PEM 파일을 분할하는 방법

참고 : 이것은 이미 답을 찾았 기 때문에 실제로는 질문이 아니지만 여기서 쉽게 찾을 수 없으므로 다른 사람들에게 도움이 될 수 있도록 게시 할 것입니다.

질문 : 연결된 PEM 파일을 apache / mod_ssl 지시문 SSLCACertificateFile에서 사용하는 것으로 읽는 방법은 무엇입니까?

답변 (원본) ( 출처 ) :

cat $file|awk 'split_after==1{n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1} {print > "cert" n ".pem"}'

와 같이 끝에 빈 줄이 있으면 빈 파일을 남길 수 있습니다 openssl pkcs7 -outform PEM -in my-chain-file -print_certs. 이를 방지하려면 인쇄하기 전에 줄 길이를 확인하십시오.

cat $file|awk 'split_after==1{n++;split_after=0}
   /-----END CERTIFICATE-----/ {split_after=1}
   {if(length($0) > 0) print > "cert" n ".pem"}' 

답변 29/03/2016 :

@ slugchewer 답변에 따르면 다음 csplit과 같은 명확한 옵션이 있습니다.

csplit -f cert- $file '/-----BEGIN CERTIFICATE-----/' '{*}'

awk 스 니펫은 다른 부분을 추출하는 데 사용되지만 여전히 키 / 인증서 / 체인 섹션을 알아야합니다. 특정 섹션을 추출해야했고 OpenSSL 메일 링리스트에서이를 발견했습니다. http://openssl.6102.n7.nabble.com/Convert-pem-to-crt-and-key-files-tp47681p47697.html

# Extract key
openssl pkey -in foo.pem -out foo-key.pem

# Extract all the certs
openssl crl2pkcs7 -nocrl -certfile foo.pem |
  openssl pkcs7 -print_certs -out foo-certs.pem

# Extract the textually first cert as DER
openssl x509 -in foo.pem -outform DER -out first-cert.der

이것은 이전에 StackOverflow에서 답변되었습니다 .

awk '
  split_after == 1 {n++;split_after=0}
  /-----END CERTIFICATE-----/ {split_after=1}
  {print > "cert" n ".pem"}' < $file

29/03/2016 수정 : @slugchewer answer 참조

이 split명령은 대부분의 시스템에서 사용 가능하며 호출이 기억하기 쉬울 것입니다.

파일 collection.pem로 분할하려는 파일 이 있으면 다음을 individual-*사용하십시오.

split -p "-----BEGIN CERTIFICATE-----" collection.pem individual-

이 없으면 다음을 split시도해보십시오 csplit.

csplit -f individual- collection.pem '/-----BEGIN CERTIFICATE-----/' '{*}'

다중 인증서 PEM 번들에서 단일 인증서를 받으려면 다음을 시도하십시오.

$ openssl crl2pkcs7 -nocrl -certfile INPUT.PEM | \
    openssl pkcs7 -print_certs | \
    awk '/subject.*CN=host.domain.com/,/END CERTIFICATE/'

• 처음 두 openssl명령은 PEM 파일을 처리하여 각 인증서 앞에 미리 추가 된 줄 "subject:"과 "issuer:"줄로 다시 뱉습니다 . PEM이 이미 이런 식으로 포맷 된 경우 최종 awk명령 만 있으면 됩니다.
• awk 명령은 CN (일반 이름) 문자열과 일치하는 개별 PEM을 분리합니다.

source1 , source2

또한 PEM 파일 은 BEGIN/ END블록 내부의 키 / 인증서 모음 일 뿐이 므로 하나 또는 두 개의 흥미로운 엔티티가있는 단일 파일 인 경우 잘라 내기 / 붙여 넣기가 쉽습니다 ...

인증서와 인증 기관 체인을 연결하는 전체 체인 인증서 (즉, letencrypt / certbot 등에서 생성 된 인증서)를 처리하는 경우 bash 문자열 조작을 사용할 수 있습니다.

예를 들면 다음과 같습니다.

# content of /path/to/fullchain.pem
-----BEGIN CERTIFICATE-----
some long base64 string containing
the certificate
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
another base64 string
containing the first certificate
in the authority chain
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
another base64 string
containing the second certificate
in the authority chain
(there might be more...)
-----END CERTIFICATE-----

인증 및 인증 기관 체인을 변수로 추출하려면 다음을 수행하십시오.

# load the certificate into a variable
FULLCHAIN=$(</path/to/fullchain.pem)
CERTIFICATE="${FULLCHAIN%%-----END CERTIFICATE-----*}-----END CERTIFICATE-----"
CHAIN=$(echo -e "${FULLCHAIN#*-----END CERTIFICATE-----}" | sed '/./,$!d')

설명:

awk 또는 openssl (강력한 도구이지만 항상 사용 가능한 것은 아님) (예 : Docker Alpine 이미지) 대신 bash 문자열 조작을 사용할 수 있습니다.

"${FULLCHAIN%%-----END CERTIFICATE-----*}-----END CERTIFICATE-----": FULLCHAIN의 내용 끝에서 가장 긴 부분 문자열 일치를 반환 한 다음 -----END CERTIFICATE-----제거 되면 연결 됩니다. 는 *이후의 모든 문자와 일치합니다 -----END CERTIFICATE-----.

$(echo -e "${FULLCHAIN#*-----END CERTIFICATE-----}" | sed '/./,$!d'): FULLCHAIN의 내용 시작 부분에서 가장 짧은 부분 문자열 일치를 반환 한 다음 선행하는 새 줄을 제거합니다. 마찬가지로, *이전의 모든 문자와 일치합니다 -----END CERTIFICATE-----.

빠른 참조를 위해 (bash 에서 문자열 조작에 대한 자세한 내용은 here ) :

${VAR#substring}= VAR 내용의 시작 부분에서 가장 짧은 부분 문자열

${VAR%substring}= VAR 내용의 끝에서 가장 짧은 부분 문자열

${VAR##substring}= VAR 내용의 시작 부분에서 가장 긴 부분 문자열

${VAR%%substring}= VAR 내용의 끝에서 가장 긴 부분 문자열

흠 ...이 상황이 많은 사람들이 가지고 있다는 것을 깨닫지 않고 솔루션을 준비한 것과 거의 같은 방법입니다 (@ @Cerber 제안). 내 솔루션은 거의 동일한 논리를 따르지만 더 기본적인 명령을 사용합니다.

내 모든 인증서는 파일에 있습니다. certin.pem

c=0
while read line
  do
    if echo $line | grep END; then
    echo $line >> certout$c.pem
    c=`expr $c + 1`
    else
     echo $line
     echo $line >> certout$c.pem
    fi
done < /tmp/certin.pem

이것은 기본적으로 "END"가 나타날 때까지 파일에 기록한 다음 증가 된 방식으로 다른 파일에 기록을 시작합니다. 이 방법으로 입력 pem 파일 ( certin.pem ) 에 몇 개의 인증서가 있는지에 따라 "N"개의 출력 파일 ( certout0.pem, certout1.pem 등) 파일을 갖게 됩니다.