NGINX authentification du certificat SSL signée par l'AC intermédiaire (chaîne)

Edit: j'ai eu aussi ce "problème", la solution et l'explication se trouve au bas du texte.

il semble que nginx ne supporte pas les certificats intermédiaires. Mes certs auto-créés: (RootCA est auto-signé, IntrermediateCA1 est signé par RootCA,etc.)

RootCA -> IntermediateCA1 -> Client1 
RootCA -> IntermediateCA2 -> Client2

je veux utiliser dans Nginx "IntermediateCA1", pour permettre l'accès au site seulement au propriétaire du certificat" Client1".

quand je mets dans le fichier" ssl_client_certificate" IntermediateCA1 et RootCA, et définir "ssl_verify_depth 2" (ou plus), les clients peuvent se connecter au site à la fois en utilisant le certificat Client1 et Client2 (ne devrait S'appliquer qu'au Client1). Le même résultat est quand je mets le fichier" ssl_client_certificate " avec seulement RootCA - les deux clients peuvent se connecter.

quand je mets dans le fichier" ssl_client_certificate " avec uniquement IntermediateCA1 et réglez la "ssl_verify_depth 1" (ou "2" ou n'importe) , il est imposible de vous connecter, j'obtiens l'erreur 400. Et en mode debug je vois logs:

verify:0, error:20, depth:1, subject:"/C=PL/CN=IntermediateCA1/emailAddress=cert@asdf.com",issuer: "/C=PL/CN=RootCA/emailAddress=cert@asdf.com"
verify:0, error:27, depth:1, subject:"/C=PL/CN=IntermediateCA1/emailAddress=cert@asdf.com",issuer: "/C=PL/CN=RootCA/emailAddress=cert@asdf.com"
verify:1, error:27, depth:0, subject:"/C=PL/CN=Client1/emailAddress=cert@asdf.com",issuer: "/C=PL/CN=IntermediateCA1/emailAddress=cert@asdf.com"
(..)
client SSL certificate verify error: (27:certificate not trusted) while reading client request headers, (..)

je pense que c'est un bug. Testé sur Ubuntu, nginx 1.1.19 et 1.2.7-1~dotdeb.1, openssl 1.0.1. Je vois que nginx 1.3 a peu d'autres options sur l'utilisation des certificats clients, mais je ne vois pas de solution à ce problème.

actuellement, la seule façon de séparer les clients 1 et 2 est de créer deux RootCAs auto-signés, mais ce n'est qu'une solution..

Edit 1: J'ai signalé ce problème ici: http://trac.nginx.org/nginx/ticket/301

Edit 2" * Ok, ce n'est pas un bug, c'est une fonctionnalité ;)*

je reçois la réponse ici: http://trac.nginx.org/nginx/ticket/301 Il est de travail, vous devez vérifier que votre ssl_client_i_dn est (. Au lieu de l'émetteur vous pouvez utiliser aussi sujet du certificat, ou ce que vous voulez de http://wiki.nginx.org/HttpSslModule#Built-in_variables

c'est ainsi que fonctionne la vérification du certificat: le certificat doit être vérifié jusqu'à une racine de confiance. Si la chaîne ne peut pas être construite à un racine (pas d'intermédiaire) - la vérification échoue. Si vous faites confiance à root - all les certificats signés par elle, directement ou indirectement, sera vérifiée avec succès.

limiter la profondeur de vérification peut être utilisé si vous limiter les certificats clients aux certificats émis directement seulement, mais il est plus sur la prévention DoS, et évidemment, il ne peut pas être utilisé pour limiter le verificate aux intermédiaires 1 seulement (mais pas intermediate2).

Ce que vous voulez de certains, ici l'autorisation basé sur la couche sur le résultat de la vérification-c'est - à-dire que vous pouvez vouloir vérifier que le client l'émetteur du certificat est intermediate1. Solution la plus simple serait de demandes de rejet si le DN de l'émetteur ne correspond pas à celui autorisé, par exemple: quelque chose comme ce (non testé):

[ Edit par moi, il fonctionne correctement dans ma configuration ]

server {
    listen 443 ssl;

    ssl_certificate ...
    ssl_certificate_key ...

    ssl_client_certificate /path/to/ca.crt;
    ssl_verify_client on;
    ssl_verify_depth 2;

    if ($ssl_client_i_dn != "/C=PL/CN=IntermediateCA1/emailAddress=cert@asdf.com") {
        return 403;
    }
}