Что такое хороший центр сертификации сертификатов X.509 в Linux

Question

Я использовал OpenSSL в качестве центра сертификации X.509. Поскольку для создания сертификатов потребуется несколько компьютеров, я экспортировал папку центра сертификации в распределенную файловую систему.

Когда я стресс-тестирую свой ЦС, делая сотни одновременных запросов на подпись сертификатов, я иногда вижу странные ошибки, такие как

unable to rename ./index.txt.attr.new to ./index.txt.attr
reason: No such file or directory

Я не уверен, является ли это ошибкой OpenSSL или проблемой с моей распределенной файловой системой, но использование текстовых файлов для хранения всех данных сертификата, как правило, плохо подходит для одновременного доступа, поэтому я предпочел бы перейти на более надежную архитектуру, чем отлаживать эту конкретный вопрос.

В идеале я хотел бы, чтобы центр сертификации сохранял свое состояние в надлежащей базе данных, а не в текстовых файлах. Не похоже, что OpenSSL может это сделать. Документация для параметра базы данных на http://www.openssl.org/docs/apps/ca.html#CONFIGURATION_FILE_OPTIONS гласит:

the text database file to use. Mandatory. This file must be present though initially it will be empty.

Может ли кто-нибудь порекомендовать хороший центр сертификации X.509 с открытым исходным кодом для Linux?

Answer 1

Я бы порекомендовал OpenCA PKI. Некоторое время назад я хорошо осмотрелся для такого рода вещей, и это единственное, что отвечает всем требованиям. Я не был строг, но программное обеспечение кажется хорошим; однако документации крайне не хватает. Этот файл PDF должен помочь вам начать работу. У них также есть ответчик OCSP, который вы можете использовать (который я еще не пробовал).

Я тестировал это программное обеспечение некоторое время назад, но еще не запустил его в производство. Вы можете запустить PostgreSQL или MySQL, и я думаю, что я использовал бы его с MySQL (мои предпочтения), но не могу вспомнить. Я перестал его использовать, потому что отвлекся на другие проекты, а не потому, что программное обеспечение не работало.

Я помню, что был очень впечатлен OpenCA. (Для записи, я совсем не связан с проектом.)