Provided by: manpages-fr-extra_20151231_all 
NOM
x509 - Utilitaire d'affichage et de signature de certificat
SYNOPSIS
openssl x509 [-inform DER|PEM|NET] [-outform DER|PEM|NET] [-keyform DER|PEM] [-CAform DER|PEM]
[-CAkeyform DER|PEM] [-in nom_fichier] [-out nom_fichier] [-serial] [-subject_hash] [-issuer_hash]
[-ocspid] [-subject] [-issuer] [-nameopt option] [-email] [-ocsp_uri] [-startdate] [-enddate] [-purpose]
[-dates] [-checkend num] [-modulus] [-pubkey] [-fingerprint] [-alias] [-noout] [-trustout] [-clrtrust]
[-clrreject] [-addtrust param] [-addreject param] [-setalias param] [-days param] [-set_serial n]
[-signkey nom_fichier] [-passin param] [-x509toreq] [-req] [-CA nom_fichier] [-CAkey nom_fichier]
[-CAcreateserial] [-CAserial nom_fichier] [-force_pubkey clef] [-text] [-certopt option] [-C]
[-md2|-md5|-sha1|-mdc2] [-clrext] [-extfile nom_fichier] [-extensions section] [-engine id]
DESCRIPTION
La commande x509 a plusieurs rôles. Elle peut être utilisée pour afficher les informations sur le
certificat, convertir les certificats en diverses formes, signer les demandes de certificat comme les
« mini CA » ou éditer les paramètres de confiance du certificat.
Comme il y a un grand nombre d'options, elles vont se repartir en plusieurs sections.
OPTIONS
OPTIONS D’ENTRÉE, DE SORTIE ET DIVERSES
-inform DER|PEM|NET
Indique le format normal d’entrée que la commande attendra d’un certificat X509 mais cela peut
changer si d'autres options comme -req sont indiquées. Le format DER est l'encodage DER du certificat
et PEM est l'encodage base64 de l'encodage DER avec des hauts de page et des pieds de pages ajoutés.
L'option NET est un obscur format de serveur Netscape qui est à présent obsolète.
-outform DER|PEM|NET
Indique le format de sortie. Les options ont la même signification que pour l'option -inform.
-in nom_fichier
Indique le nom du fichier d'entrée à partir duquel le certificat sera lu. Par défaut, le certificat
est lu depuis l'entrée standard si cette option est omise.
-out nom_fichier
Indique le nom du fichier de sortie. La sortie standard est utilisée par défaut.
-md2|-md5|-sha1|-mdc2
La fonction de hachage à utiliser. Cela affecte toute option de signature ou d'affichage qui utilise
un condensé, comme les options -fingerprint, -signkey et -CA. Si elle n'est pas spécifiée, alors SHA1
est utilisée. Si la clé utilisée pour s'identifier est une clé DSA, alors cette option n'a pas
d'effet : SHA1 est toujours utilisée avec les clés DSA.
-engine id
Indiquer un moteur (en utilisant son identifiant unique id) conduira x509 à essayer d'obtenir une
référence fonctionnelle pour le moteur indiqué, et l'initialiser si nécessaire. Le moteur sera
ensuite utilisé par défaut pour tous les algorithmes disponibles.
OPTIONS D'AFFICHAGE
Remarque : les options -alias et -purpose sont également des options d'affichage mais elles sont décrites
dans la section PARAMÈTRES DE CONFIANCE.
-text
Affiche le certificat sous forme de texte. Tous les détails sont affichés, y compris la clé publique,
les algorithmes de signature, les noms d'émetteur et de sujet, le numéro de série des extensions
présentes et tous les paramètres de confiance.
-certopt option
Personnalise le format de sortie utilisé avec -text. L'option peut être une simple option ou
plusieurs options séparées par des virgules. -certopt peut également être utilisé plus d'une fois
pour définir plusieurs options. Voir la section OPTIONS DE TEXTE pour de plus amples informations.
-noout
Cette option empêche la sortie de la version codée de la demande.
-pubkey
Affiche la structure SubjectPublicKeyInfo du certificat au format PEM.
-modulus
Cette option affiche la valeur du modulo de la clé publique contenue dans le certificat.
-serial
Affiche le numéro de série du certificat.
