A CA SSL local sempre expira 30 dias após a criação

Question

Estou seguindo etapas semelhantes a essa responder para criar uma autoridade de certificação local.

Apesar de definir a opção default_days como 1825 (dias) no meu arquivo de configuração, o certificado CA resultante é sempre configurado para expirar 30 dias após a criação.

Estou confirmando isso visualizando o arquivo PEM resultante com openssl x509 -in ./cacert.pem -text -noout

Aqui está o arquivo de configuração que estou usando para criar o certificado de CA:

HOME            = .
RANDFILE        = $ENV::HOME/.rnd

####################################################################
[ ca ]
default_ca    = CA_default      # The default ca section

[ CA_default ]

default_days     = 1825         # how long to certify for
default_crl_days = 30           # how long before next CRL
default_md       = sha256       # use public key default MD
preserve         = no           # keep passed DN ordering

x509_extensions = ca_extensions # The extensions to add to the cert

email_in_dn     = no            # Don't concat the email in the DN
copy_extensions = copy          # Required to copy SANs from CSR to cert

base_dir      = ./CA
certificate   = $base_dir/cacert.pem        # The CA certifcate
private_key   = $base_dir/private/cakey.pem # The CA private key
new_certs_dir = $base_dir/newcerts          # Location for new certs after signing
database      = $base_dir/index.txt    # Database index file
serial        = $base_dir/serial   # The current serial number

unique_subject = no  # Set to 'no' to allow creation of
                     # several certificates with same subject.

####################################################################
[ req ]
default_bits       = 4096
default_keyfile    = cakey.pem
distinguished_name = ca_distinguished_name
x509_extensions    = ca_extensions
string_mask        = utf8only

####################################################################
[ ca_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default = US

stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = CA

localityName                = Locality Name (eg, city)
localityName_default        = Bakersfield

organizationName            = Organization Name (eg, company)
organizationName_default    = Some Company

organizationalUnitName         = Organizational Unit (eg, division)
organizationalUnitName_default = Some Org Unit

commonName         = Common Name (e.g. server FQDN or YOUR name)
commonName_default = some-local-CA

emailAddress         = Email Address
emailAddress_default = [email protected]

####################################################################
[ ca_extensions ]

subjectKeyIdentifier   = hash
authorityKeyIdentifier = keyid:always, issuer
basicConstraints       = critical, CA:true
keyUsage               = keyCertSign, cRLSign

####################################################################
[ signing_policy ]
countryName            = optional
stateOrProvinceName    = optional
localityName           = optional
organizationName       = optional
organizationalUnitName = optional
commonName             = supplied
emailAddress           = optional

####################################################################
[ signing_req ]
subjectKeyIdentifier   = hash
authorityKeyIdentifier = keyid,issuer
basicConstraints       = CA:FALSE
keyUsage               = digitalSignature, keyEncipherment

Eu então crio o CA local com este comando (mesmo diretório):

openssl req -x509 -config ./openssl-ca.cnf -newkey rsa:4096 -sha256 -nodes -out cacert.pem -outform PEM

Eu tentei definir a opção default_crl_days para algo diferente de 30 e não pareceu ter nenhum efeito.

Como especifico a data de expiração (ou o número de dias até a expiração) da minha autoridade de certificação local?

    

Answer 1

Com a configuração que tenho para gerar uma CA e o CA-INT, recebo o seguinte para minhas datas de validade:

   Validity
        Not Before: Jan 28 03:28:40 2018 GMT
        Not After : Jan 23 03:28:40 2038 GMT

O que descobri é que só consegui que isso funcionasse passando-o para openssl diretamente por meio da opção -days .

Por exemplo:

openssl req -config $topDir/openssl.cnf \
      -key $ca_key_file \
      -new -x509 -days 7300 -sha256 -extensions v3_ca \
      -out $ca_cert_file -passin pass:casecret \
      -subj "/C=US/ST=NC/L=Raleigh/O=APPS Security/OU=APPS/CN=APPS CA"

    

Answer 2

Se você seguir a pergunta / resposta vinculada, o pôster está usando openssl req para gerar o certificado. Sem uma opção -days específica na linha de comando, o padrão do comando é 30 dias:

-days n

When the -x509 option is being used this specifies the number of days to certify the certificate for, otherwise it is ignored. n should be a positive integer. The default is 30 days.

O mesmo vale para o comando x509 :

-days arg

Specifies the number of days to make a certificate valid for. The default is 30 days.

default_days , default_startdate e default_enddate no arquivo de opções são usados apenas com o comando openssl ca (não req ou x509 ).