doc/apps/ca.pod

   1 =pod
   2
   3 =head1 NAME
   4
   5 ca - sample minimal CA application
   6
   7 =head1 SYNOPSIS
   8
   9 B<openssl> B<ca>
  10 [B<-help>]
  11 [B<-verbose>]
  12 [B<-config filename>]
  13 [B<-name section>]
  14 [B<-gencrl>]
  15 [B<-revoke file>]
  16 [B<-status serial>]
  17 [B<-updatedb>]
  18 [B<-crl_reason reason>]
  19 [B<-crl_hold instruction>]
  20 [B<-crl_compromise time>]
  21 [B<-crl_CA_compromise time>]
  22 [B<-crldays days>]
  23 [B<-crlhours hours>]
  24 [B<-crlexts section>]
  25 [B<-startdate date>]
  26 [B<-enddate date>]
  27 [B<-days arg>]
  28 [B<-md arg>]
  29 [B<-policy arg>]
  30 [B<-keyfile arg>]
  31 [B<-keyform PEM|DER>]
  32 [B<-key arg>]
  33 [B<-passin arg>]
  34 [B<-cert file>]
  35 [B<-selfsign>]
  36 [B<-in file>]
  37 [B<-out file>]
  38 [B<-notext>]
  39 [B<-outdir dir>]
  40 [B<-infiles>]
  41 [B<-spkac file>]
  42 [B<-ss_cert file>]
  43 [B<-preserveDN>]
  44 [B<-noemailDN>]
  45 [B<-batch>]
  46 [B<-msie_hack>]
  47 [B<-extensions section>]
  48 [B<-extfile section>]
  49 [B<-engine id>]
  50 [B<-subj arg>]
  51 [B<-utf8>]
  52 [B<-create_serial>]
  53 [B<-multivalue-rdn>]
  54
  55 =head1 DESCRIPTION
  56
  57 The B<ca> command is a minimal CA application. It can be used
  58 to sign certificate requests in a variety of forms and generate
  59 CRLs it also maintains a text database of issued certificates
  60 and their status.
  61
  62 The options descriptions will be divided into each purpose.
  63
  64 =head1 CA OPTIONS
  65
  66 =over 4
  67
  68 =item B<-help>
  69
  70 Print out a usage message.
  71
  72 =item B<-verbose>
  73
  74 this prints extra details about the operations being performed.
  75
  76 =item B<-config filename>
  77
  78 specifies the configuration file to use.
  79
  80 =item B<-name section>
  81
  82 specifies the configuration file section to use (overrides
  83 B<default_ca> in the B<ca> section).
  84
  85 =item B<-in filename>
  86
  87 an input filename containing a single certificate request to be
  88 signed by the CA.
  89
  90 =item B<-ss_cert filename>
  91
  92 a single self signed certificate to be signed by the CA.
  93
  94 =item B<-spkac filename>
  95
  96 a file containing a single Netscape signed public key and challenge
  97 and additional field values to be signed by the CA. See the B<SPKAC FORMAT>
  98 section for information on the required input and output format.
  99
 100 =item B<-infiles>
 101
 102 if present this should be the last option, all subsequent arguments
 103 are taken as the names of files containing certificate requests.
 104
 105 =item B<-out filename>
 106
 107 the output file to output certificates to. The default is standard
 108 output. The certificate details will also be printed out to this
 109 file in PEM format (except that B<-spkac> outputs DER format).
 110
 111 =item B<-outdir directory>
 112
 113 the directory to output certificates to. The certificate will be
 114 written to a filename consisting of the serial number in hex with
 115 ".pem" appended.
 116
 117 =item B<-cert>
 118
 119 the CA certificate file.
 120
 121 =item B<-keyfile filename>
 122
 123 the private key to sign requests with.
 124
 125 =item B<-keyform PEM|DER>
 126
 127 the format of the data in the private key file.
 128 The default is PEM.
 129
 130 =item B<-key password>
 131
 132 the password used to encrypt the private key. Since on some
 133 systems the command line arguments are visible (e.g. Unix with
 134 the 'ps' utility) this option should be used with caution.
 135
 136 =item B<-selfsign>
 137
 138 indicates the issued certificates are to be signed with the key
 139 the certificate requests were signed with (given with B<-keyfile>).
 140 Certificate requests signed with a different key are ignored.  If
 141 B<-spkac>, B<-ss_cert> or B<-gencrl> are given, B<-selfsign> is
 142 ignored.