-subject_hash
Affiche le « hash » du nom du sujet du certificat. Cela est utilisé dans OpenSSL pour former un index
permettant de rechercher un certificat dans un répertoire avec le nom de sujet.
-issuer_hash
Affiche le « hash » du nom de l'émetteur du certificat.
-ocspid
Affiche les valeurs de hachage OCSP pour le nom du sujet et la clé publique.
-hash
Synonyme de « -subject_hash » pour des raisons de compatibilité descendante.
-subject_hash_old
Affiche le « hash » du nom de sujet du certificat en utilisant l'ancien algorithme utilisé dans les
versions d'OpenSSL avant 1.0.0.
-issuer_hash_old
Affiche le « hash » du nom de l'émetteur du certificat en utilisant l'ancien algorithme utilisé dans
les versions d'OpenSSL avant 1.0.0.
-subject
Affiche le nom du sujet.
-issuer
Affiche le nom de l'émetteur.
-nameopt option
L'option qui détermine la façon dont les noms d'objet ou d'émetteur sont affichés. L'argument option
peut être une simple option ou plusieurs options séparées par des virgules. Vous pouvez également
utiliser -nameopt plus d'une fois pour définir plusieurs options. Voir la section OPTIONS DE NOM pour
de plus amples informations.
-email
Affiche la ou les adresses électroniques le cas échéant.
-ocsp_uri
Affiche la ou les adresses du répondeur OCSP le cas échéant.
-startdate
Affiche la date de début du certificat, qui correspond à la date « notBefore » (littéralement « pas
avant »).
-enddate
Affiche la date d'expiration du certificat, qui correspond à la date « notAfter » (littéralement
« pas après »).
-dates
Affiche les dates de début et de fin du certificat.
-checkend param
Vérifie si le certificat expire dans les prochaines param secondes et quitte avec une valeur de
retour non nulle si c’est le cas, ou zéro sinon.
-fingerprint
Affiche l'empreinte de la version encodée DER de l'ensemble du certificat (voir les options
d'empreinte).
-C Affiche le certificat sous la forme d'un fichier source C.
PARAMÈTRES DE CONFIANCE
Veuillez noter que ces options sont expérimentales et peuvent être amenées à changer.
Un certificat de confiance est un certificat ordinaire auquel plusieurs éléments d'information
supplémentaires sont rattachés, tels que les utilisations permises et interdites du certificat et un
« alias ».
Normalement, quand un certificat est contrôlé, au moins un certificat doit être « de confiance ». Par
défaut, un certificat de confiance doit être stocké localement et doit être une autorité de certification
racine : toute chaîne de certificat à la fin de ce certificat est alors utilisable dans n'importe quel
but.
Les paramètres de confiance sont actuellement utilisés avec une autorité de certification racine. Ils
permettent un contrôle plus fin des différentes certifications racines ayant divers usages. Par exemple,
un CA est fiable pour le client SSL, mais pas pour l'utilisation d'un serveur SSL.
Voir la description de l'utilitaire verify pour plus d'informations sur la signification des paramètres
de confiance.
Les futures versions d'OpenSSL reconnaîtront les paramètres de confiance sur n'importe quel certificat :
pas seulement les autorités de certification racine.
-trustout
Permet à x509 de délivrer un certificat de confiance. Un certificat ordinaire ou de confiance peut
être entré, mais par défaut un certificat ordinaire est sorti et les paramètres de confiance sont
rejetés. Avec l'option -trustout un certificat de confiance est sorti. Un certificat de confiance est
sorti automatiquement si les paramètres de confiance sont modifiés.
-setalias param
Définit l'alias du certificat. Cela permettra au certificat d'être référencé par un surnom par
exemple « Le certificat de Steve ».
-alias
Fournit en sortie l'alias de certificat, s’il existe.
-clrtrust
Efface toutes les utilisations autorisées ou de confiance du certificat.
-clrreject
Efface tous les usages interdits ou rejetés du certificat.
-addtrust param
Ajoute une utilisation de confiance de certificat. Tout nom d'objet peut être utilisé ici, mais
actuellement seulement clientAuth (utilisation de client SSL), serverAuth (utilisation de serveur
SSL) et emailProtection (courriel S/MIME) sont utilisés. D'autres applications OpenSSL peuvent
définir d'autres utilisations.
-addreject param
Ajoute un usage interdit. Les mêmes valeurs que l'option -addtrust sont acceptées.
