Directive¶

Două directive pot fi utilizate pentru a controla analizarea fișierelor de configurare: .include și .pragma.

Pentru compatibilitate cu versiunile mai vechi ale OpenSSL, un semn egal după directivă va fi ignorat. Versiunile mai vechi îl vor trata ca pe o atribuire, deci trebuie să aveți grijă dacă diferența de semantică este importantă.

Un fișier poate include alte fișiere folosind sintaxa include:

 .include [=] nume-rută

Dacă nume-rută este un simplu nume de fișier, fișierul respectiv este inclus direct în acel punct. Fișierele incluse pot avea instrucțiuni .include care specifică alte fișiere. Dacă nume-rută este un director, toate fișierele din directorul respectiv care au extensia „.cnf” sau „.conf” vor fi incluse; (acest lucru este disponibil numai pe sistemele cu suport POSIX IO). Orice subdirectoare găsite în interiorul nume-rută sunt ignorate. În mod similar, dacă un fișier este deschis în timp ce se scanează un director, iar fișierul respectiv are o directivă .include care specifică un director, aceasta este de asemenea ignorată.

Ca regulă generală, nume-rută trebuie să fie o rută absolută; acest lucru poate fi impus cu pragmele abspath și includedir, descrise mai jos. Variabila de mediu OPENSSL_CONF_INCLUDE, dacă există, este antepusă la toate numele de rută relative. Dacă numele de rută este încă relativ, acesta este interpretat pe baza directorului de lucru curent.

Pentru a solicita ca toate includerile de fișiere să numească rute absolute, utilizați următoarea directivă:

 .pragma [=] abspath:valoare

Comportamentul implicit, în care valoare este false sau off, este de a permite rute relative. Pentru a solicita ca toate numele de rută .include să fie rute absolute, utilizați o valoare valoare de true sau on.

În aceste fișiere, semnul dolarului, $, este utilizat pentru a face trimitere la o variabilă, așa cum este descris mai jos. Cu toate acestea, pe unele platforme, este obișnuit să se trateze $ ca un caracter obișnuit în numele simbolurilor. Suportul pentru acest comportament poate fi realizat cu următoarea directivă:

 .pragma [=] dollarid:valoare

Comportamentul implicit, în cazul în care valoare este false sau off, este de a trata semnul de dolar ca indicând un nume de variabilă; „foo$bar” este interpretat ca „foo” urmat de expansiunea variabilei „bar”. Dacă valoare este true sau on, atunci „foo$bar” este un nume unic de șapte caractere, iar expansiunile variabilelor trebuie specificate folosind acolade sau paranteze.

 .pragma [=] includedir:valoare

Dacă un nume de rută relativ este specificat în directiva .include, iar variabila de mediu OPENSSL_CONF_INCLUDE nu există, atunci valoarea pragmei includedir, dacă există, este anexată la numele de rută.

Configurări¶

Un fișier de configurare este împărțit într-un număr de secțiuni. O secțiune începe cu numele secțiunii între paranteze drepte și se termină când începe o nouă secțiune sau la sfârșitul fișierului. Numele secțiunii poate fi format din caractere alfanumerice și liniuțe de subliniere. Spațiul alb dintre nume și paranteze este eliminat.

Prima secțiune a unui fișier de configurare este specială și este denumită secțiunea implicită - „default”. Această secțiune este de obicei fără nume și se întinde de la începutul fișierului până la prima secțiune cu nume. Atunci când se caută un nume, acesta este căutat mai întâi în secțiunea curentă sau numită și apoi în secțiunea implicită, dacă este necesar.

Mediul este asociat unei secțiuni numite ENV.

Într-o secțiune se află o serie de atribuiri de nume/valori, descrise mai detaliat mai jos. Reamintim că parantezele drepte afișate în acest exemplu sunt obligatorii, nu opționale:

 [ secțiune ]
 nume1 = Aceasta este valoarea1
 nume2 = O altă valoare
 ...
 [ secțiune-nouă ]
 nume1 = Noua valoare1
 nume3 = Valoarea 3

nume poate conține orice caractere alfanumerice, precum și câteva semne de punctuație, cum ar fi . , ; și _. Spațiul alb după nume și înainte de semnul egal este ignorat.