 143
 144 A consequence of using B<-selfsign> is that the self-signed
 145 certificate appears among the entries in the certificate database
 146 (see the configuration option B<database>), and uses the same
 147 serial number counter as all other certificates sign with the
 148 self-signed certificate.
 149
 150 =item B<-passin arg>
 151
 152 the key password source. For more information about the format of B<arg>
 153 see the B<PASS PHRASE ARGUMENTS> section in L<openssl(1)>.
 154
 155 =item B<-notext>
 156
 157 don't output the text form of a certificate to the output file.
 158
 159 =item B<-startdate date>
 160
 161 this allows the start date to be explicitly set. The format of the
 162 date is YYMMDDHHMMSSZ (the same as an ASN1 UTCTime structure).
 163
 164 =item B<-enddate date>
 165
 166 this allows the expiry date to be explicitly set. The format of the
 167 date is YYMMDDHHMMSSZ (the same as an ASN1 UTCTime structure).
 168
 169 =item B<-days arg>
 170
 171 the number of days to certify the certificate for.
 172
 173 =item B<-md alg>
 174
 175 the message digest to use.
 176 Any digest supported by the OpenSSL B<dgst> command can be used.
 177 This option also applies to CRLs.
 178
 179 =item B<-policy arg>
 180
 181 this option defines the CA "policy" to use. This is a section in
 182 the configuration file which decides which fields should be mandatory
 183 or match the CA certificate. Check out the B<POLICY FORMAT> section
 184 for more information.
 185
 186 =item B<-msie_hack>
 187
 188 this is a legacy option to make B<ca> work with very old versions of
 189 the IE certificate enrollment control "certenr3". It used UniversalStrings
 190 for almost everything. Since the old control has various security bugs
 191 its use is strongly discouraged. The newer control "Xenroll" does not
 192 need this option.
 193
 194 =item B<-preserveDN>
 195
 196 Normally the DN order of a certificate is the same as the order of the
 197 fields in the relevant policy section. When this option is set the order
 198 is the same as the request. This is largely for compatibility with the
 199 older IE enrollment control which would only accept certificates if their
 200 DNs match the order of the request. This is not needed for Xenroll.
 201
 202 =item B<-noemailDN>
 203
 204 The DN of a certificate can contain the EMAIL field if present in the
 205 request DN, however it is good policy just having the e-mail set into
 206 the altName extension of the certificate. When this option is set the
 207 EMAIL field is removed from the certificate' subject and set only in
 208 the, eventually present, extensions. The B<email_in_dn> keyword can be
 209 used in the configuration file to enable this behaviour.
 210
 211 =item B<-batch>
 212
 213 this sets the batch mode. In this mode no questions will be asked
 214 and all certificates will be certified automatically.
 215
 216 =item B<-extensions section>
 217
 218 the section of the configuration file containing certificate extensions
 219 to be added when a certificate is issued (defaults to B<x509_extensions>
 220 unless the B<-extfile> option is used). If no extension section is
 221 present then, a V1 certificate is created. If the extension section
 222 is present (even if it is empty), then a V3 certificate is created. See the:w
 223 L<x509v3_config(5)> manual page for details of the
 224 extension section format.
 225
 226 =item B<-extfile file>
 227
 228 an additional configuration file to read certificate extensions from
 229 (using the default section unless the B<-extensions> option is also
 230 used).
 231
 232 =item B<-engine id>
 233
 234 specifying an engine (by its unique B<id> string) will cause B<ca>
 235 to attempt to obtain a functional reference to the specified engine,
 236 thus initialising it if needed. The engine will then be set as the default
 237 for all available algorithms.
 238
 239 =item B<-subj arg>
 240
 241 supersedes subject name given in the request.
 242 The arg must be formatted as I</type0=value0/type1=value1/type2=...>,
 243 characters may be escaped by \ (backslash), no spaces are skipped.
 244
 245 =item B<-utf8>
 246
 247 this option causes field values to be interpreted as UTF8 strings, by
 248 default they are interpreted as ASCII. This means that the field
 249 values, whether prompted from a terminal or obtained from a
 250 configuration file, must be valid UTF8 strings.
 251
 252 =item B<-create_serial>
 253
 254 if reading serial from the text file as specified in the configuration
 255 fails, specifying this option creates a new random serial to be used as next
 256 serial number.
