~andersk/ubuntu/oneiric/openssl/spurious-reboot

[B<-resign>]

[B<-[cipher]>]

[B<-indef>]

[B<-noindef>]

[B<-stream>]

[B<-md digest>]

There are six operation options that set the type of operation to be performed.

=item B<-resign>

 

resign a message: take an existing message and one or more new signers.

 

=item B<-stream -indef -noindef>

 

the B<-stream> and B<-indef> options are equivalent and enable streaming I/O

for encoding operations. This permits single pass processing of data without

the need to hold the entire contents in memory, potentially supporting very

large files. Streaming is automatically set for S/MIME signing with detached

data if the output format is B<SMIME> it is currently off by default for all

other operations.

 

=item B<-noindef>

 

disable streaming I/O where it would produce and indefinite length constructed

encoding. This option currently has no effect. In future streaming will be

enabled by default on all relevant operations and this option will disable it.

 

=item B<-md digest>

 

digest algorithm to use when signing or resigning. If not present then the

default digest algorithm for the signing key will be used (usually SHA1).

 

=item B<-[cipher]>

 

the encryption algorithm to use. For example DES  (56 bits) - B<-des>,

triple DES (168 bits) - B<-des3>,

EVP_get_cipherbyname() function) can also be used preceded by a dash, for 

example B<-aes_128_cbc>. See L<B<enc>|enc(1)> for list of ciphers

supported by your version of OpenSSL.

 

If not specified 40 bit RC2 is used. Only used with B<-encrypt>.

a signing certificate when signing or resigning a message, this option can be

used multiple times if more than one signer is required. If a message is being

verified then the signers certificates will be written to this file if the

verification was successful.

the B<-recip> or B<-signer> file. When signing this option can be used

multiple times to specify successive keys.

=item B<-purpose, -ignore_critical, -issuer_checks, -crl_check, -crl_check_all, -policy_check, -extended_crl, -x509_strict, -policy -check_ss_sig>

 

Set various options of certificate chain verification. See

L<B<verify>|verify(1)> manual page for details.

 

The B<-resign> option uses an existing message digest when adding a new

signer. This means that attributes must be present in at least one existing

signer using the same message digest or this operation will fail.

 

The B<-stream> and B<-indef> options enable experimental streaming I/O support.

As a result the encoding is BER using indefinite length constructed encoding

and no longer DER. Streaming is supported for the B<-encrypt> operation and the

B<-sign> operation if the content is not detached.

 

Streaming is always used for the B<-sign> operation with detached data but

since the content is no longer part of the PKCS#7 structure the encoding

remains DER.

 

Create an opaque signed message:

Create a signed message with two signers:

 

 openssl smime -sign -in message.txt -text -out mail.msg \

        -signer mycert.pem -signer othercert.pem

 

Note: the encryption command does not include the B<-text> option because the

message being encrypted already has MIME headers.

and using the command: 

Alternatively you can base64 decode the signature and use:

Add a signer to an existing message:

 

 openssl smime -resign -in mail.msg -signer newsign.pem -out mail2.msg

 

The MIME parser isn't very clever: it seems to handle most messages that I've

thrown at it but it may choke on others.

 

The code currently will only write out the signer's certificate to a file: if

the signer has a separate encryption certificate this must be manually

extracted. There should be some heuristic that determines the correct

encryption certificate.

 

Ideally a database should be maintained of a certificates for each email

address.

algorithms as supplied in the SMIMECapabilities signed attribute. This means the

=head1 HISTORY

 

The use of multiple B<-signer> options and the B<-resign> command were first

added in OpenSSL 1.0.0