使用openssl配置TSA

Question

在尝试生成TSA回复时，我收到以下错误。

$ openssl ts -reply -queryfile test.tsq -out test.tsr -inkey private/tsakey.pem -signer tsa.crt.pem
140234774902432:error:2F083075:time stamp routines:TS_RESP_CTX_set_signer_cert:invalid signer certificate purpose:ts_rsp_sign.c:206:

找到下面所遵循的步骤...

$ openssl req -new -newkey rsa:2048 -keyout private/tsakey.pem -out tsareq.pem -nodes
$ openssl ca -in tsareq.pem -out tsa.crt.pem -extensions mytsa -extfile tsa.x509config
$ openssl ts -query -data test.txt -no_nonce -out test.tsq
$ openssl ts -reply -queryfile test.tsq -out test.tsr -inkey private/tsakey.pem -signer tsa.crt.pem

扩展文件是：

[mytsa]
basicConstraints=CA:FALSE
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
#keyUsage = nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage=timeStamping

Answer 1

您需要根据RFC 3161, Section 2.3将扩展密钥用法标记为关键(extendedKeyUsage=critical、timeStamping)。

Answer 2

在寻找和测试了更多之后，我想我找到了aswer。对于时间戳，您必须仅包含nonRepudiation和digitalSignature的keyUsage。

所以不，我的文件如下所示，它起作用了！

[mytsa]
basicConstraints=CA:FALSE
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
keyUsage = nonRepudiation, digitalSignature
extendedKeyUsage=timeStamping

我只是把它留在这里，因为也许其他人也有同样的问题。