Vérifiez la signature du code d'ONTAP Mediator
Suggérer des modifications
PDF
NetApp recommande de vérifier la signature du code de ONTAP Mediator avant l'installation. Cette étape est facultative.
Assurez-vous que votre système répond à ces exigences avant de vérifier la signature du code d’ONTAP Mediator.
|
|
-
versions d'openssl de 1.0.2 à 3.0 pour la vérification de base
-
openssl version 1.1.0 ou ultérieure est requise pour les opérations de l'autorité d'horodatage (TSA)
-
Accès à l’Internet public pour la vérification OCSP
Le package de téléchargement comprend les fichiers suivants :
Fichier |
Description |
|
La clé publique utilisée pour vérifier la signature |
|
La chaîne de confiance de l'autorité de certification publique |
|
Le certificat utilisé pour générer la clé |
|
Le fichier exécutable d'installation du produit pour la version 1.12 |
|
La signature du programme d'installation, hachée en SHA-256 puis signée RSA à l'aide de la clé csc-prod |
|
La demande de révocation à utiliser par OCSCP pour la signature de l’installateur |
|
Le fichier de demande de signature horodatée |
|
Le certificat public pour le TSR |
|
La chaîne de certificats publics CA pour le TSR |
-
Effectuez le contrôle de révocation sur
csc-prod-ONTAP-Mediator.pemen utilisant le protocole OCSP (Online Certificate Status Protocol).-
Trouvez l'URL OCSP du certificat. Les certificats de développeur peuvent ne pas fournir d'URI :
openssl x509 -noout -ocsp_uri -in csc-prod-chain-ONTAP-Mediator.pem -
Générez une requête OCSP pour le certificat.
openssl ocsp -issuer csc-prod-chain-ONTAP-Mediator.pem -CAfile csc-prod-chain-ONTAP-Mediator.pem -cert csc-prod-ONTAP-Mediator.pem -reqout req.der -
Connectez-vous à OCSP Manager pour envoyer la requête OCSP :
openssl ocsp -issuer csc-prod-chain-ONTAP-Mediator.pem -CAfile csc-prod-chain-ONTAP-Mediator.pem -cert csc-prod-ONTAP-Mediator.pem -url ${ocsp_uri} -resp_text -respout resp.der -verify_other csc-prod-chain-ONTAP-Mediator.pem
-
-
Vérifiez la chaîne de confiance du CSC et les dates d'expiration par rapport à l'hôte local :
openssl verify
La opensslversion provenant du PATH doit avoir un certificat validecert.pem(non auto-signé).openssl verify -untrusted csc-prod-chain-ONTAP-Mediator.pem -CApath ${OPENSSLDIR} csc-prod-ONTAP-Mediator.pem openssl verify -untrusted tsa-prod-chain-ONTAP-Mediator.pem -CApath ${OPENSSLDIR} tsa-prod-ONTAP-Mediator.pemLa commande échoue si le certificat de vérification de signature du code ou le certificat d'horodatage est expiré ou invalide. Téléchargez une version plus récente d'ONTAP Mediator.
-
Vérifiez les
ontap-mediator-1.12.1.sig.tsretontap-mediator-1.12.1.tsrfichiers à l'aide des certificats associés :OpenSSL 3.xopenssl ts -verify -data ontap-mediator-1.12.1.sig -in ontap-mediator-1.12.1.sig.tsr -CAfile tsa-prod-chain-ONTAP-Mediator.pem -untrusted tsa-prod-ONTAP-Mediator.pemOpenSSL 1.xopenssl ts -verify -data ontap-mediator-1.12.1 -in ontap-mediator-1.12.1.tsr -CAfile tsa-prod-chain-ONTAP-Mediator.pem -partial_chain
.tsrLes fichiers contiennent la réponse d’horodatage associée au programme d’installation et la signature du code. Le traitement confirme que l’horodatage possède une signature valide de la TSA et que votre fichier d’entrée n’a pas changé. Votre machine effectue la vérification localement. Vous n’avez pas besoin d’accéder aux serveurs de la TSA. -
Vérifiez les signatures par rapport à la clé:
openssl -dgst -verifyopenssl dgst -sha256 -verify ONTAP-Mediator-production.pub -signature ontap-mediator-1.12.1.sig ontap-mediator-1.12.1