#$SSLEAY_CONFIG=$ENV{"SSLEAY_CONFIG"};
$SSLEAY_CONFIG="-config /etc/openssl.cnf";
#$CATOP="./demoCA";
$CATOP="/var/ssl";

#---시작---
#
# OpenSSL 예제 설정 파일
# 인증요청서(Certificate requests) 생성 전에 이 파일을 반드시 수정하십시오.
#
RANDFILE  = $ENV::HOME/.rnd
oid_file  = $ENV::HOME/.oid
oid_section  = new_oids
# "openssl x509" 유틸리티에서 "-extfile"옵션을 사용하기 위해서는
# 아래 라인의 주석을 풀고 해당 내용을 입력해 주십시오:
# extensions  =
# (설정파일의 메인 섹션에 X.509v3 확장옵션을 넣는 것과 유사한 역할을 합니다.)
[ new_oids ]
# 'ca'와 'req'명령에서 쓰이는 OID를 여기서 추가할 수 있습니다.
# 아래의 라인은 간단한 OID 예제입니다:
# testoid1=1.2.3.4
# 다음은 치환 문법을 이용한 예제입니다:
# testoid2=${testoid1}.5.6
####################################################################
[ ca ]
default_ca = CA_default  # 기본 CA 섹션
####################################################################
[ CA_default ]
dir             = /var/ssl                # 모든 자료가 저장되는 곳
certs           = $dir/certs              # 서명된 인증서가 저장되는 곳
crl_dir         = $dir/crl                # 서명된 CRL이 저장되는 곳
database        = $dir/index.txt          # 데이터베이스 인덱스 파일
new_certs_dir   = $dir/newcerts           # 새 인증서가 기본적으로 저장되는 공간
certificate     = $dir/cacert.pem         # CA 인증서 위치
serial          = $dir/serial             # 현재 시리얼넘버
crl             = $dir/crl.pem            # 현재 CRL
private_key     = $dir/private/cakey.pem  # 개인키 위치
RANDFILE        = $dir/private/.rand      # 난수 생성에 사용되는 파일
x509_extensions = usr_cert                # 인증서에 추가될 확장 필드
# CRL에 붙는 확장옵션을 설정합니다.
# 주의: 넷스케이프 커뮤니케이터는 V2 CRL에 대해 에러가 발생할 수 있습니다.
# 때문에 V1 CRL을 생성하기 위해 이 옵션은 기본적으로 주석처리되어 있습니다.
# crl_extensions = crl_ext
default_days    = 365                     # 인증서 유효기간
default_crl_days= 7                       # CRL 유효기간
default_md      = sha1                    # 사용할 해쉬(md) 알고리즘
preserve        = no                      # keep passed DN ordering
# CA의 옵션과 인증요청서의 옵션 간에 차이가 있으면 제한을 겁니다.
# match라고 설정된 것은 반드시 일치해야하며, optional과 supplied로 설정하면
# 인증요청서의 값이 CA와 달라도 허용합니다. :-)
policy  = policy_match
# CA 정책을 위한 부분
[ policy_match ]
countryName            = match
stateOrProvinceName    = optional
localityName           = match
organizationName       = match
organizationalUnitName = optional
commonName             = supplied
emailAddress           = optional
# 'anything' 정책을 위한 부분
# 한개의 옵션도 누락시키지 마십시오.
[ policy_anything ]
countryName            = optional
stateOrProvinceName    = optional
localityName           = optional
organizationName       = optional
organizationalUnitName = optional
commonName             = supplied
emailAddress           = optional
####################################################################
[ req ]
default_bits       = 1024
default_keyfile    = privkey.pem
distinguished_name = req_distinguished_name
attributes         = req_attributes
default_md         = sha1
x509_extensions    = v3_ca # 자체 서명 인증서에 추가될 확장 필드
# 개인키 생성 시 패스워드를 입력할 때 화면에 출력되지 않도록 설정하는 부분입니다.
# input_password = secret
# output_password = secret
# 아래의 옵션으로 입력 문자를 제어할 수 있습니다.
# 다음과 같은 옵션을 사용할 수 있습니다.
# default : PrintableString, T61String, BMPString.
# pkix : PrintableString, BMPString.
# utf8only : UTF8Strings 전용.
# nombstr : PrintableString, T61String (BMPStrings, UTF8Strings 는 불가).
# MASK:XXXX a literal mask value.
# 경고 : 현재 버전의 Netscape는 BMPStrings 이나 UTF8Strings 로 설정되어 있으면
#        에러가 발생합니다. 주의해서 설정해 주십시오.
string_mask = nombstr
# req_extensions = v3_req # 인증요청서에 추가될 확장 필드
[ req_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default = FJ
countryName_min     = 2
countryName_max     = 2
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Fiji
localityName          = Locality Name (eg, city)
localityName_default  = Suva
0.organizationName         = Organization Name (eg, company)
0.organizationName_default = SOPAC