În cazul în care un nume se repetă în aceeași secțiune, toate valorile, cu excepția ultimei, sunt ignorate. În anumite circumstanțe, cum ar fi în cazul DN-urilor certificatelor, același câmp poate apărea de mai multe ori. Pentru a permite acest lucru, comenzi precum openssl-req(1) ignoră orice text de început care este precedat de un punct. De exemplu:

 1.OU = Primul OU
 2.OU = Al doilea OU

valoare constă din șirul care urmează caracterului = până la sfârșitul liniei, cu eliminarea spațiilor albe de la începutul și sfârșitul acestuia.

Șirul de valori este supus expansiunii variabilei. Textul $var sau "${var}" inserează valoarea variabilei numite din secțiunea curentă. Pentru a utiliza o valoare din altă secțiune, utilizați $section::nume sau "${section::nume}". Prin utilizarea $ENV::nume, valoarea variabilei de mediu specificate va fi înlocuită.

Variabilele trebuie să fie definite înainte de a se face referire la valoarea lor, altfel se semnalează o eroare și fișierul nu se va încărca. Acest lucru poate fi rezolvat prin specificarea unei valori implicite în secțiunea default (implicită) înainte ca variabila să fie utilizată.

Orice definiții de nume/valoare dintr-o secțiune ENV sunt disponibile pentru fișierul de configurare, dar nu sunt propagate în mediu.

Este o eroare dacă valoarea depășește 64k.

Este posibilă eludarea anumitor caractere prin utilizarea unei singure ghilimele ' sau a unei ghilimele duble " în jurul valorii sau prin utilizarea unei bare inverse \ înaintea caracterului, Prin transformarea ultimului caracter al unei linii într-un \, un șir valoare poate fi întins pe mai multe linii. În plus, sunt recunoscute secvențele \n, \r, \b și \t.

Regulile de extindere și de eludare descrise mai sus, care se aplică la valoare, se aplică și la numele rutei directivei .include.

Configurarea identificatorului de obiect ASN.1¶

Numele oid_section din secțiunea de inițializare numește secțiunea care conține perechi nume/valoare de OID-uri. Numele este numele scurt; valoarea este un nume lung opțional urmat de o virgulă și de valoarea numerică. În timp ce unele comenzi OpenSSL au propria secțiune pentru specificarea OID-urilor, această secțiune le face disponibile pentru toate comenzile și aplicațiile.

 [oids]
 shortName = un nume OID foarte lung, 1.2.3.4
 oid1-nou = 1.2.3.4.1
 un_alt_oid = 1.2.3.5

Dacă o configurație completă cu fragmentul de mai sus se află în fișierul exemplu.cnf, atunci următoarea linie de comandă:

 OPENSSL_CONF=exemplu.cnf openssl asn1parse -genstr OID:1.2.3.4.1

va genera:

 0:d=0 hl=2 l= 4 prim: OBJECT :oid1-nou

arătând că OID-ul „oid1-nou” a fost adăugat ca „1.2.3.4.1”.

Configurarea furnizorului¶

Numele providers din secțiunea de inițializare numește secțiunea care conține configurația furnizorului criptografic. Atribuirile nume/valoare din această secțiune denumesc fiecare un furnizor și indică secțiunea de configurare pentru furnizorul respectiv. Secțiunea specifică furnizorului este utilizată pentru a specifica modul de încărcare a modulului, activarea acestuia și definirea altor parametri.

