Авторизация по SSL сертификатам

<VirtualHost 11.222.33.4:443>
    ServerName citename.ru
    ServerAdmin Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.

    DocumentRoot "/var/www/localhost/htdocs"
    <Directory "/var/www/localhost/htdocs">
        Options Indexes FollowSymLinks
        AllowOverride All
        Order allow,deny
        Allow from all
    </Directory>

    ErrorLog /var/log/apache2/ssl_citename_error_log

    <IfModule log_config_module>
        TransferLog /var/log/apache2/ssl_citename_access_log
        CustomLog /var/log/apache2/ssl_citename_request_log \
                  "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
    </IfModule>

    SSLEngine              on
    SSLVerifyClient require
    SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

    SSLCertificateFile     /etc/apache2/ssl/citename-CA.crt
    SSLCertificateKeyFile  /etc/apache2/ssl/citename-CA.key
    SSLCACertificateFile   /etc/apache2/ssl/citename-CA.crt
    
    <FilesMatch "\.(cgi|shtml|phtml|php)$">
        SSLOptions +StdEnvVars
    </FilesMatch>
</VirtualHost>

[ ca ]
default_ca             = CA_CITENAME          # Секция по умолчанию для подписи сертификатов

[ CA_CITENAME ]
droot                  = /etc/ssl/citename.ru # Корневой каталог хранилища
dir                    = $droot/db            # Каталог базы хранилища
certs                  = $dir/certs           # Каталог сертификатов
new_certs_dir          = $dir/newcerts        # Каталог для новых сертификатов (pem)

database               = $dir/index.txt       # Файл базы сертификатов
serial                 = $dir/serial          # Файл серийного номера

# Файл доверенного сертификата
certificate            = /etc/apache2/ssl/citename-CA.crt
# Закрытый ключ доверенного сертификата
private_key            = /etc/apache2/ssl/citename-CA.key

default_days           = 365                  # Срок действия нового сертификата (дни)
default_crl_days       = 7                    # Срок действия списка отозванных сертификатов
default_md             = md5                  # Использовать алгоритм MD5

policy                 = policy_citename      # Политика секции

[ policy_citename ]
countryName            = optional             # Необязательный параметр
stateOrProvinceName    = optional             # .......................
localityName           = optional             # .......................
organizationName       = optional             # .......................
organizationalUnitName = optional             # .......................
commonName             = supplied             # обязательный параметр
emailAddress           = supplied             # .....................

C - Двухсимвольное обозначение страны
ST - Республика/Регион/Край/Область
L - Населённый пункт
O - Организация
OU - Подразделение организации
CN - Имя сертификата. Если генерится для сервера - должно указываться имя сервера.
emailAddress - и так вроде понятно

Using configuration from citename-CA.conf
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
countryName           :PRINTABLE:'RU'
stateOrProvinceName   :ASN.1 12:'Arkh'
localityName          :ASN.1 12:'Arkh'
organizationName      :ASN.1 12:'OAO'
organizationalUnitName:ASN.1 12:'Sales'
commonName            :ASN.1 12:'user01'
emailAddress          :IA5STRING:'Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра.'
Certificate is to be certified until Jan 30 18:58:53 2016 GMT (365 days)

Write out database with 1 new entries
Data Base Updated

#!/bin/bash
# script version 0.1
#########################################################################################
NO_ARGS=0
E_OPTERROR=65

### ================================================================================= ###
###                         ПЕРЕМЕННЫЕ (ПРАВИТЬ ПОД СЕБЯ)                             ###
BASE_DIR="/etc/ssl/citename.ru"            # Путь к хранилищу сертификатов
CA_CFG="$BASE_DIR/citename-CA.conf"        # Конфигурационный файл для подписи
CERTS="$BASE_DIR/db/certs"                 # Каталог для хранения сертификатов
CA_FILE="/etc/apache2/ssl/citename-CA.crt" # Доверенный сертификат (Им подписывам)
RAR="/opt/bin/rar"                         # RAR. Потому что можно им паролить архив
### ================================================================================= ###

