Erreur lors du chargement de la section d'extension usr_cert
J'exécute openvpn sur une boîte Ubuntu 14.04. La configuration était correcte jusqu’à une mise à jour OpenSSL. Lorsque j’essaie de créer un nouveau certificat client avec easy-RSA, j’ai le message suivant:
root@:easy-rsa# ./pkitool onokun
Using Common Name: onokun
Generating a 2048 bit RSA private key
.+++
........+++
writing new private key to 'onokun.key'
-----
Using configuration from /etc/openvpn/easy-rsa/openssl-1.0.0.cnf
Error Loading extension section usr_cert
3074119356:error:0E06D06C:configuration file routines:NCONF_get_string:no value:conf_lib.c:335:group=CA_default name=email_in_dn
3074119356:error:2207507C:X509 V3 routines:v2i_GENERAL_NAME_ex:missing value:v3_alt.c:537:
3074119356:error:22098080:X509 V3 routines:X509V3_EXT_nconf:error in extension:v3_conf.c:93:name=subjectAltName, value=onokun
Ce problème est différent d'un problème signalé par le script which opensslcnf qui ne peut pas trouver une version correspondante de openssl.cnf à utiliser (le message ci-dessus indique openssl-1.0.0.cnf). J'ai effectué une recherche sur Google mais je n'ai pas trouvé de réponse.
Voici quelques informations sur l'environnement:
## openvpn
OpenVPN 2.3.2 i686-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [eurephia] [MH] [IPv6] built on Feb 4 2014
Originally developed by James Yonan
## openssl
OpenSSL 1.0.1f 6 Jan 2014
## dpkg --get-selections | grep ssl
libgnutls-openssl27:i386 install
libio-socket-ssl-Perl install
libnet-smtp-ssl-Perl install
libnet-ssleay-Perl install
libssl-dev:i386 install
libssl-doc install
libssl0.9.8:i386 install
libssl1.0.0:i386 install
openssl install
ssl-cert install
Que devrais-je regarder pour résoudre ceci? Merci,
Using configuration from /etc/openvpn/easy-rsa/openssl-1.0.0.cnf Error Loading extension section usr_cert
Je n'ai pas de /etc/openvpn/easy-rsa/openssl-1.0.0.cnf, alors prenez ceci avec un grain de sel ...
opensslconf.h de la distribution OpenSSL fait inclut cette section:
openssl-1.0.1h$ grep -R usr_cert *
apps/openssl-vms.cnf:x509_extensions = usr_cert # The extensions to add to the cert
apps/openssl-vms.cnf:[ usr_cert ]
apps/openssl.cnf:x509_extensions = usr_cert # The extensions to add to the cert
apps/openssl.cnf:[ usr_cert ]
Pouvez-vous restaurer une ancienne version de /etc/openvpn/easy-rsa/openssl-1.0.0.cnf?
Voici la section de apps/openssl.cnf. Vous pourriez envisager de l'ajouter au fichier de configuration de Easy RSA s'il est manquant. Commencez par essayer une section vide. Puis essayez d’ajouter le code original.
[ usr_cert ]
# These extensions are added when 'ca' signs a request.
# This goes against PKIX guidelines but some CAs do it and some software
# requires this to avoid interpreting an end user certificate as a CA.
basicConstraints=CA:FALSE
# Here are some examples of the usage of nsCertType. If it is omitted
# the certificate can be used for anything *except* object signing.
# This is OK for an SSL server.
# nsCertType = server
# For an object signing certificate this would be used.
# nsCertType = objsign
# For normal client use this is typical
# nsCertType = client, email
# and for everything including object signing:
# nsCertType = client, email, objsign
# This is typical in keyUsage for a client certificate.
# keyUsage = nonRepudiation, digitalSignature, keyEncipherment
# This will be displayed in Netscape's comment listbox.
nsComment = "OpenSSL Generated Certificate"
# PKIX recommendations harmless if included in all certificates.
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
# This stuff is for subjectAltName and issuerAltname.
# Import the email address.
# subjectAltName=email:copy
# An alternative to produce certificates that aren't
# deprecated according to PKIX.
# subjectAltName=email:move
# Copy subject details
# issuerAltName=issuer:copy
#nsCaRevocationUrl = http://www.domain.dom/ca-crl.pem
#nsBaseUrl
#nsRevocationUrl
#nsRenewalUrl
#nsCaPolicyUrl
#nsSslServerName
# This is required for TSA certificates.
# extendedKeyUsage = critical,timeStamping
En comparant une installation antérieure d'Ubuntu 14.04 ne présentant pas ce problème, il semble que le problème spécifique concerne "subjectAltName". Je n'ai pas lu ce que cela faisait, mais la commande ci-dessous corrigera votre fichier "openssl-1.0.0.cnf":
Perl -p -i -e 's|^(subjectAltName=)|#$1|;' /etc/openvpn/easy-rsa/openssl-1.0.0.cnf
Je devrais probablement déposer un rapport de bogue.
J'ai enfin eu son travail (sur ma machine) Premièrement, ma configuration est un peu différente, je suis sous Windows10, sous OpenSSL 1.0.2h. J'essaie de générer plusieurs certificats, CA et autres choses pour les tests, je reçois l'erreur:
configuration file routines:NCONF_get_string:no value:.\crypto\conf\conf_lib.c:324:group=CA_default name=email_in_dn
Pour résoudre ce problème, j’ai trouvé l’emplacement email_in_dn = no dans la section CA_Default openssl.cfg ci-dessous.
####################################################################
[ CA_default ]
dir = ./demoCA # Where everything is kept
certs = $dir/certs # Where the issued certs are kept
crl_dir = $dir/crl # Where the issued crl are kept
database = $dir/index.txt # database index file.
new_certs_dir = $dir/newcerts # default place for new certs.
certificate = $dir/ca.crt # The CA certificate
serial = $dir/serial # The current serial number
crl = $dir/crl.pem # The current CRL
private_key = $dir/private/caprivkey.pem# The private key
RANDFILE = $dir/private/.Rand # private random number file
x509_extensions = usr_cert # The extentions to add to the cert
email_in_dn = no # <-- fixes CONF_get_string:no value
J'espère que ça aidera quelqu'un d'autre.
Ceci est classé comme un bogue dans Ubuntu. Voir La création de certificat SSL se bloque sans subjectAltName .
La solution décrite par Yuriy semble fonctionner (copie du tableau de bord):
dans le fichier/usr/share/easy-rsa/pkitool
remplacez simplement les expressions:
KEY_ALTNAMES = "$ KEY_CN"
à:
KEY_ALTNAMES = "DNS: $ {KEY_CN}"
Dans ma version du fichier, il s’agit de la ligne 284, juste après la chaîne "Using Common Name"
Pour se débarrasser de cette erreur:
3074119356:error:0E06D06C:configuration file routines:NCONF_get_string:no value:conf_lib.c:335:group=CA_default name=email_in_dn
utilisation
-noemailDN
dans la commande openssl.
Par exemple:
$ openssl ca -batch -config openssl.cnf -extensions usr_cert -noemailDN -days 375 -notext -md sha256 -in csr/www.example8.com.csr.pem -out certs/www.example8.com.cert.pem -verbose -passin pass:changeit