Memvalidasi rantai sertifikat

Anda sedang melihat dokumentasi Apigee Edge.
Buka dokumentasi Apigee X. info

Dokumen ini menjelaskan cara memvalidasi rantai sertifikat sebelum Anda mengupload sertifikat ke keystore atau truststore di Apigee Edge. Proses ini mengandalkan toolkit OpenSSL untuk memvalidasi rantai sertifikat dan berlaku di lingkungan mana pun tempat OpenSSL tersedia.

Sebelum memulai

Sebelum menggunakan langkah-langkah dalam dokumen ini, pastikan Anda memahami topik berikut:

• Jika Anda belum memahami rantai sertifikat, baca Rantai kepercayaan.
• Jika Anda belum memahami library OpenSSL, baca OpenSSL.
• Jika Anda ingin menggunakan contoh command line dalam panduan ini, instal atau update ke versi terbaru klien OpenSSL.
• Pastikan sertifikat dalam format PEM. Jika sertifikat tidak dalam format PEM, gunakan petunjuk di Mengonversi sertifikat ke format yang didukung untuk mengonversinya ke format PEM.

Memvalidasi subjek dan penerbit sertifikat untuk seluruh rantai

Untuk memvalidasi rantai sertifikat menggunakan perintah OpenSSL, selesaikan langkah-langkah yang dijelaskan di bagian berikut:

• Memisahkan rantai sertifikat
• Memverifikasi subjek dan penerbit sertifikat
• Memverifikasi hash subjek dan penerbit sertifikat
• Memverifikasi masa berlaku sertifikat

Memisahkan rantai sertifikat

Sebelum memvalidasi sertifikat, Anda harus memisahkan rantai sertifikat menjadi sertifikat terpisah menggunakan langkah-langkah berikut:

1. Login ke server tempat klien OpenSSL berada.
2. Pisahkan rantai sertifikat menjadi sertifikat berikut (jika belum dilakukan):
• Sertifikat entitas: entity.pem
• Sertifikat perantara: intermediate.pem
• Root certificate: root.pem

Gambar berikut menunjukkan contoh rantai sertifikat:

Memverifikasi subjek dan penerbit sertifikat

Bagian ini menjelaskan cara mendapatkan subjek dan penerbit sertifikat serta memverifikasi bahwa Anda memiliki rantai sertifikat yang valid.

1. Jalankan perintah OpenSSL berikut untuk mendapatkan Subject dan Issuer untuk setiap sertifikat dalam rantai dari entity hingga root dan verifikasi bahwa sertifikat tersebut membentuk rantai sertifikat yang tepat:

   openssl x509 -text -in certificate | grep -E '(Subject|Issuer):'
       

   Dengan certificate adalah nama sertifikat.

2. Pastikan sertifikat dalam rantai mematuhi pedoman berikut:
   • Subject setiap sertifikat cocok dengan Issuer sertifikat sebelumnya dalam rantai (kecuali sertifikat Entity).
   • Subject dan Issuer sama untuk sertifikat root.

   Jika sertifikat dalam rantai mematuhi panduan ini, rantai sertifikat dianggap lengkap dan valid.

   Contoh validasi rantai sertifikat

   Contoh berikut adalah output perintah OpenSSL untuk rantai sertifikat contoh yang berisi tiga sertifikat:

   Sertifikat entitas

   openssl x509 -text -in entity.pem | grep -E '(Subject|Issuer):'
   
   Issuer: C = US, O = Google Trust Services, CN = GTS CA 1O1
   Subject: C = US, ST = California, L = Mountain View, O = Google LLC, CN = *.enterprise.apigee.com
           

   Intermediate certificate

   openssl x509 -text -in intermediate.pem  | grep -E '(Subject|Issuer):'
   
   Issuer: OU = GlobalSign Root CA - R2, O = GlobalSign, CN = GlobalSign
   Subject: C = US, O = Google Trust Services, CN = GTS CA 1O1
           

   Root certificate

   openssl x509 -text -in root.pem | grep -E '(Subject|Issuer):'
   
   Issuer: OU = GlobalSign Root CA - R2, O = GlobalSign, CN = GlobalSign
   Subject: OU = GlobalSign Root CA - R2, O = GlobalSign, CN = GlobalSign
           

   Dalam contoh yang ditampilkan di atas, perhatikan hal berikut:

   • Subject sertifikat perantara cocok dengan Issuer sertifikat entitas.
   • Subject sertifikat root cocok dengan Issuer sertifikat perantara.
   • Subject dan Issuer sama di sertifikat root.