-purpose
Cette option effectue des tests sur les extensions de certificat et affiche les résultats. Pour une
description plus complète, voir la section des EXTENSIONS DE CERTIFICAT.
OPTIONS POUR LA SIGNATURE
L'utilitaire x509 peut être utilisé pour signer des certificats et des demandes : il peut donc se
comporter comme une « mini CA ».
-signkey nom_fichier
Cette option autorise le fichier d'entrée à être autosigné avec la clé privée fournie.
Si le fichier d'entrée est un certificat, il définit le nom de l'émetteur comme nom de sujet
(c’est-à-dire, le rend autosigné), change la clé publique à la valeur fournie et modifie les dates de
début et de fin. La date de début est réglée sur l'heure courante et la date de fin est réglée à une
valeur déterminée par l'option -days. Toutes les extensions de certificat sont conservées sauf si
l'option -clrext est fournie.
Si l'entrée est une demande de certificat, alors un certificat autosigné est créé en utilisant la clé
privée fournie et utilisera le nom de l'objet dans la demande.
-passin param
La source du mot de passe de la clef. Pour plus d'informations sur le format de param, consultez la
section PARAMÈTRES DE PHRASE SECRÈTE d'openssl(1).
-clrext
Supprime toutes les extensions d'un certificat. Cette option est utilisée quand un certificat est
créé à partir d'un autre certificat (par exemple avec les options -signkey ou -CA). Normalement,
toutes les extensions sont conservées.
-keyform PEM|DER
Indique le format (DER ou PEM) du fichier de clé privée utilisé par l'option -signkey.
-days param
Indique le nombre de jours pendant lesquels le certificat doit être valable. La valeur par défaut est
de 30 jours.
-x509toreq
Convertit le certificat en demande de certificat. L'option -signkey est utilisée pour passer la clé
privée.
-req
Par défaut, un certificat est attendu en entrée. Avec cette option une demande de certificat est
attendue à la place.
-set_serial n
Précise le numéro de série à utiliser. Cette option peut être utilisée avec l'option -signkey ou -CA.
Si elle est utilisée en conjonction avec l'option -CA le fichier de numéro de série (comme spécifié
par l'option <-CAserial> ou -CAcreateserial) n'est pas utilisé.
Le numéro de série peut être décimal ou hexadécimal (si précédé par 0x). Des numéros de série
négatifs peuvent aussi être utilisés, mais leur utilisation n'est pas recommandée.
-CA nom_fichier
Précise le certificat CA à utiliser pour la signature. Lorsque cette option est présente, x509 se
comporte comme une « mini CA ». Le fichier d'entrée est signé par cette autorité de certification en
utilisant cette option : c’est-à-dire, le nom de l'émetteur est le nom d’objet de la CA et est signé
numériquement à l'aide de la clé privée de la CA.
Cette option est normalement combinée avec l'option -req. Sans l'option -req l'entrée est un
certificat qui doit être autosigné.
-CAkey nom_fichier
Définit la clé privée de la CA avec laquelle signer un certificat. Si cette option n'est pas
spécifiée, alors il est supposé que la clé privée est présente dans le fichier de certificat de la
CA.
-CAserial nom_fichier
Définit le fichier de numéro de série de la CA à utiliser.
Lorsque l'option -CA est utilisée pour signer un certificat, un numéro de série indiqué dans un
fichier est utilisé. Ce fichier se compose d'une ligne contenant un nombre pair de chiffres
hexadécimaux avec le numéro de série à utiliser. Après chaque utilisation, le numéro de série est
incrémenté et écrit à nouveau dans le fichier.
Le nom de fichier par défaut se compose du nom de base du fichier de certificat de la CA avec
« .srl » comme extension. Par exemple, si le fichier de certificat CA est appelé « mycacert.pem », il
s'attend à trouver un fichier de numéro de série appelé « mycacert.srl ».
-CAcreateserial
Avec cette option, le fichier de numéro de série de la CA est créé s'il n'existe pas : il contiendra
le numéro de série « 02 » et le certificat qui a été signé aura le 1 comme numéro de série.
Normalement, si l'option -CA est spécifiée et que le fichier n'existe pas, c'est une erreur.
-extfile nom_fichier
Fichier contenant les extensions de certificat à utiliser. S'il n'est pas spécifié, alors aucune
extension n'est ajoutée au certificat.
