Mục tiêu của tôi
Tôi đang cố gắng đưa tiền tố /46 IPv6 của riêng mình lên Amazon AWS theo tài liệu này: https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-byoip.html#prepare-for-byoip
Những gì tôi cần một cách ngắn gọn:
ký "1|aws|123456789012|abcd:efab:cde::/46|20230101|SHA256|RSAPSS" theo cách bằng khóa cá nhân của tôi để Amazon có thể xác minh chữ ký bằng chứng chỉ của tôi.
Những gì tôi đã làm cho đến nay
Vì vậy, tôi đã làm theo hướng dẫn, đặt một bản ghi ROA cho phép các ASN của Amazon thông báo tiền tố /46 (của /44 IPv6 PA được gán cho ASN của tôi). Ngoài ra, tôi đã thêm chứng chỉ vào phần tử descr của đối tượng inet6num của mình. Amazon dường như cũng tải nó.
Chứng chỉ được tạo như sau:
$ openssl genpkey -aes256 -thuật toán RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
$ openssl rsa -in private-key.pem -pubout > public-key.pem
$ openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem
Khi tôi vào
$ aws ec2 description-byoip-cidrs --max-results 5 --region eu-central-1
Kết quả trông như thế này:
{
"ByoipCidr": {
"Cidr": "abcd:efab:cde::/46",
"StatusMessage": "Chữ ký CidrAuthorizationContext không thể b
e đã xác minh bằng chứng chỉ X509 trong bản ghi RIR.",
"Trạng thái": "cung cấp thất bại"
}
}
Vì vậy, tôi đã thử điều này:
$ echo "1|aws|123456789012|abcd:efab:cde::/46|20230101|SHA256|RSAPSS" > file.txt
$ cat file.txt | openssl dgst -sha256 -sign private-key.pem -keyform PEM > rsasign.txt
$ openssl sha256 -xác minh chứng chỉ.pem -chữ ký rsasign.txt tệp.txt
không thể tải tập tin chính
Chữ ký chỉ được xác minh khi tôi nhập:
$ openssl sha256 -xác minh public-key.pem -signature rsasign.txt file.txt
Đã xác minh là được
Tôi tin rằng đó là lý do của thông báo "Chữ ký CidrAuthorizationContext không thể b
e đã xác minh bằng chứng chỉ X509 trong bản ghi RIR". Rốt cuộc, Amazon cần có khả năng xác minh chữ ký chỉ bằng chứng chỉ.
Câu hỏi: Làm cách nào để ký văn bản bằng khóa riêng của tôi theo cách chữ ký sẽ được xác minh bằng chứng chỉ (không phải khóa chung)? Có ai có lời khuyên cụ thể nào với BYOIP không?
