Desejo configurar o OpenSSL de modo que, ao executar openssl req -new para gerar uma nova solicitação de assinatura de certificado, seja solicitado que qualquer nome de assunto alternativo seja incluído no CSR.
Eu adicionei esta linha à seção [req_attributes] do meu openssl.cnf :
subjectAltName = Alternative subject names
Isso tem o efeito desejado que agora sou solicitado por SANs ao gerar um CSR:
$ openssl req -new -out test.csr -key ./test.key <<<
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [US]:
State or Province Name (full name) [New York]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Example Co]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:test.example.com
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
Alternative subject names []:DNS:alt1.example.com
No exemplo acima, digitei DNS:alt1.example.com quando solicitado pelas SANs.
O problema é que o CSR resultante não parece estar bem formatado:
$ openssl req -text -in ./test.csr
Certificate Request:
Data:
Version: 0 (0x0)
Subject: C=US, ST=New York, O=The Banes, CN=test.thebanes.org
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (2048 bit)
Modulus:
[...]
Exponent: 65537 (0x10001)
Attributes:
X509v3 Subject Alternative Name:unable to print attribute
O OpenSSL reclama que não é possível imprimir o valor do atributo Nome Alternativo da Entidade. De exemplos online (onde as pessoas codificam as SANs em seu openssl.cnf, em vez de solicitar interativamente como eu quero), espero ver isso em vez disso:
Attributes:
X509v3 Subject Alternative Name:
DNS:alt1.example.com
Então, como posso gerar um CSR bem formado com SANs interativamente solicitadas?