OpenSSL - Versionsgeschichte

Suelmann: Änderung 562 von Suelmann (Diskussion) rückgängig gemacht.

2021-12-20T12:59:51Z

Änderung 562 von Suelmann (Diskussion) rückgängig gemacht.

@@ Zeile 1: / Zeile 1: @@
 __NOTOC__
 = Zertifikate erzeugen mit OpenSSL =
 Ich bin der [http://www.debian-administration.org/articles/618 Debian-Anleitung] gefolgt.
@@ Zeile 6: / Zeile 30: @@
 Die Pfade ensprechen der Konfiguration von Fedora.
 /etc/pki/tls/misc/CA ist ein Hilfs-Skript, dass als Wrapper die Aufrufe von OpenSSL vereinfacht.
 Dieses Skript muss ggf. angepasst werden, damit es den eigenen Wünschen entspricht, z.B.
@@ Zeile 15: / Zeile 39: @@
 ----
 [[KategorieWissen]]

Suelmann: 8 Versionen importiert

2021-12-20T12:28:53Z

8 Versionen importiert

@@ Zeile 1: / Zeile 1: @@
 __NOTOC__
 = Zertifikate erzeugen mit OpenSSL =
 Ich bin der [http://www.debian-administration.org/articles/618 Debian-Anleitung] gefolgt.
@@ Zeile 30: / Zeile 6: @@
 Die Pfade ensprechen der Konfiguration von Fedora.
 /etc/pki/tls/misc/CA ist ein Hilfs-Skript, dass als Wrapper die Aufrufe von OpenSSL vereinfacht.
 Dieses Skript muss ggf. angepasst werden, damit es den eigenen Wünschen entspricht, z.B.
@@ Zeile 39: / Zeile 15: @@
 ----
 [[KategorieWissen]]

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

Neue Seite

__NOTOC__
= Zertifikate erzeugen mit OpenSSL =

Ich bin der [http://www.debian-administration.org/articles/618 Debian-Anleitung] gefolgt.

Die Pfade ensprechen der Konfiguration von Fedora.

/etc/pki/tls/misc/CA ist ein Hilfs-Skript, dass als Wrapper die Aufrufe von OpenSSL vereinfacht.
Dieses Skript muss ggf. angepasst werden, damit es den eigenen Wünschen entspricht, z.B.

<pre><nowiki>
DAYS="-days 1825"
CADAYS="-days 3650"
</nowiki></pre>

----
[[KategorieWissen]]

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 15:		Zeile 15:


			Außerdem muss /etc/pki/tls/openssl.cnf angepasst werden.
			Hier kann man z.B. Vorgaben für Requests machen, z.B.

			<pre><nowiki>
			[ CA_default ]
			default_days = 1825

			[ req ]
			default_bits = 2048

			[ req_distinguished_name ]
			countryName_default = DE
			stateOrProvinceName_default = NRW
			0.organizationName_default = Shea

			[ v3_req ]
			subjectAltName=${ENV::SAN}
			</nowiki></pre>


			Eine neue CA wird dann mit <code><nowiki>/etc/pki/tls/misc/CA -newc</nowiki></code> erzeugt.

			Danach kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen.

			Wenn man die subjectAltName-Zeile in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" dabei entsprechend gesetzt.
	----		----
	[[KategorieWissen]]		[[KategorieWissen]]

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
			= Allgemeine Befehle =
			Zertifikatsinhalt anzeigen:

			<pre><nowiki>
			openssl x509 -noout -text -in DATEI
			</nowiki></pre>


	= Zertifikate erzeugen mit OpenSSL =		= Zertifikate erzeugen mit OpenSSL =

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 9:		Zeile 9:

	= Zertifikate erzeugen mit OpenSSL =		= Zertifikate erzeugen mit OpenSSL =

			== CA aufsetzen, allgemeine Konfiguration ==

	Ich bin der [http://www.debian-administration.org/articles/618 Debian-Anleitung] gefolgt.		Ich bin der [http://www.debian-administration.org/articles/618 Debian-Anleitung] gefolgt.
Zeile 14:		Zeile 16:
	Die Pfade ensprechen der Konfiguration von Fedora.		Die Pfade ensprechen der Konfiguration von Fedora.

	/etc/pki/tls/misc/CA ist ein Hilfs-Skript, dass als Wrapper die Aufrufe von OpenSSL vereinfacht.		/etc/pki/tls/misc/CA ist ein Hilfs-Skript, dass als Wrapper die Aufrufe von OpenSSL vereinfacht.
	Dieses Skript muss ggf. angepasst werden, damit es den eigenen Wünschen entspricht, z.B.		Dieses Skript muss ggf. angepasst werden, damit es den eigenen Wünschen entspricht, z.B.

Zeile 32:		Zeile 34:
	[ req ]		[ req ]
	default_bits = 2048		default_bits = 2048
			req_extensions = v3_req

	[ req_distinguished_name ]		[ req_distinguished_name ]
Zeile 43:		Zeile 46:


	Eine neue CA wird dann mit <code><nowiki>/etc/pki/tls/misc/CA -~~newc~~</nowiki></code> erzeugt.		Eine neue CA wird dann mit <code><nowiki>/etc/pki/tls/misc/CA -newca</nowiki></code> erzeugt. Dabei werden verschiedene Parameter abgefragt, die relativ selbsterklärend sind. Die "PEM pass phrase" wird genutzt, um den geheimen Schlüssel der CA zu verschlüsseln und entsprechend sicher zu wählen. Beim Signieren muss die pass phrase wieder angegeben werden.

			== Zertifikate erstellen ==

			Nach dem Aufsetzen der CA kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen. Dabei werden wieder verschiedene Parameter abgefragt.

