Différences

Ci-dessous, les différences entre deux révisions de la page.

--- howtossl:howto_certificats_ssl [2018/09/10 12:10] – créée ronan
+++ howtossl:howto_certificats_ssl [2021/09/06 09:41] (Version actuelle) – ghusson
@@ Ligne 27: / Ligne 27: @@
 Use the command that has the extension of your certificate replacing cert.xxx with the name of your certificate
-  $ openssl x509 -in cert.pem -text -noout
+<code bash>
-  $ openssl x509 -in cert.cer -text -noout
+openssl x509 -in cert.pem -text -noout
-  $ openssl x509 -in cert.crt -text -noout
+openssl x509 -in cert.cer -text -noout
+openssl x509 -in cert.crt -text -noout
+</code>
 If you get the folowing error it means that you are trying to view a DER encoded certifciate and need to use the commands in the "View DER encoded certificate below".
@@ Ligne 38: / Ligne 40: @@
 ===== View DER encoded Certificate =====
-  $ openssl x509 -in certificate.der -inform der -text -noout
+<code bash>
+openssl x509 -in certificate.der -inform der -text -noout
+</code>
 If you get the following error it means that you are trying to view a PEM encoded certificate with a command meant for DER encoded certs. Use a command in the "View PEM encoded certificate above".
@@ Ligne 50: / Ligne 54: @@
 ==== PEM to DER ====
-	openssl x509 -in cert.crt -outform der -out cert.der
+<code bash>
+openssl x509 -in cert.crt -outform der -out cert.der
+</code>
 ==== DER to PEM ====
-	openssl x509 -in cert.crt -inform der -outform pem -out cert.pem
+<code bash>
+openssl x509 -in cert.crt -inform der -outform pem -out cert.pem
+</code>
 ===== Combination/Extraction =====
@@ Ligne 62: / Ligne 70: @@
 ==== Chained certificate ====
-	cat mycert.crt > chainedcert.crt
+<code bash>
-	cat subauth.crt >> chainedcert.crt
+cat mycert.crt > chainedcert.crt
-	cat auth.crt >> chainedcert.crt
+cat subauth.crt >> chainedcert.crt
+cat auth.crt >> chainedcert.crt
+</code>
 Pour les certificats une adresse, la meilleure solution pour configurer votre certificat afin de sécuriser votre nom de domaine avec et sans www (ex : exemple.com et www.exemple.com) est de générer votre CSR avec le domaine seulement et non avec le sous domaine www. En effet, lorsque vous générez votre CSR pour le domaine seul, cela implique également l'adresse avec www.
@@ Ligne 71: / Ligne 81: @@
 ===== Processus de demande de certificat =====
   * générer la clef SSL (sans mot de passe) :
-  $ openssl genrsa -out monsite.dom-key.pem 2048
+<code bash>
-  $ openssl req -new -key monsite.dom-key.pem -out monsite.dom-req.pem
+openssl genrsa -out monsite.dom-key.pem 2048
+openssl req -new -key monsite.dom-key.pem -out monsite.dom-req.pem
+</code>
 Lors de cette étape, différentes questions vous seront posées afin de compléter la creation de la CSR et qui apparaîtront dans le certificat SSL. Les caractères suivants ne sont pas acceptés : < > ~! @ # $ % ^ * / \ ( ) ? . , &
@@ Ligne 107: / Ligne 119: @@
 ===== Déchiffer une clef =====
-  openssl rsa <mail.mssante.cgm.net.key >mail.mssante.cgm.net_clear.key
+<code bash>
-  openssl dsa <mail.mssante.cgm.net.key >mail.mssante.cgm.net_clear.key
+openssl rsa <mail.mssante.cgm.net.key >mail.mssante.cgm.net_clear.key
+openssl dsa <mail.mssante.cgm.net.key >mail.mssante.cgm.net_clear.key
+</code>
+==== key et crt => PKCS12/PFX ====
+<code bash>
+openssl pkcs12 -export -out out_cert.pfx -inkey private.key -in domain.crt -certfile ca-bundle.crt
+</code>
+==== pcks12 => pem + key pour openssl (import de certificat depuis win) ====
+<code bash>
+openssl pkcs12 -in infile.pfx -nocerts -nodes -out outfile.key
+openssl pkcs12 -in infile.pfx -nokeys -out outfile_fullchain.pem
+</code>
+==== pcks7 => pem + hash pour openssl (import de root CA local pki AD) ====
+<code bash>
+for CERTIF in $(find -name "*.p7b"); do
+  FILEBN=$(basename --suffix .p7b $CERTIF)
+  openssl pkcs7 -in $FILEBN.p7b -inform DER -print_certs -out $FILEBN.pem
+  echo "================================================================================="
+  echo "= Converted $FILEBN.p7b to $FILEBN.pem, contend hereunder :"
+  echo "================================================================================="
+  openssl x509 -in $FILEBN.pem -text -noout
+done
+for CERTFILE in $(find \( -name "*.crt" -o -name "*.pem" \)); do
+  # make sure file exists and is a valid cert
+  test -f "$CERTFILE" || continue
+  HASH=$(openssl x509 -noout -hash -in "$CERTFILE")
+  echo $HASH
+  test -n "$HASH" || continue
+  # use lowest available iterator for symlink
+  for ITER in 0 1 2 3 4 5 6 7 8 9; do
+    test -f "${HASH}.${ITER}" && continue
+    ln -s "$CERTFILE" "${HASH}.${ITER}"
+    test -L "${HASH}.${ITER}" && break
+  done
+done
+</code>