-extensions section
La section où prendre les extensions de certificats à ajouter. Si cette option n'est pas spécifiée,
alors les extensions devraient soit être contenues dans la section sans nom (défaut) ou alors la
section par défaut devrait contenir une variable appelée « extensions » qui contient la section à
utiliser. Voir la page de manuel de x509v3_config(5) pour les détails du format de section des
extensions.
-force_pubkey clé
Quand un certificat est créé, définit sa clé publique à clé à la place de la clé dans le certificat
ou demande de certificat. Cette option est utile pour créer des certificats lorsque l'algorithme ne
peut pas signer normalement les demandes, par exemple DH.
Le format ou la clé peuvent être spécifiés en utilisant l'option -keyform.
OPTIONS DE NOM
L’option de ligne de commande nameopt détermine la façon dont les noms de l'objet et de l'émetteur sont
affichés. Si aucune option nameopt n'est présente, le format par défaut « oneline » est utilisé, ce qui
est compatible avec les versions précédentes d'OpenSSL. Chaque option est décrite en détail ci-dessous,
toutes les options peuvent être précédées d'un - pour désactiver l'option. Seules les quatre premières
seront normalement utilisées.
compat
Utilise l'ancien format. Cela est équivalent à ne spécifier aucune option de nom.
RFC2253
Affiche les noms compatibles avec la RFC2253. Équivalent à esc_2253, esc_ctrl, esc_msb, utf8,
dump_nostr, dump_unknown, dump_der, sep_comma_plus, dn_rev et sname.
oneline
Un format d’une seule ligne qui est plus lisible qu’avec la RFC2253. Il revient à spécifier les
options esc_2253, esc_ctrl, esc_msb, utf8, dump_nostr, dump_der, use_quote, sep_comma_plus_space,
space_eq et sname.
multiline
Un format multiligne. Il est équivalent à esc_ctrl, esc_msb, sep_multiline, space_eq, lname et align.
esc_2253
Protège les caractères « spéciaux » requis par la RFC2253 dans un champ, c'est-à-dire ,+"<>;. De
plus, # est protégé au début d'une chaîne ainsi que l’espace au début ou à la fin d'une chaîne.
esc_ctrl
Protège les caractères de contrôle : ceux dont la valeur ASCII est inférieure à 0x20 (espace) et le
caractère (0x7f) de suppression. Ils sont protégés en utilisant la notation \XX de la RFC2253 (où XX
sont deux chiffres hexadécimaux représentant la valeur du caractère).
esc_msb
Protège les caractères avec l'ensemble MSB, c'est-à-dire avec des valeurs ASCII supérieures à 127.
use_quote
Protège quelques caractères en entourant toute la chaîne avec les caractères ". Sans cette option,
tout l'échappement est réalisé avec le caractère \.
utf8
Convertit d'abord toutes les chaînes au format UTF8. Cela est requis par la RFC2253. Si vous êtes
assez chanceux pour avoir un terminal compatible UTF8, alors l'utilisation de cette option (et sans
la mise en esc_msb) peut entraîner l'affichage correct des caractères multi-octets (internationaux).
Si cette option n'est pas présente, alors les caractères multi-octets plus grands que 0xff seront
représentés en utilisant le format \UXXXX pour 16 bits et \WXXXXXXXX pour 32 bits. Aussi, si cette
option est désactivée, toute chaîne UTF8 sera d'abord convertie en caractères.
ignore_type
Cette option ne vise en aucune façon à interpréter les caractères multi-octets. Leurs octets de
contenu sont simplement affichés comme si un octet représentait un caractère. Cela est utile à des
fins de diagnostic, mais se traduira par une sortie plutôt étrange.
show_type
Montre le type de la chaîne de caractère ASN1. Le type précède le contenu des champs. Par exemple
« BMPSTRING : Bonjour tout le monde ».
dump_der
Lorsque cette option est utilisée, tous les champs qui doivent être affichés en hexadécimal seront
affichés en utilisant l'encodage DER du champ. Sinon seulement les octets de contenu seront affichés.