 257
 258 =item B<-multivalue-rdn>
 259
 260 This option causes the -subj argument to be interpreted with full
 261 support for multivalued RDNs. Example:
 262
 263 I</DC=org/DC=OpenSSL/DC=users/UID=123456+CN=John Doe>
 264
 265 If -multi-rdn is not used then the UID value is I<123456+CN=John Doe>.
 266
 267 =back
 268
 269 =head1 CRL OPTIONS
 270
 271 =over 4
 272
 273 =item B<-gencrl>
 274
 275 this option generates a CRL based on information in the index file.
 276
 277 =item B<-crldays num>
 278
 279 the number of days before the next CRL is due. That is the days from
 280 now to place in the CRL nextUpdate field.
 281
 282 =item B<-crlhours num>
 283
 284 the number of hours before the next CRL is due.
 285
 286 =item B<-revoke filename>
 287
 288 a filename containing a certificate to revoke.
 289
 290 =item B<-status serial>
 291
 292 displays the revocation status of the certificate with the specified
 293 serial number and exits.
 294
 295 =item B<-updatedb>
 296
 297 Updates the database index to purge expired certificates.
 298
 299 =item B<-crl_reason reason>
 300
 301 revocation reason, where B<reason> is one of: B<unspecified>, B<keyCompromise>,
 302 B<CACompromise>, B<affiliationChanged>, B<superseded>, B<cessationOfOperation>,
 303 B<certificateHold> or B<removeFromCRL>. The matching of B<reason> is case
 304 insensitive. Setting any revocation reason will make the CRL v2.
 305
 306 In practice B<removeFromCRL> is not particularly useful because it is only used
 307 in delta CRLs which are not currently implemented.
 308
 309 =item B<-crl_hold instruction>
 310
 311 This sets the CRL revocation reason code to B<certificateHold> and the hold
 312 instruction to B<instruction> which must be an OID. Although any OID can be
 313 used only B<holdInstructionNone> (the use of which is discouraged by RFC2459)
 314 B<holdInstructionCallIssuer> or B<holdInstructionReject> will normally be used.
 315
 316 =item B<-crl_compromise time>
 317
 318 This sets the revocation reason to B<keyCompromise> and the compromise time to
 319 B<time>. B<time> should be in GeneralizedTime format that is B<YYYYMMDDHHMMSSZ>.
 320
 321 =item B<-crl_CA_compromise time>
 322
 323 This is the same as B<crl_compromise> except the revocation reason is set to
 324 B<CACompromise>.
 325
 326 =item B<-crlexts section>
 327
 328 the section of the configuration file containing CRL extensions to
 329 include. If no CRL extension section is present then a V1 CRL is
 330 created, if the CRL extension section is present (even if it is
 331 empty) then a V2 CRL is created. The CRL extensions specified are
 332 CRL extensions and B<not> CRL entry extensions.  It should be noted
 333 that some software (for example Netscape) can't handle V2 CRLs. See
 334 L<x509v3_config(5)> manual page for details of the
 335 extension section format.
 336
 337 =back
 338
 339 =head1 CONFIGURATION FILE OPTIONS
 340
 341 The section of the configuration file containing options for B<ca>
 342 is found as follows: If the B<-name> command line option is used,
 343 then it names the section to be used. Otherwise the section to
 344 be used must be named in the B<default_ca> option of the B<ca> section
 345 of the configuration file (or in the default section of the
 346 configuration file). Besides B<default_ca>, the following options are
 347 read directly from the B<ca> section:
 348  RANDFILE
 349  preserve
 350  msie_hack
 351 With the exception of B<RANDFILE>, this is probably a bug and may
 352 change in future releases.
 353
 354 Many of the configuration file options are identical to command line
 355 options. Where the option is present in the configuration file
 356 and the command line the command line value is used. Where an
 357 option is described as mandatory then it must be present in
 358 the configuration file or the command line equivalent (if
 359 any) used.
 360
 361 =over 4
 362
 363 =item B<oid_file>
 364
 365 This specifies a file containing additional B<OBJECT IDENTIFIERS>.
 366 Each line of the file should consist of the numerical form of the
 367 object identifier followed by white space then the short name followed
 368 by white space and finally the long name.
 369
 370 =item B<oid_section>
 371
 372 This specifies a section in the configuration file containing extra
 373 object identifiers. Each line should consist of the short name of the
 374 object identifier followed by B<=> and the numerical form. The short
 375 and long names are the same when this option is used.
