         (6),
     -- value 7 is not used
     removeFromCRL           (8),
     privilegeWithdrawn      (9),
     aACompromise           (10)
 }

openssl.cnf 에서 CMP 관련 설정 정보

설정 정보에서 경로 정보가 없는 경우는 opessl 명령어 실행 폴더라고 보면 된다.
즉 "newkey = insta.priv.pem" 이렇게 설정을 하면 현재 폴더에 insta.priv.pem 파일을 가르킨다.

[insta] # CMP using Insta Demo CA
# Message transfer
server = 127.0.0.1:8080 # CMP client 에서 연결 서버 정보
# proxy = # set this as far as needed, e.g., http://192.168.1.1:8080
# tls_use = 0
path = pkix/

# Server authentication
recipient = "/C=kr/CN=RSA_ROOT_CA" # or set srvcert or issuer
ignore_keyusage = 1 # potentially needed quirk
unprotected_errors = 1 # potentially needed quirk
extracertsout = insta.extracerts.pem

# Client authentication
ref = 3078 # user identification
secret = pass:insta # can be used for both client and server side

# Generic message options
cmd = ir # default operation, can be overridden on cmd line with, e.g., kur

# Certificate enrollment
subject = "/C=kr/CN=CMP_TEST" # 발급되는 인증서의 DN 정보 값
newkey = insta.priv.pem
out_trusted = RSA_ROOT_CA.crt
certout = insta.cert.pem

[pbm] # Password-based protection for Insta CA
# Server and client authentication
ref = $insta::ref # 3078
secret = $insta::secret # pass:insta

[signature] # Signature-based protection for Insta CA
# Server authentication
trusted = RSA_ROOT_CA.crt # does not include keyUsage digitalSignature

# Client authentication
secret = # disable PBM
key = $insta::newkey # insta.priv.pem
cert = $insta::certout # insta.cert.pem

[ir]
cmd = ir

[cr]
cmd = cr

[kur]
# Certificate update
cmd = kur
oldcert = $insta::certout # insta.cert.pem

[rr]
# Certificate revocation
cmd = rr
oldcert = $insta::certout # insta.cert.pem

CMP Mock 서버 실행

CMP 용 테스트 Mock 서버를 뛰우는 명령어이다.

openssl cmp -port 8080 -srv_trusted RSA_ROOT_CA.crt \
> -srv_key RSA_ROOT_CA_key.pem \
> -srv_cert RSA_ROOT_CA.crt \
> -srv_secret pass:insta \
> -rsp_cert insta.cert.pem

-port : 서버 서비스 포트 번호 ( 예: 8080 )
-srv_trusted : 신뢰 인증서 정보 파일 ( 루트 겸 CA라 서버와 같이 사용 함 )
-srv_key : CMP 서버용 개인키
-srv_cer : CMP 서버용 인증서
-srv_secret : 패스워드로 "insta" 값 확인
-rsp_cert : 실제로 Mock 서버는 인증서를 발행은 하지 않고 이 옵션 파일에 인증서를 전달 한다.

CMP 클라이언트 명령어 실행

openssl cmp -section insta

이 명령어를 실행 하기 위해서는 명령어 실행 폴더에 insta.priv.pem 개인키 파일과 RSA_ROOT_CA.crt 파일이 같이 있어야 한다.
이 insta.priv.pem 파일은 CMP 서버에서 보내온 insta.cert.pem 에 사용된 인증서의 개인키 파일이어야 한다.

실행 결과 메세지

 openssl cmp -section insta
cmp_main:apps/cmp.c:2779:CMP info: using section(s) 'insta' of OpenSSL configuration file 'C:/msys64/home/RANIX/work/PKILib/lib/win64/openssl3/ssl/openssl.cnf'
setup_client_ctx:apps/cmp.c:1957:CMP info: will contact http://127.0.0.1:8080/pkix/
CMP info: sending IR
CMP info: received IP
CMP info: sending CERTCONF
CMP info: received PKICONF
save_free_certs:apps/cmp.c:2004:CMP info: received 0 extra certificate(s), saving to file 'insta.extracerts.pem'
save_free_certs:apps/cmp.c:2004:CMP info: received 1 enrolled certificate(s), saving to file 'insta.cert.pem'

명령어 종류에 대해 값이 없으면 디폴트로 ir 값을 사용한다.
사실 아래 처럼 cr 명령어를 사용해도 인증서는 똑같이 발급 된다.

openssl cmp -section insta -cmd cr

실제로 다른 정보들도 더 필요한데 그 정보들은 openssl.cnf 파일 내에 "insta" 섹션 정보를 참고 한다고 보면 된다.
그래서 간단히 명령어가 실행이 된다.

테스트용 인증서 및 개인키 PEM

RSA_ROOT_CA 인증서 ( RSA_ROOT_CA.crt )

RSA_ROOT_CA 개인키 (RSA_ROOT_CA_key.pem )

CMP_TEST 인증서 ( insta.cert.pem )

CMP_TEST 개인키 ( insta.priv.pem )

'Manual > OpenSSL' 카테고리의 다른 글

[OpenSSL] enc ( 암호화 ) 명령어 (1)	2023.05.04
[OpenSSL] CA.pl 명령어 (0)	2023.04.25
[OpenSSL] RSA용 RootCA 생성 및 SSL 인증서 만들기 (0)	2023.04.07
[OpenSSL] OCSP 와 TSP 명령어 (0)	2023.04.07
[OpenSSL] PKCS#12 (PFX) 파일 만들기 명령어 (0)	2023.04.07

현재글[OpenSSL] CMP 명령어 사용법

Warehouse of PKI