NOM

       CA.pl - Interface plus ergonomique pour les programmes de certificats d'OpenSSL

SYNOPSIS

       CA.pl [-?] [-h] [-help] [-newcert] [-newreq] [-newreq-nodes] [-newca] [-xsign] [-sign]
       [-signreq] [-signcert] [-verify] [fichiers]

DESCRIPTION

       Le script Perl CA.pl fournit les paramètres à la commande openssl pour les opérations les
       plus courantes sur les certificats. Son but est de simplifier le processus de création et
       la gestion de certificats en employant des options simples.

OPTIONS DE LA COMMANDE

       ?, -h, -help
           Afficher un descriptif d'utilisation.

       -newcert
           Créer un nouveau certificat autosigné. La clef privée est écrite dans le fichier
           « newkey.pem » et la demande dans le fichier « newreq.pem ».

       -newreq
           Créer un nouveau certificat. La clef privée est écrite dans le fichier « newkey.pem »
           et la demande dans le fichier « newreq.pem ».

       -newreq-nodes
           Identique à -newreq, sauf que la clef privée ne sera pas chiffrée.

       -newca
           Créer une nouvelle hiérarchie d'autorité de certification à utiliser avec le programme
           ca (ou les options -signcert et -xsign). L'utilisateur devra saisir le nom de fichier
           des certificats de l'autorité de certification (qui est censé contenir également la
           clef privée) ou, en appuyant sur Entrée, des précisions sur l'autorité de
           certification seront demandées. Les fichiers et répertoires correspondants seront
           créés dans un son répertoire nommé « demoCA » dans le répertoire actuel.

       -pkcs12
           Créer un fichier PKCS#12 contenant le certificat utilisateur, la clef privée et le
           certificat de l'autorité de certification. Le programme s'attend à trouver le
           certificat utilisateur et la clef privée dans le fichier « newcert.pem » et le
           certificat de l'autorité de certification dans le fichier demoCA/cacert.pem, puis crée
           un fichier « newcert.p12 ». Cette commande peut ainsi être appelée après l'option
           -sign. Le fichier PKCS#12 peut être directement importé dans un navigateur. Un
           argument supplémentaire à la ligne de commande sera le nom courant du certificat
           (celui typiquement affiché dans la fenêtre des certificats du navigateur), sinon le
           nom par défaut sera « My Certificate ».

       -sign, -signreq, -xsign
           Appeler le programme ca pour signer une demande de certificat. Il s'attend à trouver
           la demande dans le fichier « newreq.pem ». Le nouveau certificat est écrit dans le
           fichier « newcert.pem » sauf avec l'option -xsign, auquel cas il est envoyé vers la
           sortie standard.

       -signCA
           Cette option est identique à -signreq, sauf que la section v3_ca du fichier de
           configuration est utilisée, ce qui fait de la demande signée un certificat d'autorité
           de certification valable. C'est utile pour créer des autorités de certification
           intermédiaires à partir d'une autorité de certification racine.

       -signcert
           Identique à -sign à la différence qu'un certificat autosigné est attendu dans le
           fichier « newreq.pem ».

       -verify
           Vérifier le certificat avec le certificat de l'autorité de certification « demoCA ».
           Si aucun certificat n'est indiqué sur la ligne de commande, le fichier « newcert.pem »
           est vérifié.

       fichiers
           Un ou plusieurs noms de fichier de certificat à utiliser avec l'option -verify.

EXEMPLES

       Création d'une hiérarchie d'autorité de certification :

        CA.pl -newca

       Exemple complet de création d'un certificat : créer une autorité de certification, créer
       une demande, signer la demande et finalement créer un fichier PKCS#12 pour contenir le
       certificat.

        CA.pl -newca
        CA.pl -newreq
        CA.pl -signreq
        CA.pl -pkcs12 "Mon certificat de test"

CERTIFICATS DSA

       Même si CA.pl crée des autorités de certification et demandes au format RSA, il est
       toujours possible de l'utiliser avec des certificats et demandes au format DSA en
       utilisant la commande req(1) directement. L'exemple suivant montre les manipulations
       typiques.

       Créer les paramètres DSA :

        openssl dsaparam -out dsap.pem 1024

       Créer un certificat d'autorité de certification DSA avec sa clef privée :

        openssl req -x509 -newkey dsa:dsap.pem -keyout cacert.pem -out cacert.pem

       Créer les fichiers et répertoires de l'autorité de certification :

        CA.pl -newca

       Saisir cacert.pem lors de la demande du nom de fichier d'autorité de certification.

       Créer une demande de certificat DSA et sa clef privée (un autre jeu de paramètres peut
       être généré auparavant) :

        openssl req -out newreq.pem -newkey dsa:dsap.pem

       Signer la demande :

        CA.pl -signreq

NOTES

       La plupart des noms de fichiers cités peuvent être modifiés en éditant le script CA.pl.

       Si le répertoire demoCA existe déjà, la commande -newca ne l'écrasera pas et n'effectuera
       aucune action. Cela peut arriver lors d'un arrêt inopportun d'un appel précédent avec
       l'option -newca. Pour retrouver le comportement correct il faut supprimer le répertoire
       demoCA.

       Dans certains environnements, il peut être impossible d'exécuter le script CA.pl
       directement (par exemple sous Win32) et l'emplacement par défaut du fichier de
       configuration peut être erroné. Dans ce cas, la commande :

        perl -S CA.pl

       peut être lancée (NdT : dans le répertoire où se trouve le script CA.pl) et la variable
       d'environnement OPENSSL_CONF est modifiée pour indiquer le chemin correct vers le fichier
       de configuration « openssl.conf ».

       Le script simplifie l'utilisation du programme openssl aux débutants. Son comportement
       n'est pas toujours celui voulu. Pour plus de contrôle sur le comportement des commandes de
       certificats, appeler la commande openssl directement.

VARIABLES D'ENVIRONNEMENT

       La variable OPENSSL_CONF, si elle est définie, permet d'indiquer l'emplacement d'un
       fichier de configuration alternatif. Elle doit contenir le chemin complet avec le nom du
       fichier, pas seulement son répertoire.

VOIR AUSSI

       x509(1), ca(1), req(1), pkcs12(1), config(5)

TRADUCTION

       Cette page de manuel a été traduite par stolck en 2002 et est maintenue par la liste
       <debian-l10n-french AT lists DOT debian DOT org>. Veuillez signaler toute erreur de
       traduction par un rapport de bogue sur le paquet manpages-fr-extra.