În cadrul unei secțiuni de furnizori (providers), următoarele denumiri au semnificația următoare:

identity

Aceasta este utilizată pentru a specifica un nume alternativ, care înlocuiește numele implicit specificat în lista furnizorilor. De exemplu:

 [providers]
 foo = furnizor-foo
 [furnizor-foo]
 identity = modulul-meu-fips
    

module

Specifică ruta către modulul (de obicei o bibliotecă partajată) care trebuie încărcat.

activate

Dacă este prezentă și definită la una dintre valorile yes, on, true sau 1, atunci furnizorul asociat va fi activat. Dimpotrivă, definirea acestei valori la no, off, false sau 0 va împiedica activarea furnizorului. Definițiile pot fi date cu majuscule sau minuscule. Definirea activării la orice altă valoare sau omiterea unei valori de configurare va duce la o eroare.

= element soft_load

Dacă este activată, informează biblioteca să șteargă stiva de erori în cazul neactivării furnizorului solicitat. O valoare de 1, yes, true sau on (în minuscule sau majuscule) va activa această opțiune, în timp ce o valoare de 0, no, false sau off (tot în minuscule sau majuscule) va dezactiva această opțiune. Orice altă valoare va produce o eroare. Rețineți că această opțiune are valoarea implicită off dacă nu este furnizată

Toți parametrii din secțiune, precum și din subsecțiuni sunt puse la dispoziția furnizorului.

Furnizorul implicit și activarea acestuia

Dacă nu este activat în mod explicit niciun furnizor, cel implicit este activat în mod implicit. Consultați OSSL_PROVIDER-default(7) pentru mai multe detalii.

Dacă adăugați o secțiune care activează în mod explicit orice alt furnizor (furnizori), cel mai probabil trebuie să activați în mod explicit furnizorul implicit, altfel acesta devine indisponibil în openssl. Aceasta poate face ca sistemul să nu fie disponibil de la distanță.

Configurarea EVP¶

Numele alg_section din secțiunea de inițializare denumește secțiunea care conține proprietățile algoritmice atunci când se utilizează API-ul EVP.

În secțiunea proprietăți ale algoritmului, următoarele denumiri au semnificația următoare:

default_properties

Valoarea poate fi orice este acceptabil ca șir de interogare a proprietății pentru EVP_set_default_properties().

fips_mode (depreciat)

Valoarea este un boolean care poate fi yes sau no. Dacă valoarea este yes, aceasta este echivalentă cu:

 default_properties = fips=yes
    

Dacă valoarea este no, nu se întâmplă nimic. Utilizarea acestui nume este depreciată și, dacă este utilizat, trebuie să fie singurul nume din secțiune.

Configurarea SSL¶

Numele ssl_conf din secțiunea de inițializare denumește secțiunea care conține lista configurațiilor SSL/TLS. La fel ca în cazul furnizorilor, fiecare nume din această secțiune identifică o secțiune cu configurația pentru numele respectiv. De exemplu:

 [ssl_configuration]
 server = server_tls_config
 client = client_tls_config
 system_default = tls_system_default
 [server_tls_config]
 ... configurarea pentru servere SSL/TLS ...


 
 [client_tls_config]
 ... configurarea pentru clienți SSL/TLS ...

Numele configurației system_default are o semnificație specială. Dacă există, acesta se aplică ori de câte ori se creează un obiect SSL_CTX. De exemplu, pentru a impune versiuni minime ale protocoalelor TLS și DTLS la nivel de sistem:

 [tls_system_default]
 MinProtocol = TLSv1.2
 MinProtocol = DTLSv1.2

Versiunea minimă a protocolului TLS se aplică obiectelor SSL_CTX care sunt bazate pe TLS, iar versiunea minimă a protocolului DTLS obiectelor care sunt bazate pe DTLS. Același lucru este valabil și pentru versiunile maxime stabilite cu MaxProtocol.

Fiecare secțiune de configurare constă în perechi nume/valoare care sunt analizate de SSL_CONF_cmd(3), care va fi apelat de SSL_CTX_config() sau SSL_config(), după caz. Rețineți că orice caractere înainte de un punct inițial în secțiunea de configurare sunt ignorate, astfel încât aceeași comandă poate fi utilizată de mai multe ori. Acest lucru este probabil cel mai util pentru încărcarea diferitelor tipuri de chei, după cum se arată aici:

 [server_tls_config]
 RSA.Certificate = server-rsa.pem
 ECDSA.Certificate = server-ecdsa.pem

Configurarea motorului¶

Numele engines din secțiunea de inițializare numește secțiunea care conține lista de configurații de MOTOR. Ca și în cazul furnizorilor, fiecare nume din această secțiune identifică un motor cu configurația pentru motorul respectiv. Secțiunea specifică motorului este utilizată pentru a specifica modul de încărcare a motorului, activarea acestuia și definirea altor parametri.