 376
 377 =item B<new_certs_dir>
 378
 379 the same as the B<-outdir> command line option. It specifies
 380 the directory where new certificates will be placed. Mandatory.
 381
 382 =item B<certificate>
 383
 384 the same as B<-cert>. It gives the file containing the CA
 385 certificate. Mandatory.
 386
 387 =item B<private_key>
 388
 389 same as the B<-keyfile> option. The file containing the
 390 CA private key. Mandatory.
 391
 392 =item B<RANDFILE>
 393
 394 a file used to read and write random number seed information, or
 395 an EGD socket (see L<RAND_egd(3)>).
 396
 397 =item B<default_days>
 398
 399 the same as the B<-days> option. The number of days to certify
 400 a certificate for.
 401
 402 =item B<default_startdate>
 403
 404 the same as the B<-startdate> option. The start date to certify
 405 a certificate for. If not set the current time is used.
 406
 407 =item B<default_enddate>
 408
 409 the same as the B<-enddate> option. Either this option or
 410 B<default_days> (or the command line equivalents) must be
 411 present.
 412
 413 =item B<default_crl_hours default_crl_days>
 414
 415 the same as the B<-crlhours> and the B<-crldays> options. These
 416 will only be used if neither command line option is present. At
 417 least one of these must be present to generate a CRL.
 418
 419 =item B<default_md>
 420
 421 the same as the B<-md> option. Mandatory.
 422
 423 =item B<database>
 424
 425 the text database file to use. Mandatory. This file must be present
 426 though initially it will be empty.
 427
 428 =item B<unique_subject>
 429
 430 if the value B<yes> is given, the valid certificate entries in the
 431 database must have unique subjects.  if the value B<no> is given,
 432 several valid certificate entries may have the exact same subject.
 433 The default value is B<yes>, to be compatible with older (pre 0.9.8)
 434 versions of OpenSSL.  However, to make CA certificate roll-over easier,
 435 it's recommended to use the value B<no>, especially if combined with
 436 the B<-selfsign> command line option.
 437
 438 =item B<serial>
 439
 440 a text file containing the next serial number to use in hex. Mandatory.
 441 This file must be present and contain a valid serial number.
 442
 443 =item B<crlnumber>
 444
 445 a text file containing the next CRL number to use in hex. The crl number
 446 will be inserted in the CRLs only if this file exists. If this file is
 447 present, it must contain a valid CRL number.
 448
 449 =item B<x509_extensions>
 450
 451 the same as B<-extensions>.
 452
 453 =item B<crl_extensions>
 454
 455 the same as B<-crlexts>.
 456
 457 =item B<preserve>
 458
 459 the same as B<-preserveDN>
 460
 461 =item B<email_in_dn>
 462
 463 the same as B<-noemailDN>. If you want the EMAIL field to be removed
 464 from the DN of the certificate simply set this to 'no'. If not present
 465 the default is to allow for the EMAIL filed in the certificate's DN.
 466
 467 =item B<msie_hack>
 468
 469 the same as B<-msie_hack>
 470
 471 =item B<policy>
 472
 473 the same as B<-policy>. Mandatory. See the B<POLICY FORMAT> section
 474 for more information.
 475
 476 =item B<name_opt>, B<cert_opt>
 477
 478 these options allow the format used to display the certificate details
 479 when asking the user to confirm signing. All the options supported by
 480 the B<x509> utilities B<-nameopt> and B<-certopt> switches can be used
 481 here, except the B<no_signame> and B<no_sigdump> are permanently set
 482 and cannot be disabled (this is because the certificate signature cannot
 483 be displayed because the certificate has not been signed at this point).
 484
 485 For convenience the values B<ca_default> are accepted by both to produce
 486 a reasonable output.
 487
 488 If neither option is present the format used in earlier versions of
 489 OpenSSL is used. Use of the old format is B<strongly> discouraged because
 490 it only displays fields mentioned in the B<policy> section, mishandles
 491 multicharacter string types and does not display extensions.
 492
 493 =item B<copy_extensions>
 494
 495 determines how extensions in certificate requests should be handled.
 496 If set to B<none> or this option is not present then extensions are
 497 ignored and not copied to the certificate. If set to B<copy> then any
 498 extensions present in the request that are not already present are copied
 499 to the certificate. If set to B<copyall> then all extensions in the
 500 request are copied to the certificate: if the extension is already present
 501 in the certificate it is deleted first. See the B<WARNINGS> section before
 502 using this option.
