[OpenSSL] CA.pl 명령어

OpenSSL 에서 간단히 CA 인증서와 인증서 발급 및 CRL 을 생성하는 Perl 명령어가 CA.pl 이다.
OpenSSL 을 이용해서 인증서 및 CRL 생성을 위해서는 이 툴이 가장 쉽게 할 수 있다.
이 파일은 openssl/ssl/misc 폴더에 존재 한다.
물론 이 명령어를 실행 하기 위해서는 perl 이 설치 되어 있어야 한다.

이 문서는 명령어 메뉴얼 페이지를 참조 해서 만들었다.
이 명령어 테스트는 리눅스 환경이다.
(윈도우 환경은 터미널 입력에 문제가 있어서 리눅스나 맥에서 하는걸 추천 함 )

초기 인증서를 만들려면 루트 CA이면서 CA인증서를 먼저 만들어 주어야 한다.

1. CA 인증서 만들기

먼저 CA인증서를 만들려면 CA.pl -newca 명령어를 실행 한다.
이때 이미 명령어를 실행 하면 demoCA 폴더가 존재하는데 다시 실행 시 이 demoCA 폴더를 삭제 하면 된다.
이 명령어는 내부적으로 openssl.cnf 설정 파일을 참조 한다.
CA.pl -newca 명령어

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -newca
CA certificate filename (or enter to create)

Making CA certificate ...
====
openssl req  -new -keyout ./demoCA/private/cakey.pem -out ./demoCA/careq.pem 

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -newca
CA certificate filename (or enter to create)

Making CA certificate ...
====
openssl req  -new -keyout ./demoCA/private/cakey.pem -out ./demoCA/careq.pem 
1234
생략...
Country Name (2 letter code) [KR]:
State or Province Name (full name) [Korea]:
Locality Name (eg, city) []:
Organization Name (eg, company) [TEST]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:CA
Email Address []:
생략..
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
==> 0
====
====
openssl ca  -create_serial -out ./demoCA/cacert.pem -days 1095 -batch -keyfile ./demoCA/private/cakey.pem -selfsign -extensions v3_ca -infiles ./demoCA/careq.pem 
Using configuration from /home/jykim/openssl3/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
Check that the request matches the signature

실행 화면에서 주의 해야하는데 필히 "Common Name (e.g. server FQDN or YOUR name) []:" 이 부분의 값은 넣어주어야 한다.
즉 이름 값이다.

그리고 패스워드를 3번 입력 받는데 처음 두번은 개인키에 대한 암호 및 암호 확인이구 그리고 마지막에는 실제로 개인키를 사용하기 위해 앞에서 입력한 개인키를 넣어 주어야 한다.

2. 인증서 발급

demoCA폴더에 만들어진 CA인증서를 이용해 인증서를 발급해 보자
먼저 인증서를 발급하기 위해선 요청서 발급을 하고 그다음 CA인증서의 개인키를 이용 인증서 발급을 해야 한다.

2-1. 요청서 발급 (CSR) 만들기

CA.pl -newreq 명령어

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -newreq
Use of uninitialized value $1 in concatenation (.) or string at ./CA.pl line 145.
====
openssl req  -new  -keyout newkey.pem -out newreq.pem -days 365 
Ignoring -days without -x509; not generating a certificate
생략..

Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [KR]:
State or Province Name (full name) [Korea]:
Locality Name (eg, city) []:
Organization Name (eg, company) [TEST]:
Organizational Unit Name (eg, section) []:AAA
Common Name (e.g. server FQDN or YOUR name) []:BBB
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
==> 0
====
Request is in newreq.pem, private key is in newkey.pem

이때 CSR을 생성 하기 위해 개인키를 만들고 CSR 을 만드는데 이 때 입력하는 패스워드는 CSR에 매칭 되는 개인키의 패스워드이다.
그리고 CSR 에도 DN값 생성을 위해서 DN 정보를 입력 받는다.
참고로 challenge password는 요청서에 들어가는 값인데 그냥 엔터 치고 넘어가자 여기서는 안쓰기 때문이다.

