Certificate Assistant scambia le impostazioni dell'estensione per CA / Utenti

Sto cercando di impostare un'autorità di certificazione principale utilizzando Accesso Portachiavi / Assistente certificato ma sto riscontrando dei problemi.

Durante la creazione dell'autorizzazione, l'assistente richiede di immettere le impostazioni dell'estensione Utilizzo chiave e Utilizzo chiave estesa sia per la CA stessa che per gli utenti. Tuttavia, al completamento del certificato, questo sembra essere stato scambiato. Quindi la CA stessa sembra avere le impostazioni inserite per gli utenti della CA.

A scopo dimostrativo, ho creato alcuni screenshot per configurare una CA di prova:

Questa configurazione produrrà il certificato visto di seguito:

Come puoi vedere, i valori per l'utilizzo della chiave e le estensioni dell'uso della chiave estesa provengono dai valori immessi per gli utenti per questa CA. Mentre i valori per i vincoli di base e il nome alternativo soggetto sembrano essere presi correttamente dai valori immessi per la CA stessa.

Ora ho alcune domande su questo:

• Si tratta di un bug nell'assistente certificato e le estensioni 2 e 3 sottostanti sono erroneamente prese dall'assistente? (Se è così dovrò usare OpenSSL)
• In caso contrario, qual è il motivo per cui il certificato mostrerebbe i valori predefiniti che utilizza per i certificati che emetterà? E in tal caso, il campo Utilizzo chiave al n. 1 di seguito rappresenta i valori corretti immessi per la CA?
• I valori utente immessi per quelle 2 estensioni influiscono in qualche modo sui certificati emessi? (Se le impostazioni predefinite per il certificato emesso vengono modificate). Il motivo per cui lo chiedo è perché ho letto da qualche parte che l'estensione di utilizzo della chiave imposta i valori predefiniti per i certificati emessi mentre l'estensione di utilizzo della chiave estesa imposta le restrizioni per i certificati emessi.

Quindi ho esaminato ulteriormente questo aspetto e da quello che ho letto qui e là, sono abbastanza sicuro che non dovrebbe farlo. Ho segnalato questo bug a apple e se mai avessi una risposta da loro aggiornerò questo post.

Se qualcuno con lo stesso problema trova questo post, questa è la soluzione temporanea che ho usato:

1. Crea l'autorità di certificazione e per ogni estensione che ti dà due schermate inserisci gli stessi valori in entrambi. Questi dovrebbero essere i valori desiderati sul certificato stesso.
2. Al termine, vai a ~/Library/Application Support/Certificate Authority/[ca name]e modifica il file modello lì per i valori che volevi inserire nella seconda schermata di ogni estensione.