În cadrul unei secțiuni a motorului, următoarele denumiri au semnificația următoare:

engine_id

Acesta este utilizat pentru a specifica un nume alternativ, care înlocuiește numele implicit specificat în lista de motoare. Dacă este prezent, trebuie să fie primul. De exemplu:

 [engines]
 foo = motor-foo
 [foo_engine]
 engine_id = al_meu-foo
    

dynamic_path

Aceasta încarcă și adaugă un MOTOR din ruta dată. Este echivalent cu trimiterea ctrl-urilor SO_PATH cu argumentul de rută urmat de LIST_ADD cu valoarea 2 și LOAD către MOTORUL dinamic. Dacă acesta nu este comportamentul necesar, atunci se pot trimite ctrl-uri alternative direct către MOTORUL dinamic folosind comenzile ctrl.

init

Specifică dacă se inițializează MOTORUL. Dacă valoarea este 0, MOTORUL nu va fi inițializat, dacă valoarea este 1 se încearcă inițializarea imediată a MOTORULUI. Dacă comanda init nu este prezentă, atunci se va încerca inițializarea MOTORULUI după ce toate comenzile din secțiunea sa au fost procesate.

default_algorithms

Aceasta stabilește algoritmii impliciți pe care un MOTOR îi va furniza utilizând funcția ENGINE_set_default_string().

Toate celelalte nume sunt considerate a fi numele unei comenzi ctrl care este trimisă către MOTOR, iar valoarea este argumentul transmis împreună cu comanda. Valoarea specială EMPTY înseamnă că nicio valoare nu este trimisă împreună cu comanda. De exemplu:

 [engines]
 foo = motor-foo
 [motor-foo]
 dynamic_path = /o/rută/motorfoo.so
 some_ctrl = o_valoare
 default_algorithms = ALL
 other_ctrl = EMPTY

Configurarea generatorului de numere aleatorii¶

Numele random din secțiunea de inițializare denumește secțiunea care conține parametrii generatorului de numere aleatorii.

În secțiunea „random”, următoarele nume au semnificația:

random

Acesta este utilizat pentru a specifica generatorul de biți aleatori. De exemplu:

 [random]
 random = CTR-DRBG
    

Generatoarele de biți aleatorii disponibile sunt:

cipher

Aceasta specifică ce algoritm de criptare va utiliza generatorul de biți aleatori CTR-DRBG. Alte generatoare de biți aleatori ignoră acest nume. Valoarea implicită este AES-256-CTR.

digest

Aceasta specifică ce algoritm de sumă de control vor utiliza generatoarele de biți aleatorii HASH-DRBG sau HMAC-DRBG. Alte generatoare de biți aleatorii ignoră acest nume.

properties

Aceasta definește interogarea proprietății utilizată la preluarea generatorului de biți aleatori și a oricăror algoritmi subiacenți.

seed

Aceasta definește sursa de aleatoriu care ar trebui utilizată. În mod implicit, SEED-SRC va fi utilizată în afara furnizorului FIPS. Furnizorul FIPS utilizează reapelări pentru a accesa aceleași surse de aleatoriu din afara limitei validate.

seed_properties

Aceasta definește interogarea proprietății utilizată la preluarea sursei de biți aleatorii.

random_provider

Aceasta stabilește furnizorul care trebuie utilizat pentru apelurile RAND_bytes(3) în locul surselor de entropie încorporate. Valoarea implicită este „fips”. Dacă furnizorul numit nu este încărcat, vor fi utilizate sursele de entropie încorporate.