使用XCA签署证书时遭遇pki_x509错误的求助

你遇到的错误是OpenSSL底层抛出的算法兼容问题，常见原因及解决步骤如下：

错误信息 #

The following error occurred:
(8pki_x509[]:certificate_name)
error:0300009C:digital envelope routines::unsupported algorithm
error:06880006:asn1::lib EVP encoding routines
error:06880006:asn1::lib EVP encryption routines
(pki_x509.cpp:582)

解决步骤 #

• 检查CA证书算法：打开XCA查看你的CA证书详情，确认是否使用了MD5、SHA1这类已废弃的旧算法，或是RSA密钥长度不足2048位。如果是，重新生成CA证书，选用SHA256/SHA384搭配2048位以上RSA，或ECDSA这类现代算法。
• 匹配签名算法：签署客户端证书时，确保选择的签名算法与CA证书的算法一致，且是当前OpenSSL支持的类型（比如CA用SHA256-RSA，客户端证书也选SHA256-RSA）。
• 升级软件版本：旧版XCA内置的OpenSSL库可能存在兼容性问题，升级到XCA最新稳定版，同时确保系统的OpenSSL版本在1.1.1及以上（注意OpenSSL 3.x部分旧算法默认被禁用，需确认配置）。
• 重置证书模板：如果用了自定义模板，检查其中的算法设置是否错误，尝试使用XCA默认的OpenVPN客户端模板重新创建证书。

内容的提问来源于stack exchange，提问作者FOP