# 경우에 따라서 아래와 같이 설정할 수 있습니다.
#1.organizationName         = Second Organization Name (eg, company)
#1.organizationName_default = World Wide Web Pty Ltd
organizationalUnitName         = Organizational Unit Name (eg, section)
organizationalUnitName_default = ITU
commonName       = Common Name (eg, YOUR name)
commonName_max   = 64
emailAddress     = Email Address
emailAddress_max = 40
# SET-ex3   = SET extension number 3
[ req_attributes ]
challengePassword     = A challenge password
challengePassword_min = 4
challengePassword_max = 20
unstructuredName      = An optional company name
[ usr_cert ]
# 'ca'명령으로 인증서를 서명할 때 추가되는 확장 필드입니다.
# PKIX 권고사항에는 위배되지만, 몇몇 CA는 이 부분을 사용하고 있으며,
# 몇몇 소프트웨어에서 이 부분을 이용해서 CA의 인증서와 최종사용자의 인증서를
# 구분하고 있습니다.
basicConstraints=CA:FALSE
# 다음은 nsCertType 사용 예제입니다. 어떠한 것도 명시하지 않으면
# 코드 서명을 제외한 모든 용도로 사용할 수 있습니다.
# SSL 서버용 설정
# nsCertType   = server
# 코드 서명용 설정
# nsCertType = objsign
# 클라이언트용 설정
# nsCertType = client, email
# 모든 용도로 설정
# nsCertType = client, email, objsign
# 다음은 클라이언트 인증서에 쓰이는 keyUsage 사용 예제입니다.
# keyUsage = nonRepudiation, digitalSignature, keyEncipherment
# 다음은 넷스케이프의 주석 부분에 표시될 내용입니다.
nsComment  = "Certificate issued by https://www.sopac.org/ssl/"
# PKIX 에서는 모든 인증서에 아래의 내용을 넣기를 권고합니다.
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer:always
# subjectAltName 과 issuerAltname를 위한 부분입니다.
# 다음과 같이 설정하면 E-mail 주소로 설정됩니다.
# subjectAltName=email:copy
# subject 세부정보를 복사합니다.
# issuerAltName=issuer:copy
# 기본 URL 주소입니다.
nsBaseUrl  = https://www.sopac.org/ssl/
# 최신 인증철회리스트(Certificate Revocation List, CRL)를 받을 수 있는
# 링크입니다.
nsCaRevocationUrl = https://www.sopac.org/ssl/sopac-ca.crl
# 인증 철회를 요청할 수 있는 주소입니다.
nsRevocationUrl  = https://www.sopac.org/ssl/revocation.html?
# 인증서를 갱신할 수 있는 주소입니다.
nsRenewalUrl  = https://www.sopac.org/ssl/renewal.html?
# CA 정책을 볼 수 있는 주소입니다.
nsCaPolicyUrl  = https://www.sopac.org/ssl/policy.html
# 서명자의 인증서를 받을 수 있는 주소입니다.
issuerAltName = URI:https://www.sopac.org/ssl/sopac.crt
# 최신 인증철회리스트(CRL)을 받을 수 있는 주소입니다.
crlDistributionPoints = URI:https://www.sopac.org/ssl/sopac-ca.crl
[ v3_ca ]
# 일반적으로 CA에서 많이 쓰이는 확장 필드입니다.
# PKIX 권고사항.
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid:always,issuer:always
# 다음은 PKIX 권고사항입니다. 하지만 몇몇 잘못된 소프트웨어에서는
# critical 확장필드 설정으로 인해 프로그램이 오작동할 수 있습니다.
# basicConstraints = critical,CA:true
# 따라서 다음과 같이 설정하길 권합니다.
basicConstraints = CA:true
# 키 사용용도: 이 부분은 일반적으로 CA 인증서에서 쓰이는 부분입니다.
# 하지만 테스트 목적으로 자체 서명 인증서를 생성 시에는 이 부분으로 인해
# 문제가 발생하기 때문에 기본값으로 두길 권합니다.
# keyUsage = cRLSign, keyCertSign
# 아래와 같은 옵션을 추가할 수 있습니다.
# nsCertType = sslCA, emailCA
# subject alt name에 E-mail 주소를 포함하도록 합니다: PKIX 권고사항입니다.
# subjectAltName=email:copy
# 서명자에 대한 세부사항을 복사합니다.
# issuerAltName=issuer:copy
# 확장필드에 직접 16진수 DER값을 입력할 수도 있습니다: 전문가만 쓰십시오!
# 1.2.3.5=RAW:02:03
# 기타 지원하는 확장필드도 같이 쓸 수 있습니다.
# basicConstraints= critical, RAW:30:03:01:01:FF
# 다음은 넷스케이프의 주석 부분에 표시될 내용입니다.
nsComment  = "Certificate issued by https://www.sopac.org/ssl/"
# 아래의 내용은 기본 URL입니다.
# if not supplied
nsBaseUrl  = https://www.sopac.org/ssl/
# 다음은 최신 인증철회리스트(Certificate Revocation List, CRL)을 받을 수 있는
# 링크입니다.
nsCaRevocationUrl = https://www.sopac.org/ssl/sopac-ca.crl
# 다음은 인증서 철회 시에 필요한 링크입니다.
nsRevocationUrl  = https://www.sopac.org/ssl/revocation.html?
# 다음은 인증서 갱신 시에 필요한 링크입니다.
nsRenewalUrl  = https://www.sopac.org/ssl/renewal.html?
# 다음은 CA정책에 대해 나와있는 링크입니다.
nsCaPolicyUrl  = https://www.sopac.org/ssl/policy.html
# 다음은 서명자의 인증서를 받을 수 있는 링크입니다.
issuerAltName = URI:https://www.sopac.org/ssl/sopac.crt
# 다음은 최신 인증철회리스트(CRL)를 받을 수 있는 링크입니다.
crlDistributionPoints = URI:https://www.sopac.org/ssl/sopac-ca.crl
[ crl_ext ]
# CRL 확장 필드입니다.
# CRL에서는 issuerAltName 과 authorityKeyIdentifier 부분만 쓰입니다.
# issuerAltName=issuer:copy
authorityKeyIdentifier=keyid:always,issuer:always
#----끝----