usage () {
  echo "Скрипт `basename $0` предназначен для создания клиентских SSL сертификатов."
  echo ""
  echo "Использование: `basename $0` -c C -t ST -l L -o O -u OU -n CN -e eml -p pw -r -s"
  echo -e "    \033[1mОпции:\033[0m"
  echo "    -c    Двухсимвольный код страны. C сертификата"
  echo "    -e    E-Mail сертификата. Также используется для отправки сертификата"
  echo "          пользователю если установлена опция -s. Обязательная опция!"
  echo "    -l    Населенный пункт. L сертификата."
  echo "    -n    Наименование (CN) сертификата. Также используется для наименования файлов"
  echo "          сертификата. Обязательная опция."
  echo "    -o    Организация. O сертификата."
  echo "    -p    Пароль сертификата. Также используется для пароля архива, если указана -s."
  echo "    -r    Показывать содержимое сертификатов."
  echo "    -s    Отправить упакованный сертификат пользователю по электронной почте,"
  echo "          указанной в опции -e"
  echo "    -t    Республика/Регион/Край/Область. ST сертификата."
  echo "    -u    Подразделение организации для которой выдается сертификат. OU сертификата."
  echo -e "    \033[1mОБРАТИТЕ ВНИМАНИЕ!\033[0m Опции \033[1m-n\033[0m и \033[1m-e\033[0m являются ОБЯЗАТЕЛЬНЫМИ."
}

# У getopts есть неприятная фича/баг. Если у опции с аргументом не введен аргумент,
# а за ней введена следующая опция, то аргументом первой опции будет вторая опция...
# Такой хоккей нам не нужен. (с) Будем с ним бороться с помощью argchk.
argchk () {

if [[ $OPTARG =~ ^-[n/p/e/c/t/l/o/u]$ ]]
then
  echo "Неправильный аргумент $OPTARG для опции -$Option!"
  usage
  exit 1
fi
}

if [ $# -eq "$NO_ARGS" ]  # Сценарий вызван без аргументов?
then
  usage                   # Если запущен без "аргуменотов" - вывести справку
  exit $E_OPTERROR        # и выйти с кодом ошибки
fi

while getopts "rsn:p:e:c:t:l:o:u:" Option
do
  case $Option in
    n     ) argchk
            C_NAME="$OPTARG-$(date '+%F')" # добавляем дату к имени сертификата, чтобы в базе
                                           # не было совпадений имен сертификатов
            CN="/CN=$OPTARG";;
    p     ) argchk
            PW=$OPTARG;;
    e     ) argchk
            EML=$OPTARG
            E="/emailAddress=$OPTARG";;
    c     ) argchk
            C="/C=$OPTARG";;
    t     ) argchk
            ST="/ST=$OPTARG";;
    l     ) argchk
            L="/L=$OPTARG";;
    o     ) argchk
            O="/O=$OPTARG";;
    u     ) argchk
            OU="/OU=$OPTARG";;
    r     ) SH_RES=1;;
    s     ) SEND_EMAIL=1;;
    *     ) echo "Выбран недопустимый ключ."

exit $E_OPTERROR;;   # ПО-УМОЛЧАНИЮ
  esac
done
shift $(($OPTIND - 1))

# Проверка обязательных опций
if [ -z $CN ] || [ -z $E ]
then
  echo "Опции -n и -e являются ОБЯЗАТЕЛЬНЫМИ!"
  usage
  exit 5
fi

SUBJ="$C$ST$L$O$OU$CN$E"

# Проверим указан ли пароль
if [ -z $PW ]
then
  RARPW=""
else
  RARPW="-p$PW"
fi

# Создаем запрос на сертификат
openssl req -new -newkey rsa:1024 -nodes -keyout "$BASE_DIR/$C_NAME.key" -subj "$SUBJ" -out "$BASE_DIR/$C_NAME.csr"

if ! [ -z $SH_RES ] # Если указана опция -r
then
  # Показать содержимое запроса на сертификат
  openssl req -noout -text -in "$BASE_DIR/$C_NAME.csr"
fi

# Подписываем сертификат
openssl ca -config "$CA_CFG" -in "$BASE_DIR/$C_NAME.csr" -out "$BASE_DIR/$C_NAME.crt" -batch

if ! [ -z $SH_RES ] # Если указана опция -r
then
  # Показать содержимое сертификата

openssl x509 -noout -text -in "$BASE_DIR/$C_NAME.crt"
fi

# Упаковать сертификат в файл PKCS#12
openssl pkcs12 -export -in "$BASE_DIR/$C_NAME.crt" -inkey "$BASE_DIR/$C_NAME.key" \
               -certfile "$CA_FILE" -out "$BASE_DIR/$C_NAME.p12" -passout pass:$PW

if [ $SEND_EMAIL -eq 1 ] # Если указана опция -s
then
  # Упаковать файл PKCS#12 в архив
  $RAR a -ep $RARPW "$BASE_DIR/$C_NAME.rar" "$BASE_DIR/$C_NAME.p12"
  # и отправить пользователю по электронке
  uuencode "$BASE_DIR/$C_NAME.rar" "$C_NAME.rar" | mail -s "$C_NAME.rar" $EML && \
  echo "Сертификат отправлен по адресу: $EML"
fi

mv $BASE_DIR/$C_NAME.* "$CERTS"

exit 0