 503
 504 The main use of this option is to allow a certificate request to supply
 505 values for certain extensions such as subjectAltName.
 506
 507 =back
 508
 509 =head1 POLICY FORMAT
 510
 511 The policy section consists of a set of variables corresponding to
 512 certificate DN fields. If the value is "match" then the field value
 513 must match the same field in the CA certificate. If the value is
 514 "supplied" then it must be present. If the value is "optional" then
 515 it may be present. Any fields not mentioned in the policy section
 516 are silently deleted, unless the B<-preserveDN> option is set but
 517 this can be regarded more of a quirk than intended behaviour.
 518
 519 =head1 SPKAC FORMAT
 520
 521 The input to the B<-spkac> command line option is a Netscape
 522 signed public key and challenge. This will usually come from
 523 the B<KEYGEN> tag in an HTML form to create a new private key.
 524 It is however possible to create SPKACs using the B<spkac> utility.
 525
 526 The file should contain the variable SPKAC set to the value of
 527 the SPKAC and also the required DN components as name value pairs.
 528 If you need to include the same component twice then it can be
 529 preceded by a number and a '.'.
 530
 531 When processing SPKAC format, the output is DER if the B<-out>
 532 flag is used, but PEM format if sending to stdout or the B<-outdir>
 533 flag is used.
 534
 535 =head1 EXAMPLES
 536
 537 Note: these examples assume that the B<ca> directory structure is
 538 already set up and the relevant files already exist. This usually
 539 involves creating a CA certificate and private key with B<req>, a
 540 serial number file and an empty index file and placing them in
 541 the relevant directories.
 542
 543 To use the sample configuration file below the directories demoCA,
 544 demoCA/private and demoCA/newcerts would be created. The CA
 545 certificate would be copied to demoCA/cacert.pem and its private
 546 key to demoCA/private/cakey.pem. A file demoCA/serial would be
 547 created containing for example "01" and the empty index file
 548 demoCA/index.txt.
 549
 550
 551 Sign a certificate request:
 552
 553  openssl ca -in req.pem -out newcert.pem
 554
 555 Sign a certificate request, using CA extensions:
 556
 557  openssl ca -in req.pem -extensions v3_ca -out newcert.pem
 558
 559 Generate a CRL
 560
 561  openssl ca -gencrl -out crl.pem
 562
 563 Sign several requests:
 564
 565  openssl ca -infiles req1.pem req2.pem req3.pem
 566
 567 Certify a Netscape SPKAC:
 568
 569  openssl ca -spkac spkac.txt
 570
 571 A sample SPKAC file (the SPKAC line has been truncated for clarity):
 572
 573  SPKAC=MIG0MGAwXDANBgkqhkiG9w0BAQEFAANLADBIAkEAn7PDhCeV/xIxUg8V70YRxK2A5
 574  CN=Steve Test
 575  emailAddress=steve@openssl.org
 576  0.OU=OpenSSL Group
 577  1.OU=Another Group
 578
 579 A sample configuration file with the relevant sections for B<ca>:
 580
 581  [ ca ]
 582  default_ca      = CA_default            # The default ca section
 583
 584  [ CA_default ]
 585
 586  dir            = ./demoCA              # top dir
 587  database       = $dir/index.txt        # index file.
 588  new_certs_dir  = $dir/newcerts         # new certs dir
 589
 590  certificate    = $dir/cacert.pem       # The CA cert
 591  serial         = $dir/serial           # serial no file
 592  private_key    = $dir/private/cakey.pem# CA private key
 593  RANDFILE       = $dir/private/.rand    # random number file
 594
 595  default_days   = 365                   # how long to certify for
 596  default_crl_days= 30                   # how long before next CRL
 597  default_md     = md5                   # md to use
 598
 599  policy         = policy_any            # default policy
 600  email_in_dn    = no                    # Don't add the email into cert DN
 601
 602  name_opt       = ca_default            # Subject name display option
 603  cert_opt       = ca_default            # Certificate display option
 604  copy_extensions = none                 # Don't copy extensions from request
 605
 606  [ policy_any ]
 607  countryName            = supplied
 608  stateOrProvinceName    = optional
 609  organizationName       = optional
 610  organizationalUnitName = optional
 611  commonName             = supplied
 612  emailAddress           = optional
 613
 614 =head1 FILES
 615
 616 Note: the location of all files can change either by compile time options,
 617 configuration file entries, environment variables or command line options.
