SYNOPSIS

CA.pl [-?] [-h] [-help] [-newcert] [-newreq] [-newreq-nodes] [-newca] [-xsign] [-sign] [-signreq] [-signcert] [-verify] [fichiers]

DESCRIPTION

Le script Perl CA.pl fournit les paramètres à la commande openssl pour les opérations les plus courantes sur les certificats. Son but est de simplifier le processus de création et la gestion de certificats en employant des options simples.

OPTIONS DE LA COMMANDE

?, -h, -help

Afficher un descriptif d'utilisation.

-newcert

Créer un nouveau certificat autosigné. La clef privée est écrite dans le fichier « newkey.pem » et la demande dans le fichier « newreq.pem ».

-newreq

Créer un nouveau certificat. La clef privée est écrite dans le fichier « newkey.pem » et la demande dans le fichier « newreq.pem ».

-newreq-nodes

Identique à -newreq, sauf que la clef privée ne sera pas chiffrée.

-newca

Créer une nouvelle hiérarchie d'autorité de certification à utiliser avec le programme ca (ou les options -signcert et -xsign). L'utilisateur devra saisir le nom de fichier des certificats de l'autorité de certification (qui est censé contenir également la clef privée) ou, en appuyant sur Entrée, des précisions sur l'autorité de certification seront demandées. Les fichiers et répertoires correspondants seront créés dans un son répertoire nommé « demoCA » dans le répertoire actuel.

-pkcs12

Créer un fichier PKCS#12 contenant le certificat utilisateur, la clef privée et le certificat de l'autorité de certification. Le programme s'attend à trouver le certificat utilisateur et la clef privée dans le fichier « newcert.pem » et le certificat de l'autorité de certification dans le fichier demoCA/cacert.pem, puis crée un fichier « newcert.p12 ». Cette commande peut ainsi être appelée après l'option -sign. Le fichier PKCS#12 peut être directement importé dans un navigateur. Un argument supplémentaire à la ligne de commande sera le nom courant du certificat (celui typiquement affiché dans la fenêtre des certificats du navigateur), sinon le nom par défaut sera « My Certificate ».

-sign, -signreq, -xsign

Appeler le programme ca pour signer une demande de certificat. Il s'attend à trouver la demande dans le fichier « newreq.pem ». Le nouveau certificat est écrit dans le fichier « newcert.pem » sauf avec l'option -xsign, auquel cas il est envoyé vers la sortie standard.

-signCA

Cette option est identique à -signreq, sauf que la section v3_ca du fichier de configuration est utilisée, ce qui fait de la demande signée un certificat d'autorité de certification valable. C'est utile pour créer des autorités de certification intermédiaires à partir d'une autorité de certification racine.

-signcert

Identique à -sign à la différence qu'un certificat autosigné est attendu dans le fichier « newreq.pem ».

-verify

Vérifier le certificat avec le certificat de l'autorité de certification « demoCA ». Si aucun certificat n'est indiqué sur la ligne de commande, le fichier « newcert.pem » est vérifié.

fichiers

Un ou plusieurs noms de fichier de certificat à utiliser avec l'option -verify.

EXEMPLES

Création d'une hiérarchie d'autorité de certification :

 CA.pl -newca

Exemple complet de création d'un certificat : créer une autorité de certification, créer une demande, signer la demande et finalement créer un fichier PKCS#12 pour contenir le certificat.

 CA.pl -newca
 CA.pl -newreq
 CA.pl -signreq
 CA.pl -pkcs12 "Mon certificat de test"

CERTIFICATS DSA

Même si CA.pl crée des autorités de certification et demandes au format RSA, il est toujours possible de l'utiliser avec des certificats et demandes au format DSA en utilisant la commande req(1) directement. L'exemple suivant montre les manipulations typiques.

Créer les paramètres DSA :

 openssl dsaparam -out dsap.pem 1024

Créer un certificat d'autorité de certification DSA avec sa clef privée :

 openssl req -x509 -newkey dsa:dsap.pem -keyout cacert.pem -out cacert.pem

Créer les fichiers et répertoires de l'autorité de certification :

 CA.pl -newca

Saisir cacert.pem lors de la demande du nom de fichier d'autorité de certification.

Créer une demande de certificat DSA et sa clef privée (un autre jeu de paramètres peut être généré auparavant) :

 openssl req -out newreq.pem -newkey dsa:dsap.pem

Signer la demande :

 CA.pl -signreq

NOTES

La plupart des noms de fichiers cités peuvent être modifiés en éditant le script CA.pl.

Si le répertoire demoCA existe déjà, la commande -newca ne l'écrasera pas et n'effectuera aucune action. Cela peut arriver lors d'un arrêt inopportun d'un appel précédent avec l'option -newca. Pour retrouver le comportement correct il faut supprimer le répertoire demoCA.

Dans certains environnements, il peut être impossible d'exécuter le script CA.pl directement (par exemple sous Win32) et l'emplacement par défaut du fichier de configuration peut être erroné. Dans ce cas, la commande :

 perl -S CA.pl

peut être lancée (NdT : dans le répertoire où se trouve le script CA.pl) et la variable d'environnement OPENSSL_CONF est modifiée pour indiquer le chemin correct vers le fichier de configuration « openssl.conf ».

Le script simplifie l'utilisation du programme openssl aux débutants. Son comportement n'est pas toujours celui voulu. Pour plus de contrôle sur le comportement des commandes de certificats, appeler la commande openssl directement.

VARIABLES D'ENVIRONNEMENT

La variable OPENSSL_CONF, si elle est définie, permet d'indiquer l'emplacement d'un fichier de configuration alternatif. Elle doit contenir le chemin complet avec le nom du fichier, pas seulement son répertoire.

TRADUCTION

Cette page de manuel a été traduite par stolck en 2002 et est maintenue par la liste <debian-l10n-french AT lists DOT debian DOT org>. Veuillez signaler toute erreur de traduction par un rapport de bogue sur le paquet manpages-fr-extra.