CA.pl -newca
 

CA.pl -newreq
(openssl req -config /etc/openssl.cnf -new -keyout newreq.pem -out newreq.pem \
-days 365) 

CA.pl -sign
(openssl ca -config /etc/openssl.cnf -policy policy_anything -out newcert.pem \
-infiles newreq.pem) 

openssl -revoke newcert.pem

openssl ca -gencrl -config /etc/openssl.cnf -out crl/sopac-ca.crl

openssl ca -gencrl -config /etc/openssl.cnf -crldays 7 -crlexts crl_ext \
-out crl/sopac-ca.crl

openssl ca -config /etc/openssl.cnf -policy policy_anything -out newcert.pem \
-infiles newreq.pem -startdate [now] -enddate [previous enddate+365days]

openssl x509 -in newcert.pem -noout -text
   

openssl rsa -in newreq.pem -out wwwkeyunsecure.pem

----
# 서버 인증서:
# SSLCertificateFile 옵션은 PEM 인코딩된 인증서의 위치를 가리킵니다.
# 만약 인증서가 암호화되어 있다면, 서버를 시작할 때 암호문을 물어볼 것입니다.
# kill -HUP 명령으로도 암호문을 묻는 프롬프트가 뜰 것입니다.
# 빌드 시에 'make certificate'를 입력하면 테스트용 인증서가 생성됩니다.
#SSLCertificateFile conf/ssl/ca.crt
SSLCertificateFile wwwcert.crt
# 서버 개인키:
# 만약 개인키가 인증서와 분리되어있다면 이 옵션을 이용하십시오.
#SSLCertificateKeyFile conf/ssl/ca.key.unsecure
SSLCertificateKeyFile wwwkeyunsecure.pem
----

CA.pl -sign

openssl x509 -in newcert.pem -out newcertx509.pem

openssl smime -sign -in test.txt -text -out test.msg -signer newcert.pem -inkey newreq.pem

CA.pl -pkcs12 "Franck Martin"
(openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -out newcert.p12 \
-name "Franck Martin")

openssl pkcs12 -export -in newcert.pem -inkey newreq.pem -certfile cacert.pem \
-out newcert.p12 -name "Franck Martin"

openssl smime -verify -inform der -in filename.sgn -CAfile cacert.crt

openssl smime -sign -outform der -nodetach -out filename.sgn \
-signer certificate.pem -in filename.txt

openssl asn1parse -inform der -in filename.sgn

CA.pl -newreq
CA.pl -sign
CA.pl -pkcs12 "ACME Software Cert"

signcode -cn "ACME Software cert" -tr 5 -tw 2 -n "My Application" \
-i http://www.acme.com/myapp/ \
-t http://timestamp.verisign.com/scripts/timstamp.dll myapp.exe