OpenSSL: Quy trình PEM: PEM_read_bio: không có dòng bắt đầu: pem_lib.c: 703: Kỳ vọng: CHỨNG NHẬN TIN TƯỞNG [đã đóng]

Tôi cần tên băm cho tệp để đăng trong thư mục CApath của Stunnel. Tôi đã có một số chứng chỉ trong thư mục này và chúng đang hoạt động tốt. Ngoài ra, tôi có một sert máy chủ và khóa máy chủ:

cert = c:\Program Files (x86)\stunnel\server_cert.pem 
key = c:\Program> Files (x86)\stunnel\private\server_key.pem

Khi tôi cố gắng tính toán một hàm băm của chứng chỉ mới của mình, tôi gặp lỗi:

/etc/pki/tls/misc/c_hash cert.pem

unable to load certificate 140603809879880:error:0906D06C:PEM
routines:PEM_read_bio:no start line:pem_lib.c:703:Expecting: TRUSTED CERTIFICATE

Như tôi hiểu, tôi phải ký vào chứng chỉ của mình, nhưng tôi không hiểu làm thế nào tôi có thể làm điều đó. Vui lòng cung cấp giải pháp.

Tái bút:

Thông điệp

unable to load certificate 140603809879880:error:0906D06C:PEM
routines:PEM_read_bio:no start line:pem_lib.c:703:Expecting: TRUSTED CERTIFICATE:

được đăng khi tôi tạo c_hash cho cert.pem Đây không phải là server_cert.pem, đây là Root_CA và nó có nội dung giống như

-----BEGIN CERTIFICATE-----  
...6UXBNSDVg5rSx60=.. 

-----END CERTIFICATE-----

Khi tôi viết

openssl x509 -noout -text -in cert.pem

Trong bảng điều khiển, tôi thấy thông tin này:

    Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 1 (0x1)
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=BE, ST=BB, L=BB, O=BANKSYS NV, OU=SCY, CN=TEST Root CA
        Validity
            Not Before: May 31 08:06:40 2005 GMT
            Not After : May 31 08:06:40 2020 GMT
        Subject: C=BE, ST=BB, L=BB, O=BB NV, OU=SCY, CN=TEST Root CA
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:82:c8:58:1e:e5:7a:b2:63:a6:15:bd:f9:bb:1f:
............
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Key Usage: critical
                Certificate Sign, CRL Sign
            X509v3 Subject Key Identifier:
                76:70:AB:92:9B:B1:26:CE:9E:93:D8:77:4F:78:0D:B8:D4:6C:DA:C6
    Signature Algorithm: sha1WithRSAEncryption
         2c:7e:bd:3f:da:48:a4:df:8d:7c:96:58:f7:87:bd:e7:16:24:
...............

1. Vì bạn đang sử dụng Windows, hãy đảm bảo rằng chứng chỉ của bạn trong Windows "tương thích", quan trọng nhất là nó không có ^Mở cuối mỗi dòng

   Nếu bạn mở nó ra, nó sẽ trông như thế này:

   -----BEGIN CERTIFICATE-----^M
   MIIDITCCAoqgAwIBAgIQL9+89q6RUm0PmqPfQDQ+mjANBgkqhkiG9w0BAQUFADBM^M
   

   Để giải quyết "cái này", hãy mở nó bằng Writehoặc Notepad ++ và chuyển nó sang "style" Windows

2. Hãy thử chạy openssl x509 -text -inform DER -in server_cert.pemvà xem kết quả là gì, chắc chắn khóa riêng / bí mật sẽ không đáng tin cậy, chỉ cần tin cậy nếu bạn xuất khóa từ kho khóa phải không?

Một nguyên nhân có thể khác của điều này là cố gắng sử dụng mô-đun x509 trên thứ gì đó không phải là x509

Chứng chỉ máy chủ có định dạng x509, nhưng khóa cá nhân là rsa

Vì thế,

openssl rsa -noout -text -in privkey.pem
openssl x509 -noout -text -in servercert.pem

Tình hình của tôi hơi khác một chút. Giải pháp là tách .pem khỏi mọi thứ bên ngoài phần CHỨNG NHẬN và KHÓA RIÊNG TƯ và đảo ngược thứ tự xuất hiện của chúng. Sau khi chuyển đổi từ tệp pfx sang tệp pem, chứng chỉ trông như thế này:

Bag Attributes
localKeyID: ...
issuer=...
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
Bag Attributes
more garbage...
-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----

Sau khi sửa tệp, nó chỉ là:

-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

Sai lầm của tôi chỉ đơn giản là sử dụng tệp CSR thay vì tệp CERT.

Tôi đã gặp sự cố tương tự khi sử dụng Windows, đã gặp phải nếu được khắc phục bằng cách mở nó trong Notepad ++ và thay đổi mã hóa từ "UCS-2 LE BOM" thành "UTF-8".

Thay đổi mã hóa trong notepad ++ UTF-8 với BOM . Đó là cách nó làm việc cho tôi

Bạn có thể nhận được lỗi gây hiểu lầm này nếu bạn ngây thơ cố gắng để làm điều này:

[clear] -> Private Key Encrypt -> [encrypted] -> Public Key Decrypt -> [clear]

Thiết kế không cho phép mã hóa dữ liệu bằng khóa riêng .

Bạn có thể thấy từ các tùy chọn dòng lệnh cho ssl đang mở rằng các tùy chọn duy nhất để encrypt -> decryptđi theo một hướng public -> private.

  -encrypt        encrypt with public key
  -decrypt        decrypt with private key

Hướng khác được ngăn chặn một cách có chủ ý vì về cơ bản các khóa công khai "có thể đoán được." Vì vậy, mã hóa bằng khóa riêng có nghĩa là điều duy nhất bạn có được là xác minh tác giả có quyền truy cập vào khóa riêng.

Các private key encrypt -> public key decrypthướng được gọi là "ký" để phân biệt nó từ một kỹ thuật mà có thể dữ liệu thực sự an toàn.

  -sign           sign with private key
  -verify         verify with public key

Lưu ý: mô tả của tôi là đơn giản hóa để rõ ràng. Đọc câu trả lời này để biết thêm thông tin .