OpenSSL证书密钥用法：扩展密钥用法的正确配置

你是否曾因证书配置错误导致HTTPS服务无法启动？或者签发的客户端证书被错误地用于服务器认证？本文将详细讲解OpenSSL中扩展密钥用法（Extended Key Usage, EKU）的配置方法，帮助你避免90%的证书部署问题。读完本文后，你将能够正确配置服务器认证、客户端认证、代码签名等常见密钥用法场景，并通过验证步骤确保配置生效。

什么是扩展密钥用法

扩展密钥用法（EKU）是X.509证书的扩展字段，用于限制证书的用途范围。与基础密钥用法（Key Usage）不同，EKU提供了更细粒度的功能划分。例如，一个证书可以同时用于服务器认证和客户端认证，但不能用于代码签名。

官方文档详细说明了EKU的标准字段：doc/HOWTO/certificates.txt。常见的扩展密钥用法包括：

用法标识	说明	典型应用场景
serverAuth	服务器认证	网站HTTPS服务
clientAuth	客户端认证	邮件客户端证书
codeSigning	代码签名	软件发布签名
timeStamping	时间戳服务	文档时间戳
OCSPSigning	OCSP签名	证书状态查询

配置文件修改步骤

OpenSSL通过配置文件定义证书扩展字段。默认配置文件路径为：apps/openssl.cnf。以下是添加扩展密钥用法的具体步骤：

1. 打开配置文件，定位到证书扩展部分。对于服务器证书，通常是[v3_req]或[usr_cert]段落。

2. 添加扩展密钥用法配置，语法格式为：

   extendedKeyUsage = 用法1,用法2,...
   

   例如，配置同时支持服务器和客户端认证：

   extendedKeyUsage = serverAuth,clientAuth
   

3. 关键配置示例：

   [v3_req]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth,clientAuth  # 添加此行
   subjectAltName = @alt_names
   

测试环境中的配置示例可参考：test/test.cnf，其中包含了多种密钥用法组合的测试配置。

命令行生成证书示例

使用openssl req命令生成证书请求时，需通过-extensions参数指定包含扩展密钥用法的配置段落：

# 生成带扩展密钥用法的自签名证书
openssl req -new -x509 -nodes -days 365 \
  -keyout server.key -out server.crt \
  -subj "/CN=example.com" \
  -extensions v3_req \
  -config apps/openssl.cnf

参数说明：

• -extensions v3_req：指定使用配置文件中的[v3_req]段落
• -config：显式指定配置文件路径
• -x509：直接生成自签名证书（跳过CSR步骤）

证书验证方法

生成证书后，使用以下命令验证扩展密钥用法是否正确配置：

# 查看证书扩展字段
openssl x509 -in server.crt -text -noout | grep -A 5 "X509v3 Extended Key Usage"

正确输出示例：

X509v3 Extended Key Usage: 
    TLS Web Server Authentication, TLS Web Client Authentication

如果需要以编程方式验证，可参考测试代码中的验证逻辑：test/x509_load_cert_file_test.c。

常见问题解决

1. 配置不生效问题

如果扩展密钥用法未出现在生成的证书中，检查：

• 是否在命令中指定了正确的扩展段落（-extensions参数）
• 配置文件中是否启用了扩展字段（req_extensions = v3_req）
• 配置段落名称是否正确（区分大小写）

2. 关键错误案例

错误配置示例：

# 错误：使用了错误的配置段落名称
extendedKeyUsage = serverAuth

正确做法是确保配置段落名称与-extensions参数一致。

3. 兼容性考虑

旧版浏览器可能不支持某些扩展用法组合，建议参考：test/ssl_test_ctx_test.c中的兼容性测试用例。

配置流程总结

完整配置流程如下：

1. 修改openssl.cnf添加扩展密钥用法
2. 生成密钥对和证书请求
3. 使用指定配置段落签名证书
4. 验证扩展字段是否正确应用
5. 部署证书到目标服务

通过遵循这些步骤，你可以确保证书仅用于预期用途，从而提高系统安全性。更多高级配置技巧可参考OpenSSL官方文档和测试用例集。