Проблемы при создании сертификата с SHA256 / SHA512

Я хочу сгенерировать самоподписанный сертификат с SHA256 или SHA512, но у меня возникают проблемы с этим. Я создал скрипт, который должен выполнять это автоматически:

#!/bin/bash

set -e

echo "WORKSPACE: $WORKSPACE"

SSL_DIR=$(pwd)/httpd_ssl_certs
OPENSSL_CNF=$(pwd)/openssl.cnf

if [ -d "$SSL_DIR" ]; then
        rm -rvf "$SSL_DIR"
fi

mkdir -vp "$SSL_DIR"

pushd "$SSL_DIR"

# проверить, существует ли openssl.cnf
if [ ! -f "$OPENSSL_CNF" ]; then
    echo "Не удалось найти $OPENSSL_CNF. Сборка будет завершена."
    exit 1
fi

echo " - создание приватного ключа"
openssl genrsa -out server.key.template 2048
echo " - создание запроса на подпись"
openssl req -nodes -new -sha256 -config $OPENSSL_CNF -key server.key.template -out server.csr.template
echo " - создание сертификата"
openssl x509 -req -in server.csr.template -signkey server.key.template -out server.crt.template -extfile $OPENSSL_CNF

И у меня есть файл openssl.cnf с конфигурацией для этого:

[ ca ]
default_ca                      = CA_default

[ CA_default ]
# срок действия сертификата
default_days                    = 365
# срок действия следующего CRL
default_crl_days                = 30
# использовать алгоритм хеширования по умолчанию для публичного ключа
default_md                      = sha256

# сохранять порядок DN
preserve                        = no

policy                          = policy_anything

[ policy_anything ]
countryName                     = optional
stateOrProvinceName             = optional
localityName                    = optional
organizationName                = optional
organizationalUnitName          = optional
commonName                      = optional
emailAddress                    = optional

[ req ]
default_bits                    = 2048
default_keyfile                 = server.key.template
distinguished_name              = req_distinguished_name
prompt                          = no
encrypt_key                     = no
# добавить default_md в [ req ] для создания сертификатов с SHA256
default_md                      = sha256

[ req_distinguished_name ]
countryName                     = "AB"
stateOrProvinceName             = "CD"
localityName                    = "Некоторый город"
organizationName                = "XXX Y"
organizationalUnitName          = "XXX Y"
commonName                      = "localhost"
emailAddress                    = "[email protected]"

Когда я запускаю скрипт с этим openssl.cnf, я получаю сертификат, но этот сертификат всегда зашифрован с помощью SHA1. Я проверяю это с помощью этой команды: openssl x509 -in server.crt.template -text -noout | grep 'Signature. Я всегда получаю этот вывод:

Алгоритм подписи: sha1WithRSAEncryption
Алгоритм подписи: sha1WithRSAEncryption

Может кто-нибудь подскажет, в чем здесь ошибка?

Ниже приведены мои заметки по созданию, хоть и не самих сертификатов, запроса на подпись сертификата (CSR) с помощью openssl.

Синтаксис с заполнителями выглядит следующим образом:

openssl req -new -newkey rsa:4096 -sha256 -nodes -out
{DOMAIN.TLD}.rsa.csr -keyout {DOMAIN.TLD}.rsa.pkey -subj
“/C={US}/ST={STATE||PROVENCE}/L={CITY}/O={COMPANY-NAME}/CN={DOMAIN.TLD}”

Это точная команда, которую я использовал для создания своего собственного CSR, который я предоставляю своему провайдеру SSL-сертификатов.

openssl req -new -newkey rsa:4096 -sha256 -nodes -out rustbeltrebellion.com.csr -keyout rustbeltrebellion.rsa.pkey -subj "/C=US/ST=OHIO/L=EASTLAKE/O=RUSTBELTREBELLION/CN=RUSTBELTREBELLION.COM"

Преимущество CSR заключается в том, что ваш приватный ключ остается более закрытым. Я знаю только два способа создания сертификата — пропустить ваш приватный ключ через библиотеку openssl или ваш CSR через библиотеку openssl. Оба дают функционально идентичный сертификат, когда все завершено. Один позволяет вашему приватному ключу оставаться закрытым (это делает CSR).