如何在 openssl.cnf 文件中格式化 OID 主题替代名称条目答案

【问题标题】：How to format an OID Subject Alt Name entry in a openssl.cnf file如何在 openssl.cnf 文件中格式化 OID 主题替代名称条目
【发布时间】：2016-06-25 17:06:31
【问题描述】：

我需要将以下 SAN 添加到证书中：

oid:1.2.3.4.5.5

我正常的证书创建过程是生成一个openssl.cnf文件，然后使用这个文件生成一个csr（证书签名请求），然后使用我自己的CA从csr生成一个证书。

.cnf 文件是一个纯文本文件，其中包含描述我希望包含在 csr 和最终 crt 中的所有 SAN 的部分。该部分如下所示：

...
[san]
DNS.1 = foo.bar
DNS.2 = baz.foobar
IP.1 = 1.1.1.1
IP.2 = 2.2.2.2
...

我尝试了 3 种不同的方式插入 OID 条目：

attempt 1) OID.1 = 1.2.3.4.5.5
attempt 2) DNS.3 = 1.2.3.4.5.5
attempt 3) IP.3 = 1.2.3.4.5.5

使用 1) 尝试生成证书时出现错误，表明前缀 OID 无法识别。使用 2) 和 3) 我能够生成 crt，但是当我将其放置到位时，不支持 SAN oid:1.2.3.4.5.5。

所以，我想知道将此类和条目添加到 openssl.cnf 文件的主题备用名称部分的正确语法是什么。

干杯！

【问题讨论】：

Stack Overflow 是一个编程和开发问题的网站。这个问题似乎离题了，因为它与编程或开发无关。请参阅帮助中心的What topics can I ask about here。也许Super User 或Unix & Linux Stack Exchange 会是一个更好的提问地方。另见Where do I post questions about Dev Ops?。

标签： ssl openssl certificate

【解决方案1】：

根据 Steffen Ullrich 的回答，此版本在完整示例中正确指定了 OID 标识符：

subjectAltName=@san
[san]
DNS.1=foo.example.com
DNS.2=bar.example.com
RID.1=1.2.3.4.5.5

或者，在一行上做：

subjectAltName=DNS:foo.example.com,DNS:bar.example.com,RID:1.2.3.4.5.5

这在与 https://security.stackexchange.com/a/91556 结合使用时特别有用，可以在不使用 .cnf 文件的情况下将 -config 选项传递给 CLI。

【讨论】：

【解决方案2】：

来自the documentation of the config file：

otherName 可以包含与 OID 关联的任意数据：值应该是 OID 后跟分号，内容采用标准 ASN1_generate_nconf 格式。

例子：
subjectAltName=otherName:1.2.3.4;UTF8:some other identifier

或者以你的例子，它应该是一个 SAN 部分

subjectAltName=@san
[san]
DNS.1=foo.example.com
DNS.2=bar.example.com
otherName.1=1.2.3.4;UTF8:some other identifier

【讨论】：

原来我真正需要的标识符是RID（注册对象标识符）。