Les deux options utilisent le format #XXXX... de la RFC2253.
dump_nostr
Vide les types qui ne sont pas des chaînes de caractères (par exemple OCTET STRING). Si cette option
n'est pas activée, alors les types qui ne sont pas des chaînes de caractères seront affichés comme si
chaque octet de contenu représente un seul caractère.
dump_all
Vide tous les champs. Lorsque cette option est utilisée avec dump_der, elle permet le codage DER de
la structure devant être déterminée sans ambiguïté.
dump_unknown
Vide tout champ dont l'OID n'est pas reconnu par OpenSSL.
sep_comma_plus, sep_comma_plus_space, sep_semi_plus_space, sep_multiline
Ces options déterminent les séparateurs de champs. Le premier caractère est entre les « Relative
Distinguished Name » (RDN) et le second entre plusieurs « Attribute Value Assertion » (AVA)
(plusieurs sont très rares et leur utilisation est déconseillée). Les options se terminant par
« espace » placent en outre une espace après le séparateur pour une meilleure lisibilité.
sep_multiline utilise un caractère de saut de ligne pour le séparateur des RDN et un + entouré
d'espaces pour le séparateur des AVA. Il indente aussi les champs par quatre caractères.
dn_rev
Inverse les champs des DN. Cela est requis par la RFC2253. Comme un effet secondaire, cela inverse
également l'ordre de plusieurs AVA mais cela est permis.
nofname, sname, lname, oid
Ces options modifient la façon dont le nom de domaine est affiché. nofname n'affiche pas le champ du
tout. sname utilise la forme « nom court » (CN pour commonName par exemple). lname utilise la forme
longue. oid représente l'OID sous forme numérique et est utile à des fins de diagnostic.
align
Aligne les valeurs de champ pour une sortie plus lisible. Seulement utilisable avec sep_multiline.
space_eq
Place des espaces autour du caractère = qui suit le nom de champ.
OPTIONS POUR LA SORTIE TEXTE
Comme pour la personnalisation du format du nom de sortie, il est également possible de personnaliser les
champs réellement affichés en utilisant les options certopt lorsque l'option de text est présente. Le
comportement par défaut est d'afficher tous les domaines.
compatible
Utilise l'ancien format. Cela est équivalent à ne spécifier aucune option de sortie du tout.
no_header
N'affiche pas les informations d'en-tête : c'est-à-dire les lignes comprenant « certificat » et
« Data ».
no_version
N'affiche pas le numéro de version.
no_serial
N'affiche pas le numéro de série.
no_signame
N'affiche pas l'algorithme de signature utilisé.
no_validity
N'affiche pas la validité, à savoir les champs de notBefore et notAfter.
no_subject
N'affiche pas le nom de l'objet.
no_issuer
N'affiche pas le nom de l'émetteur.
no_pubkey
N'affiche pas la clé publique.
no_sigdump
N'affiche pas la signature du certificat en hexadécimal.
no_aux
N'affiche pas les informations de confiance du certificat.
no_extensions
N'affiche pas toutes les extensions de X509v3.
ext_default
Conserve le comportement de l'extension par défaut : essaie d'afficher les extensions de certificat
non prises en charge.
ext_error
Affiche un message d'erreur pour les extensions de certificat non prises en charge.
ext_parse
Analyse avec ASN1 les extensions non prises en charge.
ext_dump
Affichage hexadécimal des extensions non prises en charges.
ca_default
La valeur utilisée par l'utilitaire ca. Équivalent à no_issuer, NO_PUBKEY, no_header, no_version,
no_sigdump et no_signame.
EXEMPLES
Remarque : dans ces exemples, le « \ » signifie que l'exemple doit être sur une seule ligne.
