Come dividere un file PEM

Nota: questa non è davvero una domanda perché ho già trovato la risposta, ma poiché non l'ho trovata facilmente qui la pubblicherò in modo che possa essere di beneficio agli altri.

Domanda: Come leggere un file PEM concatenato come quello utilizzato dalla direttiva apache / mod_ssl SSLCACertificateFile ?

Risposta (originale) ( fonte ):

cat $file|awk 'split_after==1{n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1} {print > "cert" n ".pem"}'

Questo può lasciare un file vuoto se c'è una riga vuota alla fine, come con openssl pkcs7 -outform PEM -in my-chain-file -print_certs. Per evitare ciò, controllare la lunghezza della linea prima di stampare:

cat $file|awk 'split_after==1{n++;split_after=0}
   /-----END CERTIFICATE-----/ {split_after=1}
   {if(length($0) > 0) print > "cert" n ".pem"}' 

Risposta 29/03/2016 :

Dopo la risposta di @slugchewer , csplitpotrebbe essere un'opzione più chiara con:

csplit -f cert- $file '/-----BEGIN CERTIFICATE-----/' '{*}'

Lo snippet di awk funziona per estrarre le diverse parti, ma è comunque necessario sapere quale sezione è la chiave / certificato / catena. Avevo bisogno di estrarre una sezione specifica e l'ho trovato sulla mailing list di OpenSSL: http://openssl.6102.n7.nabble.com/Convert-pem-to-crt-and-key-files-tp47681p47697.html

# Extract key
openssl pkey -in foo.pem -out foo-key.pem

# Extract all the certs
openssl crl2pkcs7 -nocrl -certfile foo.pem |
  openssl pkcs7 -print_certs -out foo-certs.pem

# Extract the textually first cert as DER
openssl x509 -in foo.pem -outform DER -out first-cert.der

In precedenza era stato risposto su StackOverflow :

awk '
  split_after == 1 {n++;split_after=0}
  /-----END CERTIFICATE-----/ {split_after=1}
  {print > "cert" n ".pem"}' < $file

Modifica 29/03/2016 : vedi la risposta di @slugchewer

Il splitcomando è disponibile sulla maggior parte dei sistemi e la sua invocazione è probabilmente più facile da ricordare.

Se si dispone di un file collection.pemche si desidera dividere in individual-*file, utilizzare:

split -p "-----BEGIN CERTIFICATE-----" collection.pem individual-

Se non lo hai split, puoi provare csplit:

csplit -f individual- collection.pem '/-----BEGIN CERTIFICATE-----/' '{*}'

Se si desidera ottenere un singolo certificato da un pacchetto PEM multi-certificato, provare:

$ openssl crl2pkcs7 -nocrl -certfile INPUT.PEM | \
    openssl pkcs7 -print_certs | \
    awk '/subject.*CN=host.domain.com/,/END CERTIFICATE/'

• I primi due opensslcomandi elaboreranno un file PEM e lo sputeranno indietro con linee in sospeso "subject:"e "issuer:"righe prima di ogni certificato. Se il tuo PEM è già formattato in questo modo, tutto ciò di cui hai bisogno è il awkcomando finale .
• Il comando awk sputerà il singolo PEM corrispondente alla stringa CN (nome comune).

fonte1 , fonte2

Vale anche la pena notare che i file PEM sono solo una raccolta di chiavi / certificati all'interno di BEGIN/ ENDblocchi, quindi è abbastanza facile tagliare / incollare se è solo un singolo file con una o due entità interessanti ...

Se si gestiscono certificati a catena completa (ovvero quelli generati da letsencrypt / certbot ecc.), Che sono una concatenazione del certificato e della catena dell'autorità di certificazione, è possibile utilizzare la manipolazione della stringa bash.

Per esempio:

# content of /path/to/fullchain.pem
-----BEGIN CERTIFICATE-----
some long base64 string containing
the certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
another base64 string
containing the first certificate
in the authority chain
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
another base64 string
containing the second certificate
in the authority chain
(there might be more...)
-----END CERTIFICATE-----

Per estrarre il certificato e la catena dell'autorità di certificazione in variabili:

# load the certificate into a variable
FULLCHAIN=$(</path/to/fullchain.pem)
CERTIFICATE="${FULLCHAIN%%-----END CERTIFICATE-----*}-----END CERTIFICATE-----"
CHAIN=$(echo -e "${FULLCHAIN#*-----END CERTIFICATE-----}" | sed '/./,$!d')

Spiegazione:

Invece di usare awk o openssl (che sono strumenti potenti ma non sempre disponibili, ad esempio nelle immagini Docker Alpine), puoi usare la manipolazione della stringa bash.

"${FULLCHAIN%%-----END CERTIFICATE-----*}-----END CERTIFICATE-----": dalla fine del contenuto di FULLCHAIN, restituisce la corrispondenza di sottostringa più lunga, quindi concatola -----END CERTIFICATE-----mentre viene rimossa. Le *partite di tutti i caratteri dopo -----END CERTIFICATE-----.

$(echo -e "${FULLCHAIN#*-----END CERTIFICATE-----}" | sed '/./,$!d'): dall'inizio del contenuto di FULLCHAIN, restituisce la corrispondenza di sottostringa più corta, quindi elimina le nuove linee iniziali. Allo stesso modo, *corrisponde a tutti i personaggi precedenti -----END CERTIFICATE-----.

Per un rapido riferimento (mentre puoi trovare ulteriori informazioni sulla manipolazione delle stringhe in bash qui ):

${VAR#substring}= la sottostringa più corta dall'inizio del contenuto di VAR

${VAR%substring}= la sottostringa più corta dalla fine del contenuto di VAR

${VAR##substring}= la sottostringa più lunga dall'inizio del contenuto di VAR

${VAR%%substring}= la sottostringa più lunga dalla fine del contenuto di VAR

Hmmm ... quasi allo stesso modo ho preparato la soluzione (come suggerito y @Cerber) senza rendersi conto che questa situazione sembra avere molte persone. La mia soluzione segue quasi la stessa logica ma usa alcuni comandi di base:

Tutti i miei certificati sono in archivio: certin.pem

c=0
while read line
  do
    if echo $line | grep END; then
    echo $line >> certout$c.pem
    c=`expr $c + 1`
    else
     echo $line
     echo $line >> certout$c.pem
    fi
done < /tmp/certin.pem

Questo in sostanza continua a scrivere in un file fino a quando non si incontra "END" e quindi inizia a scrivere su un altro file in modo incrementale. In questo modo avrai "N" numero di file di output ( certout0.pem, certout1.pem e così via ..) a seconda di quanti certificati ci sono nel tuo file pem di input ( certin.pem ).