2-2. 인증서 발급

앞에서 생성된 newreq.pem 을 이용해 인증서를 발급하자.
CA.pl -sign 명령어

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -sign
====
openssl ca  -policy policy_anything -out newcert.pem -infiles newreq.pem 
Using configuration from /home/jykim/openssl3/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number:
            3c:61:45:06:6b:40:c0:d3:0a:b6:39:4a:4b:64:c0:91:3d:36:1c:05
        Validity
            Not Before: Apr 25 06:34:04 2023 GMT
            Not After : Apr 24 06:34:04 2024 GMT
        Subject:
            countryName               = KR
            stateOrProvinceName       = Korea
            organizationName          = TEST
            organizationalUnitName    = AAA
            commonName                = BBB
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            X509v3 Subject Key Identifier: 
                DC:F4:9B:F4:28:53:80:33:80:B0:F7:B6:41:5E:C4:91:C6:52:45:21
            X509v3 Authority Key Identifier: 
                C0:66:93:EB:1A:8B:0D:90:92:F5:B7:63:3F:5C:1A:72:07:2C:D4:B7
Certificate is to be certified until Apr 24 06:34:04 2024 GMT (365 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
==> 0
====
Signed certificate is in newcert.pem

입력 패스워드는 cakey.pem 즉 CA개인키 패스워드를 입력한다.
명령어 실행 폴더에 보면 3가지 파일이 존재 한다.

• newcert.pem : 생성된 인증서
• newkey.pem : 생성한 개인키
• newreq.pem 생성한 요청서

이렇게 해당 인증서를 발급하였다.

3. 생성 인증서와 개인키 파일 pfx 만들기

CA.pl -pkcs12 명령어

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -pkcs12
====
openssl pkcs12 -in newcert.pem -inkey newkey.pem -certfile ./demoCA/cacert.pem -out newcert.p12 -export -name "My Certificate" 
Enter pass phrase for newkey.pem:
Enter Export Password:
Verifying - Enter Export Password:
==> 0
====
PKCS #12 file is in newcert.p12

이 명령어는 생성한 newkey.pem, newcert.pem 그리고 cacert.pem 의 정보를 포함한 p12 파일을 만든다.
이때 입력하는 패스워드는 처음에 개인키에 대한 패스워드 값을 입력하고
그 다음에는 pfx 파일에 대한 패스워드와 패스워드 값을 입력해 주어야 한다.

4. CRL 파일 만들기

CA.pl -crl 명령어

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -crl
====
openssl ca  -gencrl -out ./demoCA/crl/crl.pem 
Using configuration from /home/jykim/openssl3/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
==> 0
====
Generated CRL is in ./demoCA/crl/crl.pem

입력 패스워드는 cakey.pem 즉 CA개인키 패스워드를 입력한다.
이렇게 간단히 CRL 파일을 생성 할 수 있다.
해당 파일에는 폐기한 인증서 정보는 없다.

5. 인증서 폐기 하기

CA.pl -revoke [reason]

jykim@jykim-VirtualBox:~/openssl3/ssl/misc$ ./CA.pl -revoke newcert.pem 
Use of uninitialized value $reason in concatenation (.) or string at ./CA.pl line 230.
====
openssl ca  -revoke "newcert.pem"
Using configuration from /home/jykim/openssl3/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
Revoking Certificate 3C6145066B40C0D30AB6394A4B64C0913D361C05.
Data Base Updated
==> 0
====

입력 패스워드는 cakey.pem 즉 CA개인키 패스워드를 입력한다.
이렇게 하면 인증서가 폐기 된다.

인증서 폐기시 폐기 이유값을 붙일수도 있다.
이유값은 unspecified, keyCompromise, CACompromise, affiliationChanged, superseded, cessationOfOperation, certificateHold, 또는 removeFromCRL 이렇게 있다.
그리고 다시 CA.pl -crl 명령어를 실행 하면 해당 crl 파일에 폐기된 인증서 정보가 추가 된다.

실제로 관련 정보는 demoCA에 보면 관련 파일 정보를 참고 하고 있다.

• index.txt : 발급된 인증서의 DN 및 시리얼 정보 파일
• crlnumber : 폐기 인증서 시리얼 정보
• serial : 발급할 인증서 시리얼 번호

이렇게 CA.pl 명령어를 이용해 간단히 CA 인증서 및 인증서 발급을 해 보았다.
여기서는 openssl.cnf 값의 디폴트 값을 이용했다. ( 일부 DN 정보 부분은 수정 됨 )
내부적으로 openssl.cnf 파일 설정을 참고 하니 내부 값 또는 알고리즘의 변경이 필요시 openssl.cnf 파일의 적절히 변경 해서 사용해야 한다.