Affiche le contenu d'un certificat :
openssl x509 -in cert.pem -noout -text
Affiche le numéro de série du certificat :
openssl x509 -in cert.pem -noout -serial
Affiche le nom du sujet du certificat :
openssl x509 -in cert.pem -noout -subject
Affiche le nom du sujet du certificat au format de la RFC 2253 :
openssl x509 -in cert.pem -noout -subject -nameopt RFC2253
Affiche le nom du sujet du certificat en une seule ligne sur un terminal supportant UTF8 :
openssl x509 -in cert.pem -noout -subject -nameopt oneline,-esc_msb
Affiche l'empreinte MD5 du certificat :
openssl x509 -in cert.pem -noout -fingerprint
Affiche l'empreinte SHA1 du certificat :
openssl x509 -sha1 -in cert.pem -noout -fingerprint
Convertit un certificat du format PEM vers le format DER :
openssl x509 -in cert.pem -inform PEM -out cert.der -outform DER
Convertit un certificat en une demande de certificat :
openssl x509 -x509toreq -in cert.pem -out req.pem -signkey key.pem
Convertit une demande de certificat en un certificat autosigné en utilisant les extensions pour une CA :
openssl x509 -req -in careq.pem -extfile openssl.cnf -extensions v3_ca \
-signkey key.pem -out cacert.pem
Signe une demande de certificat en utilisant le certificat précédent de la CA et ajoute les extensions de
certificat utilisateur :
openssl x509 -req -in req.pem -extfile openssl.cnf -extensions v3_usr \
-CA cacert.pem -CAkey key.pem -CAcreateserial
Définit un certificat à être approuvé pour l'utilisation par un client SSL et règle son alias à « CA
classe 1 de Steve »
openssl x509 -in cert.pem -addtrust clientAuth \
-setalias "CA classe 1 de Steve" -out trust.pem
NOTES
Le format PEM utilise les lignes d'en-tête et de bas de page suivantes :
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
Il prendra également en charge les fichiers contenant :
-----BEGIN X509 CERTIFICATE-----
-----END X509 CERTIFICATE-----
Les certificats de confiance ont les lignes :
-----BEGIN TRUSTED CERTIFICATE-----
-----END TRUSTED CERTIFICATE-----
La conversion au format UTF8 utilisée avec les options de nom considère que T61Strings utilise le jeu de
caractères ISO8859-1. Cela est faux, mais Netscape et MSIE font ainsi, ainsi que de nombreux certificats.
Ainsi, bien que ce ne soit pas correct, la plupart des certificats ont plus de chances de s’afficher
correctement.
L'option -fingerprint prend le condensé du certificat codé DER. Cela est communément appelé « une
empreinte ». En raison de la nature des condensats de message, l'empreinte d'un certificat est propre à
ce certificat, et deux certificats ayant la même empreinte peuvent être considérés comme étant les mêmes.
L'empreinte Netscape utilise MD5 alors que celle de MSIE utilise SHA1.
L'option -email recherche le nom de l'objet et l'extension de nom alternatif de sujet. Seules les
adresses de courriel uniques seront affichées : la même adresse ne sera pas affichée plus d'une fois.
EXTENSIONS DE CERTIFICAT
L'option -purpose vérifie les extensions de certificat et détermine ce pourquoi le certificat peut être
utilisé. Les contrôles réels réalisés sont assez complexes et comprennent diverses bidouilles et des
solutions de contournement des certificats et des logiciels cassés.
Le même code est utilisé lors de la vérification des certificats non approuvés dans les chaînes : cette
section est utile si une chaîne est rejetée par l’utilitaire verify.
Le drapeau d'extension basicConstraints de la CA est utilisé pour déterminer si le certificat peut être
utilisé comme une CA. Si le drapeau de la CA est vrai, alors il est une autorité de certification, si le
drapeau de la CA est faux, alors il n'est pas une CA. Toutes les autorités de certification doivent avoir
le drapeau de la CA à vrai.
Si l'extension basicConstraints est absente, alors le certificat est considéré comme une « CA possible ».
Les autres extensions sont contrôlées selon l'utilisation prévue du certificat. Un avertissement est
donné dans ce cas, car le certificat ne devrait vraiment pas être considéré comme une autorité de
certification : mais il est permis d'être une CA pour contourner certains logiciels cassés.
Si le certificat est un certificat V1 (et donc n'a pas d’extension) et qu’il est autosigné, il est
également supposé être une CA mais un avertissement est de nouveau donné : c'est pour contourner le
problème des racines Verisign qui sont des certificats V1 autosignés.
Si l'extension keyUsage est présente, des restrictions supplémentaires sont faites sur les utilisations
du certificat. Un certificat de CA doit avoir le bit keyCertSign défini si l'extension keyUsage est
présente.
L'extension de l’utilisation de clé étendue impose des restrictions supplémentaires sur les utilisations
de certificats. Si cette extension est présente (critique ou non) la clé ne peut être utilisée aux fins
prévues.
Une description complète de chaque contrôle est livrée ci-dessous. Les commentaires sur basicConstraints,
KeyUsage et les certificats V1 ci-dessus s'appliquent à tous les certificats de CA.
