Question

跑步时：

openssl ca -in ${ALIAS}.csr -out user-cert.pem -keyfile cacert-private.pem -cert cacert.pem -passin pass:$PASSWD -config ${CONFIG}

我明白了：

stateOrProvinceName字段需要在 CA证书（格洛斯特郡）和请求（格洛斯特郡）

我已经读了几次这个错误，我很确定在每种情况下该字段都是相同的值。我发现类似问题的引用是由不同的编码引起的，但我不知道我应该如何指定它以及在哪里。

这是$ {ALIAS} .csr：

-----BEGIN NEW CERTIFICATE REQUEST-----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-----END NEW CERTIFICATE REQUEST-----

和cacert.pem：

有什么想法吗？提前谢谢。

Answer 1

您还可以将属性设置为可选：

# For the CA policy

[policy_match]
countryName= optional
stateOrProvinceName= optional
organizationName= optional
organizationalUnitName= optional
commonName= supplied
emailAddress= optional

Answer 2

我也遇到过这个问题。感谢上面的回复（主要是弗朗索瓦），我发现了问题的根源。

openssl使用UTF8STRING进行编码，keytool（Java 6）使用PRINTABLESTRING进行编码。

通过更改openssl配置来解决它，使其与keytool匹配。在/usr/ssl/openssl.cnf中将“string_mask”设置更改为“pkix”。

Answer 3

之前的海报已经回答了这个问题，但为了简化这个问题，下面是一个如何指定编码的示例。使用string_mask：

[ req ]
default_bits            = 2048
default_md              = rsa
prompt                  = no
string_mask             = utf8only  # <--------------
distinguished_name      = req_distinguished_name

[ req_distinguished_name ]
countryName             = GB
stateOrProvinceName     = Gloucestershire
localityName            = Cheltenham
organizationName        = Wansdyke House Limited
organizationalUnitName  = Fizio
commonName              = localhost

Answer 4

如图所示：

openssl asn1parse -in req.csr

请求DN字符串被编码为PRINTABLESTRING。

openssl asn1parse -in cacert.pem

显示CA DN字符串编码为UTF8STRING。

对于quick'n脏黑客，我建议您使用您喜欢的十六进制编辑器，通过UTF8STRING（0x0c）的类型替换PRINTABLESTRING（0x13）的编码类型来更改请求中的字符串编码。
在拨打之前，您必须在DER中转换您的请求要更改的字节偏移量可以通过以下方式找到：

openssl asn1parse -in csr |grep PRINTABLESTRING |awk -F":" '{print $1}'

然后再尝试签名。

Answer 5

^{宣传mbrownnyc's comment答案，因为它对我有用，值得更多关注。}

我相信/usr/ssl/openssl.cnf包含一项名为policy_anything的政策，其中包含上述设置。您可以使用policy参数来使用它，如下所示：

openssl ca -policy policy_anything -days 365 -out /root/ca/certs/out.pem -in certreq.csr

Answer 6

我刚遇到这个问题。根本原因是客户端中的string_mask和CA的openssl.cnf之间的值不匹配。简单的解决方法是修改客户端的值以匹配CA期望的值，然后重新生成CSR。硬件修复是编辑CA的值并启动一个新的CA.

使用我的CA签署证书

6 个答案: