Re: [gentoo-user-ru] openssl: certificate authority

[spirit]

Anton Ananich пишет:
> Здравствуйте все! С наступившим новым годом! :-)
>
> Я пытаюсь сделать Certificate Authority (CA) с помощью openssl. И тут у
> меня возникло два вопроса.
>
> Первый вопрос в следующем: как правильно настроить openssl чтобы все
> программы типа sshd, openvpn, apache (https), и т.п. использовали
> сертификаты из единого хранилища. Я как бы неявно отталкиваюсь от
> предположения, что должно быть единое хранилище. Однако это лишь мое
> предположение, основанное на здравом смысле. Возможно ли использовать
> единое хранилище для сертификатов?
>
по крайней мере единое хранилище для корневых сертификатов обычно тут: /etc/ssl/certs.
дальше запускается update-ca-certificates, который формирует кэш /etc/ssl/certs/ca-certificates.crt
). приватные части там не храняться. их надо отдельно где нить хранить в недоступном месте.
что бы программы использовали один сертификат - надо одинаковый прописывать в настройках ).

> А второй вопрос не совсем связан с gentoo, но очень связан с предыдущим
> вопросом :)
> Certificate authority как единое хранилище сертификатов должен содержать
> certificate revocation list (CRL). Как нужно настроить openssl, чтобы
> выдаваемые сертификаты содержали информацию о расположении CRL и как
> сделать так, чтобы клиентские приложения периодически проверяли
> сертификаты, которые они используют через CRL?
>
хм. мне бы тоже хотелось услышать ответ на этот вопрос, но все же кажется все сертификаты ищут
конревой как раз в /etc/ssl/certs/ca-certificates.crt, что бы подтвердить себя, или если это умная
программа типа браузера, то у нее есть еще свои публичные сертификаты от VeriSign например, с
которыми она и сверяет. Если клиент не заюзает у себя твой корневой сертфикат, то CRL побоку. Но я
буду рад, если твоя идея имеет жизнь :) я бы тоже прикрутил у себя. )

> С уважением,
> Антон Ананич
> http://ananich.wordpress.com