OpenSSL - kontrola privátneho a verejného kľúča

Veľmi častou potrebou pred nasadením certifikátu na server je porovnanie vzájomnej zhody privátneho kľúča a vystaveného certifikátu. Vždy sa jedná o pár kľúčov, ktoré k sebe musia patriť. V opačnom prípade by nešiel certifikát nainštalovať, v horšom prípade by mohla chyba kľúčov spôsobiť nefunkčnosť webu. Vzájomná väzba platí aj medzi privátnym kľúčom a žiadostí o certifikát (CSR).

OpenSSL

Pre prácu s certifikátmi je potreba mať nainštalovanú knižnicu OpenSSL. Na stránke OpenSSL pro Windows a Mac OSX nájdete návod a odkazy na stiahnutie.

Porovnanie kľúčov

Pre porovnanie kľúčov sa použije sekvencia dvoch príkazov OpenSSL oddelených znakom "|" ktorej výsledkom je reťazec znakov, ktorý musí byť pre oba kľúče totožný. V tom prípade testované kľúče patria k sebe.
Nasledujúce príkazy by sa mali zadávať jeden po druhom, aby sa vygenerovali samostatné výstupy. Výstupom je MD5 hash (odtlačok) kľúče, možno nahradiť algoritmom sha256, ktorý však dáva dlhší reťazec znakov. Prípony súborov si môžete nazvať ako potrebujete a ste zvyknutí, napríklad .csr, .crt, .txt.
 

Porovnanie privátneho kľúča a vystaveného certifikátu.

openssl rsa -modulus -in private.key -noout | openssl md5
openssl x509 -modulus -in cert.txt -noout | openssl md5

Porovnanie privátneho kľúča a žiadosti o certifikát.

openssl rsa -modulus -in private.key -noout | openssl md5
openssl req -modulus -in domena.csr -noout | openssl md5

Výsledkom každého príkazu je reťazec znakov. Ak sa výstup každého príkazu zhoduje, kľúče patria k sebe. Ak výstupy nesedí, kľúče nemajú zhodu a certifikát nebude možné nainštalovať. Jediné riešenie je vygenerovanie nových kľúčov.

Zobrazenie informácií vystaveného certifikátu

Kontrolu vystaveného SSL certifikátu a jeho informácií vykonáte pomocou príkazu X509. Možno tak overiť, že sú informácie v certifikátu správne a zodpovedajú vášmu súkromnému kľúču.

openssl x509 -text -in cert.txt -noout

Výstupom je kompletný prehľad informácií vystaveného certifikátu, vrátane platnosti, expirácia a údajov o doméne, prípadne u firemných OV SSL certifikátov informácie o firme.

---

Kam ďalej?

• OpenSSL pre Windows a Mac
• Kontrola privátneho a verejného kľúča
• Export certifikátu do PFX
• Kontrola žiadosti o certifikát (CSR)
• Formáty certifikátov (PEM, KEY, CSR, PFX, ...)