apache - SSL ピニング メカニズムの更新中にキーを変更しない方法

Question

LetsEncrypt を Ubuntu 16.04 Apache サーバーにインストールしました。それは、letsencrypt/live ディレクトリの下に 4 つの .pem ファイルを生成しました。公開および証明書のピン留めメカニズムを使用して、それらを iOS アプリ バンドルにダンプしています。更新時にアプリを更新しないようにするには、 --csr フラグを使用して更新する必要があることを読みましたが、これについてはあまり役に立ちませんでした。私が望む方法でletsencrpytを更新できますか、それとも他のクライアントを使用する必要がありますか? Letsncrypt で証明書を作成しているときに、pem ファイルのみが生成され、csr ファイルは生成されなかったと確信しているため、すべての証明書を再生成する必要がありますか。ありがとう。

Answer 1

LE によって生成された csr は、/etc/letsencrypt/csr にあります。最新の csr ファイルを選択し (通常、整数が最も大きいファイルが最新です。例: 0005_csr-letsencrypt.pem は最新で 0004 になります)、上記のコマンドで証明書を更新しました。

letsencrypt certonly —csr /etc/letsencrypt/csr/0005_csr-letsencrypt.pem

これにより、同じディレクトリで呼び出される 3 つのファイルが生成されます。

000x_chain.pem - has same PubKey but new expiry (what we need)
000x_chain.pem - has some CA information 
000x_cert.pem - the cert which will match the PubKey of the cert

アプリ バンドルに 000x_cert.pem を使用しました。そのため、アプリで 000x_cert.pem を置き換えなくても、証明書を更新するたびにサーバーにヒットする可能性があります。公開鍵が同じであるため、機能します。ありがとう。