Skip to main content
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Vérifiez la signature du code du médiateur ONTAP

Contributeurs netapp-sarajane netapp-thomi netapp-ranuk netapp-dbagwell
PDF

NetApp recommande de vérifier la signature du code ONTAP Mediator avant l'installation. Cette étape est facultative.

Avant de commencer

Assurez-vous que votre système répond à ces exigences avant de vérifier la signature du code du médiateur ONTAP .

Remarque

  • À partir du 15 juin 2025, vous ne pourrez plus installer ni mettre à niveau ONTAP Mediator 1.9 et 1.8, car les certificats de vérification de signature de code ont expiré. Installez plutôt ou mettez à niveau ONTAP Mediator vers la version 1.11 ou 1.10.

  • Si le système ne répond pas aux exigences ci-dessous, le processus de vérification n'est pas requis et vous pouvez aller directement à "Installez le package d'installation du Mediator ONTAP".

  • openssl versions 1.0.2 à 3.0 pour la vérification de base

  • openssl version 1.1.0 ou ultérieure pour les opérations TSA (Time Stamping Authority)

  • Accès public Internet pour vérification OCSP

Le package de téléchargement comprend les fichiers suivants :

Fichier

Description

ONTAP-Mediator-production.pub

Clé publique utilisée pour vérifier la signature

csc-prod-chain-ONTAP-Mediator.pem

La chaîne de confiance de l'autorité de certification publique

csc-prod-ONTAP-Mediator.pem

Certificat utilisé pour générer la clé

ontap-mediator-1.11.0

Le fichier exécutable d'installation du produit pour la version 1.11

ontap-mediator-1.11.0.sig

Le SHA-256 a été écrasé, puis signé par RSA à l'aide de la clé csc-prod, signature de l'installateur

ontap-mediator-1.11.0.sig.tsr

La demande de révocation que OCSCP doit utiliser pour la signature de l’installateur

ontap-mediator-1.11.0.tsr

Fichier de requête de signature d'horodatage

tsa-prod-ONTAP-Mediator.pem

Le certificat public pour le TSR

tsa-prod-chain-ONTAP-Mediator.pem

La chaîne CA du certificat public pour le TSR
Étapes

  1. Effectuez la vérification de révocation sur csc-prod-ONTAP-Mediator.pem Via le protocole OCSP (Online Certificate Status Protocol).

    1. Trouvez l'URL OCSP du certificat. Les certificats de développeur peuvent ne pas fournir d'URI :

      openssl x509 -noout -ocsp_uri -in csc-prod-chain-ONTAP-Mediator.pem

    2. Générez une demande OCSP pour le certificat.

      openssl ocsp -issuer csc-prod-chain-ONTAP-Mediator.pem -CAfile csc-prod-chain-ONTAP-Mediator.pem -cert csc-prod-ONTAP-Mediator.pem  -reqout req.der

    3. Connectez-vous au OCSP Manager pour envoyer la demande OCSP :

      openssl ocsp -issuer csc-prod-chain-ONTAP-Mediator.pem -CAfile csc-prod-chain-ONTAP-Mediator.pem -cert csc-prod-ONTAP-Mediator.pem  -url ${ocsp_uri} -resp_text -respout resp.der -verify_other csc-prod-chain-ONTAP-Mediator.pem

  2. Vérifiez la chaîne de confiance du CSC et sa date d'expiration par rapport à l'hôte local :

    openssl verify

    Remarque Le openssl La version du CHEMIN d'ACCÈS doit être valide cert.pem (pas auto-signé). 
    openssl verify -untrusted csc-prod-chain-ONTAP-Mediator.pem -CApath ${OPENSSLDIR} csc-prod-ONTAP-Mediator.pem  # Failure action: The Code-Signature-Check certificate has expired or is invalid. Download a newer version of the ONTAP Mediator.
openssl verify -untrusted tsa-prod-chain-ONTAP-Mediator.pem -CApath ${OPENSSLDIR} tsa-prod-ONTAP-Mediator.pem  # Failure action: The Time-Stamp certificate has expired or is invalid. Download a newer version of the ONTAP Mediator.

  3. Vérifiez le ontap-mediator-1.11.0.sig.tsr et ontap-mediator-1.11.0.tsr fichiers utilisant les certificats associés :

    OpenSSL 3.x

    openssl ts -verify -data ontap-mediator-1.11.0.sig -in ontap-mediator-1.11.0.sig.tsr -CAfile tsa-prod-chain-ONTAP-Mediator.pem -untrusted tsa-prod-ONTAP-Mediator.pem

    OpenSSL 1.x

    openssl ts -verify -data ontap-mediator-1.11.0 -in ontap-mediator-1.11.0.tsr -CAfile tsa-prod-chain-ONTAP-Mediator.pem -partial_chain

    Remarque `.tsr`Les fichiers contiennent l'horodatage de la réponse associé au programme d'installation et la signature du code. Le traitement confirme que l'horodatage comporte une signature valide de la TSA et que votre fichier d'entrée n'a pas été modifié. Votre machine effectue la vérification localement. Vous n'avez pas besoin d'accéder aux serveurs de la TSA.

  4. Vérifiez les signatures par rapport à la clé :

    openssl -dgst -verify

    openssl dgst -sha256 -verify ONTAP-Mediator-production.pub -signature ontap-mediator-1.11.0.sig ontap-mediator-1.11.0