Como altero a expiração de CRLs com o OpenSSL?

Question

No momento, estou experimentando minha CA autônoma.

Mas, para que meus dispositivos funcionem, preciso de uma CRL válida.

Eu defino o CDP para um dos provedores de hospedagem da CDN. Como tenho apenas 5 certificados emitidos, tenho poucas hipóteses de revogar um deles, pelo que gostaria de emitir uma CRL de validade longa e atualizá-la quando necessário.

Como posso fazer isso com o OpenSSL e como a expiração padrão é calculada?

Eu vejo que o arquivo crlnumber aumenta e o certutil exibe algo como

Base CRL(1014) time:11

    

Answer 1

O padrão é 30 dias.

Para alterar o campo nextUpdate, você pode usar a opção -crldays do comando openssl ca assim:

openssl ca -gencrl -crldays 120 -config /path/to/openssl.conf -keyfile /path/to/private/key.file -passin pass:plaintextpassword -out /path/to/crl.pem