SSL Client
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « web client
authentication ». keyUsage doit être absent ou doit avoir le bit digitalSignature activé. Le type de
certificat Netscape doit être absent ou il doit avoir le bit SSL client activé.
SSL Client CA
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « web client
authentication ». Le type de certificat Netscape doit être absent ou doit avoir le bit de SSL CA
activé : cela est utilisé comme un contournement si l'extension basicConstraints est absente.
SSL Server
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « web client
authentication » et/ou l'un des OID SGC. keyUsage doit être absent ou avoir un des bits
digitalSignature, keyEncipherment activé, ou les deux. Le type de certificat Netscape doit être
absent ou avoir le bit SSL server activé.
SSL Server CA
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « web server
authentication » et/ou l'un des OID SGC. Le type de certificat Netscape doit être absent ou le bit de
SSL CA doit être activé : il est utilisé comme contournement si l'extension basicConstraints est
absente.
Netscape SSL Server
Pour que les clients SSL Netscape puisse se connecter à un serveur SSL, il doit avoir le bit
keyEncipherment activé si l'extension keyUsage est présente. Ce n'est pas toujours valable parce que
certaines suites de chiffrement utilisent la clé pour la signature numérique. Sinon, il est identique
à un serveur SSL normal.
Common S/MIME Client Tests
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « email protection ». Le
type de certificat Netscape doit être absent ou devrait avoir le bit S/MIME activé. Si le bit S/MIME
n'est pas défini dans le type de certificat Netscape, le bit SSL client est toléré comme une
alternative, mais un message d'avertissement apparaît : c'est parce que certains certificats Verisign
ne fixent pas le bit S/MIME.
S/MIME Signing
En plus de « common S/MIME client tests », le bit digitalSignature doit être activé si l'extension
keyUsage est présente.
S/MIME Encryption
En plus de « common S/MIME client tests », le bit keyEncipherment doit être activé si l'extension
keyUsage est présente.
S/MIME CA
L'extension d'utilisation de clé étendue doit être absente ou inclure l'OID « email protection ». Le
type de certificat Netscape doit être absent ou doit avoir le bit S/MIME CA activé : cela est utilisé
comme contournement si l'extension basicConstraints est absente.
CRL Signing
L'extension keyUsage doit être absente ou doit avoir le bit CRL signing activé.
CRL Signing CA
Les contrôles normaux de la CA s'appliquent. Sauf dans ce cas, l'extension basicConstraints doit être
présente.
BOGUES
Les extensions dans les certificats ne sont pas transférées à des demandes de certificats et vice versa.
Il est possible de produire des certificats ou des demandes valides en indiquant une mauvaise clé privée
ou en utilisant des options incompatibles dans certains cas : cela doit être vérifié.
Il devrait y avoir des options pour définir explicitement des choses telles que les dates de début et de
fin, plutôt qu'un décalage par rapport à l'heure actuelle.
Le code pour implémenter le comportement de verify décrit dans les PARAMÈTRES DE CONFIANCE est en cours
d'élaboration. Il décrit ainsi le comportement attendu plutôt que le comportement actuel. Il est à
espérer qu'il saura représenter la réalité dans OpenSSL 0.9.5 et plus tard.
VOIR AUSSI
req(1), ca(1), genrsa(1), gendsa(1), verify(1), x509v3_config(5)
HISTORIQUE
Avant OpenSSL 0.9.8, l’algorithme de hachage par défaut pour les clés RSA était MD5
L'algorithme de hachage utilisé dans les options -subject_hash et -issuer_hash avant OpenSSL 1.0.0 était
basé sur l'algorithme MD5 obsolète et l'encodage du nom distinctif. Dans OpenSSL 1.0.0 et plus tard, il
est basé sur une version canonique de DN en utilisant SHA1. Cela signifie que tous les répertoires
utilisant l'ancienne forme doivent avoir leurs liens reconstruits à l'aide de c_rehash ou similaire.
TRADUCTION
La traduction de cette page de manuel est maintenue par les membres de la liste <debian-l10n-french AT
lists DOT debian DOT org>. Veuillez signaler toute erreur de traduction par un rapport de bogue sur le
paquet manpages-fr-extra.
1.0.2a 1.0.2c 2015-12-31 X509(1SSL)