具有自签名证书链的CA证书无效

Question

我有一个带有这些命令的自签名证书链，并在Apache服务器上配置了它们

但是当我尝试openssl s_client-showcerts-servername server-connect my-hot.local:443-cafile all.crt

我从opensslverify return code：24（无效的CA证书）中得到一个错误

用于生成证书的命令或配置文件有问题吗？

# self signed root cert
openssl genrsa -aes256 -out ca.key 4096
openssl req -new -x509 -days 3000 -key ca.key -out ca.crt -config ca.conf

# intermediate cert signed with the root cert
openssl genrsa -aes256 -out int.key 4096
openssl req -new -key int.key -out int.csr -config int.conf
openssl x509 -req -days 3000 -in int.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out int.crt

# leaf cert signed with the intermediate cert

openssl genrsa -aes256 -out leaf.key 4096
openssl req -new -key leaf.key -out leaf.csr -config leaf.conf
openssl x509 -req -days 3000 -in leaf.csr -CA int.crt -CAkey int.key -set_serial 01 -out leaf.crt

 cat ca.crt int.crt leaf.crt > all.crt

[req]
distinguished_name=req_distinguished_name
x509_extensions=v3_ca
dirstring_type=nobmp
[req_distinguished_name]
commonName=公用名（例如，您的姓名）
commonName_default=root
[v3_ca]
keyusage=关键，keycertsign
subjectkeyidentifier=hash
authoritykeyidentifier=keyid:始终

[req]
distingished_name=req_distingished_name
x509_extensions=ext
[req_distingished_name]
commonName=公用名（例如，您的姓名）
commonName_default=int
[ext]
keyusage=关键，keycertsign
subjectkeyidentifier=hash
authoritykeyidentifier=keyid:始终，颁发者：始终

[req]
distinguished_name=req_distinguished_name
dirstring_type=nobmp
[req_distinguished_name]
commonName=公用名（例如，您的姓名）
commonName_default=叶

Answer 1

CA根证书必须标记为属于CA：

CA证书必须包含将CA字段设置为true的basicConstraints值。最终用户证书必须将CA设置为FALSE或完全排除扩展名。某些软件可能要求包含basicConstraints,并且最终实体证书的CA设置为FALSE。

这是通过基本约束标准扩展完成的。要检查根证书是否设置了CA属性，请运行openssl x509-text-noout-in ca.crt并在输出中查找ca:true。请注意，OpenSSL实际上允许您使用非CA根证书（或至少使用过）签署其他证书，但对此类证书的验证将失败（因为CA检查将失败）。

对于配置文件，只需在生成根证书的命令中包含-extensionsv3_CA就足够了：

openssl req -new -x509 -extensions v3_ca -days 3000 -key ca.key -out ca.crt -config ca.conf -extfile ca.conf