 618 The values below reflect the default values.
 619
 620  /usr/local/ssl/lib/openssl.cnf - master configuration file
 621  ./demoCA                       - main CA directory
 622  ./demoCA/cacert.pem            - CA certificate
 623  ./demoCA/private/cakey.pem     - CA private key
 624  ./demoCA/serial                - CA serial number file
 625  ./demoCA/serial.old            - CA serial number backup file
 626  ./demoCA/index.txt             - CA text database file
 627  ./demoCA/index.txt.old         - CA text database backup file
 628  ./demoCA/certs                 - certificate output file
 629  ./demoCA/.rnd                  - CA random seed information
 630
 631 =head1 ENVIRONMENT VARIABLES
 632
 633 B<OPENSSL_CONF> reflects the location of master configuration file it can
 634 be overridden by the B<-config> command line option.
 635
 636 =head1 RESTRICTIONS
 637
 638 The text database index file is a critical part of the process and
 639 if corrupted it can be difficult to fix. It is theoretically possible
 640 to rebuild the index file from all the issued certificates and a current
 641 CRL: however there is no option to do this.
 642
 643 V2 CRL features like delta CRLs are not currently supported.
 644
 645 Although several requests can be input and handled at once it is only
 646 possible to include one SPKAC or self signed certificate.
 647
 648 =head1 BUGS
 649
 650 The use of an in memory text database can cause problems when large
 651 numbers of certificates are present because, as the name implies
 652 the database has to be kept in memory.
 653
 654 The B<ca> command really needs rewriting or the required functionality
 655 exposed at either a command or interface level so a more friendly utility
 656 (perl script or GUI) can handle things properly. The script
 657 B<CA.pl> helps a little but not very much.
 658
 659 Any fields in a request that are not present in a policy are silently
 660 deleted. This does not happen if the B<-preserveDN> option is used. To
 661 enforce the absence of the EMAIL field within the DN, as suggested by
 662 RFCs, regardless the contents of the request' subject the B<-noemailDN>
 663 option can be used. The behaviour should be more friendly and
 664 configurable.
 665
 666 Canceling some commands by refusing to certify a certificate can
 667 create an empty file.
 668
 669 =head1 WARNINGS
 670
 671 The B<ca> command is quirky and at times downright unfriendly.
 672
 673 The B<ca> utility was originally meant as an example of how to do things
 674 in a CA. It was not supposed to be used as a full blown CA itself:
 675 nevertheless some people are using it for this purpose.
 676
 677 The B<ca> command is effectively a single user command: no locking is
 678 done on the various files and attempts to run more than one B<ca> command
 679 on the same database can have unpredictable results.
 680
 681 The B<copy_extensions> option should be used with caution. If care is
 682 not taken then it can be a security risk. For example if a certificate
 683 request contains a basicConstraints extension with CA:TRUE and the
 684 B<copy_extensions> value is set to B<copyall> and the user does not spot
 685 this when the certificate is displayed then this will hand the requester
 686 a valid CA certificate.
 687
 688 This situation can be avoided by setting B<copy_extensions> to B<copy>
 689 and including basicConstraints with CA:FALSE in the configuration file.
 690 Then if the request contains a basicConstraints extension it will be
 691 ignored.
 692
 693 It is advisable to also include values for other extensions such
 694 as B<keyUsage> to prevent a request supplying its own values.
 695
 696 Additional restrictions can be placed on the CA certificate itself.
 697 For example if the CA certificate has:
 698
 699  basicConstraints = CA:TRUE, pathlen:0
 700
 701 then even if a certificate is issued with CA:TRUE it will not be valid.
 702
 703 =head1 SEE ALSO
 704
 705 L<req(1)>, L<spkac(1)>, L<x509(1)>, L<CA.pl(1)>,
 706 L<config(5)>, L<x509v3_config(5)>
 707
 708 =head1 COPYRIGHT
 709
 710 Copyright 2000-2016 The OpenSSL Project Authors. All Rights Reserved.
 711
 712 Licensed under the OpenSSL license (the "License").  You may not use
 713 this file except in compliance with the License.  You can obtain a copy
 714 in the file LICENSE in the source distribution or at
 715 L<https://www.openssl.org/source/license.html>.
 716
 717 =cut