   Dari contoh di atas, Anda dapat mengonfirmasi bahwa rantai sertifikat contoh valid.

Memverifikasi hash subjek dan penerbit sertifikat

Bagian ini menjelaskan cara mendapatkan hash subjek dan penerbit sertifikat serta memverifikasi bahwa Anda memiliki rantai sertifikat yang valid.

Selalu praktikkan untuk memverifikasi urutan hash sertifikat karena dapat membantu mengidentifikasi masalah seperti Nama Umum (CN) sertifikat yang memiliki spasi atau karakter khusus yang tidak diinginkan.

1. Jalankan perintah OpenSSL berikut untuk mendapatkan urutan hash untuk setiap sertifikat dalam rantai dari entity hingga root dan verifikasi bahwa sertifikat tersebut membentuk rantai sertifikat yang tepat.

openssl x509 -hash -issuer_hash -noout -in certificate
    

Dengan certificate adalah nama sertifikat.

2. Pastikan sertifikat dalam rantai mematuhi panduan berikut:
• Subject setiap sertifikat cocok dengan Issuer sertifikat sebelumnya dalam rantai (kecuali untuk sertifikat Entity).
• Subject dan Issuer sama untuk sertifikat root.

Jika sertifikat dalam rantai mematuhi panduan ini, maka rantai sertifikat dianggap lengkap dan valid.

Contoh validasi rantai sertifikat melalui urutan hash

Contoh berikut adalah output perintah OpenSSL untuk rantai sertifikat contoh yang berisi tiga sertifikat:

openssl x509 -in entity.pem -hash -issuer_hash -noout
c54c66ba #this is subject hash
99bdd351 #this is issuer hash
    

openssl x509 -in intermediate.pem -hash -issuer_hash -noout
99bdd351
4a6481c9
    

openssl x509 -in root.pem -hash -issuer_hash -noout
4a6481c9
4a6481c9
    

Dalam contoh yang ditampilkan di atas, perhatikan hal berikut:

• subject hash intermediate certificate cocok dengan issuer hash sertifikat entitas.
• subject hash root certificate cocok dengan issuer hash sertifikat penerbit.
• subject dan issuer hash sama di sertifikat root.

Dari contoh di atas, Anda dapat mengonfirmasi bahwa rantai sertifikat contoh valid.

Memverifikasi masa berlaku sertifikat

Bagian ini menjelaskan cara memverifikasi apakah semua sertifikat dalam rantai telah berakhir atau tidak menggunakan metode berikut:

• Dapatkan tanggal mulai dan akhir sertifikat.
• Mendapatkan status masa berlaku.

openssl x509 -startdate -enddate -noout -in entity.pem
notBefore=Feb  6 21:57:21 2020 GMT
notAfter=Feb  4 21:57:21 2021 GMT

openssl x509 -startdate -enddate -noout -in intermediate.pem
notBefore=Jun 15 00:00:42 2017 GMT
notAfter=Dec 15 00:00:42 2021 GMT

openssl x509 -startdate -enddate -noout -in root.pem
notBefore=Apr 13 10:00:00 2011 GMT
notAfter=Apr 13 10:00:00 2022 GMT

openssl x509 -checkend <N Seconds> -noout -in certificate

openssl x509 -checkend 0 -noout -in entity.pem
Certificate will not expire

openssl x509 -checkend 0 -noout -in intermediate.pem
Certificate will not expire

openssl x509 -checkend 0 -noout -in root.pem
Certificate will not expire