OpenVPN aktualisiert vorhandene Zertifikate von MD5

Question

Mir ist aufgefallen, dass ich beim Verbinden mit OpenVPN von meinem Telefon aus eine Nachricht erhalte, dass die Unterstützung für MD5 im April 2018 eingestellt wird.

Kann mir bitte jemand sagen, wie ich meine vorhandenen Zertifikate aktualisiere (oder neue erstelle), sodass:

1. Beheben Sie dieses Problem
2. Erlaube mir, von meinem Telefon aus eine Verbindung herzustellen

Answer 1

Was ich getan habe:

1. Upgrade durchführeneinfach-rsa, um sicherzustellen, dass ich die Datei richtig verwende .cnf:

   cd /path/to/myEasyRsaDir
   grep md openssl.cnf
   

   Das Ergebnis muss ungefähr so ​​aussehen:

   default_md      = sha256                # use public key default MD
   

2. Benennen Sie Ihr altes keysVerzeichnis um und erstellen Sie dann ein neues:

   my keys oldkeys
   mkdir keys
   . vars
   mv -i oldkeys/*.key keys/
   

3. Aktualisieren und Erstellen eines neuen Stamm-CA-Zertifikats:

   openssl x509 -in oldkeys/ca.crt -out keys/ca.crt -signkey keys/ca.key
   

4. Serverzertifikat aktualisieren:

   Zwei Schritte: Erstellen einer Zertifikatsignieranforderung (Clientseite):

   openssl x509 -x509toreq -in oldkeys/server.crt -signkey keys/server.key \
       -extensions server -out keys/server.csr
   

   und Signaturzertifikat mit CA-Schlüssel:

   openssl ca -batch -out keys/server.pem  -in keys/server.csr \
      -extensions server -config $KEY_CONFIG -keyfile keys/ca.key
   

   dann könnten Sie .csrdie Datei ablegen

   rm keys/server.csr
   

5. Anschließend können Sie alle Clients auf die gleiche Weise aktualisieren wie den Server:

   Zwei Schritte, der erste kann vom Client selbst durchgeführt werden:

   openssl x509 -x509toreq -in oldkeys/server.crt -signkey keys/server.key \
       -out keys/server.csr
   

   und aus der .csrDatei: Signaturzertifikat mit CA-Schlüssel:

   openssl ca -batch -out keys/server.pem  -in keys/server.csr \
      -config $KEY_CONFIG -keyfile keys/ca.key
   
   rm keys/server.csr