	~~Danach kann~~ man mit ~~<code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code>~~ Zertifikats-Requests ~~erzeugen~~.		Wenn man die Zeilen mit req_extensions und subjectAltName in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" beim Erzeugen von Zertifikats-Requests entsprechend gesetzt. Dies ist z.B. wichtig bei Webservern, die unter verschiedenen Namen erreichbar sind.

	~~Wenn man die subjectAltName-Zeile in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" dabei entsprechend gesetzt.~~
	----		----
	[[KategorieWissen]]		[[KategorieWissen]]

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 40:		Zeile 40:
	stateOrProvinceName_default = NRW		stateOrProvinceName_default = NRW
	0.organizationName_default = Shea		0.organizationName_default = Shea

			[ usr_cert ]
			subjectAltName=${ENV::SAN} # Zertifikate mit Subject Alternative Name erzeugen
			#copy_extensions = copy # Extensions wie Subject Alternative Name aus Request übernehmen

	[ v3_req ]		[ v3_req ]
	subjectAltName=${ENV::SAN}		subjectAltName=${ENV::SAN} # Requests mit Subject Alternative Name erzeugen
	</nowiki></pre>		</nowiki></pre>

Zeile 50:		Zeile 54:
	== Zertifikate erstellen ==		== Zertifikate erstellen ==

	Nach dem Aufsetzen der CA kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen. Dabei werden wieder verschiedene Parameter abgefragt.		Dateien wirden bei den folgenden Befehlen jeweils im aktuellen Verzeichnis erzeugt.

			Nach dem Aufsetzen der CA kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen. Dabei werden wieder verschiedene Parameter abgefragt. Die "PEM pass phrase" ist für den neu erzeugten Key in newkey.pem. Der Request wird in newreq.pem erzeugt und kann mit <code><nowiki>openssl req -noout -text -in newreq.pem</nowiki></code> überprüft werden.

			Wenn man die Zeilen mit req_extensions und subjectAltName in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" beim Erzeugen von Zertifikats-Requests entsprechend gesetzt. Man kann alternativ die Extension auch direkt in openssl.cnf setzen. Die Extension ist z.B. wichtig bei Webservern, die unter verschiedenen Namen erreichbar sind. Die Syntax ist <code><nowiki>DNS=xxx.com, IP=a.b.c.d, email=a@xxx.com</nowiki></code>.

			Nach dem Erzeugen des Requests kann man mit <code><nowiki>/etc/pki/tls/misc/CA -sign</nowiki></code> das neue Zertifikat newcert.pem erzeugen. Dabei muss ggf. wieder die Umgebungsvariable SAN gesetzt sein. Das Zertifikat kann mit <code><nowiki>openssl x509 -noout -text -in newcert.pem</nowiki></code> überprüft werden.

	~~Wenn~~ man ~~die Zeilen mit req_extensions und subjectAltName~~ in ~~openssl~~.~~cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" beim Erzeugen von Zertifikats~~-~~Requests entsprechend gesetzt. Dies ist z~~.B. ~~wichtig bei Webservern, die unter verschiedenen Namen erreichbar sind~~.		Um eine Key-Datei ohne Passwort zu erhalten, kann man <code><nowiki>openssl rsa -in newkey.pem -out newkey.nopass.pem</nowiki></code> aufrufen.

			Das Zertifikat newcert.pem und der Key newkey.nopass.pem müssen dann passend kopiert werden.
	----		----
	[[KategorieWissen]]		[[KategorieWissen]]

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 51:		Zeile 51:

	Eine neue CA wird dann mit <code><nowiki>/etc/pki/tls/misc/CA -newca</nowiki></code> erzeugt. Dabei werden verschiedene Parameter abgefragt, die relativ selbsterklärend sind. Die "PEM pass phrase" wird genutzt, um den geheimen Schlüssel der CA zu verschlüsseln und entsprechend sicher zu wählen. Beim Signieren muss die pass phrase wieder angegeben werden.		Eine neue CA wird dann mit <code><nowiki>/etc/pki/tls/misc/CA -newca</nowiki></code> erzeugt. Dabei werden verschiedene Parameter abgefragt, die relativ selbsterklärend sind. Die "PEM pass phrase" wird genutzt, um den geheimen Schlüssel der CA zu verschlüsseln und entsprechend sicher zu wählen. Beim Signieren muss die pass phrase wieder angegeben werden.
			Das CA-Zertifikat wird unter /etc/pki/CA/cacert.pem abgelegt.

			Damit das System diese CA akzeptiert, muss sie an unterschiedlichen Stellen hinzugefügt werden.
			* OpenSSL: CA-Zertifikate liegen bei Fedora in einer großen Datei: /etc/pki/tls/certs/ca-bundle.crt - um die neue CA hinzuzufügen <code><nowiki>cat /etc/pki/CA/cacert.pem >> /etc/pki/tls/certs/ca-bundle.crt</nowiki></code> ausführen
			* Firefox: In den Einstellungen unter Erweitert -> Verschlüsselung "Zertifikate anzeigen" wählen. Dort dann auf dem Tab Zertifizierungsstellen "Importieren..." wählen und die cacert.pem-Datei auswählen.
			* OpenLDAP: ...

	== Zertifikate erstellen ==		== Zertifikate erstellen ==

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

← Nächstältere Version		Version vom 1. Januar 1970, 02:00 Uhr
Zeile 64:		Zeile 64:
	Nach dem Aufsetzen der CA kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen. Dabei werden wieder verschiedene Parameter abgefragt. Die "PEM pass phrase" ist für den neu erzeugten Key in newkey.pem. Der Request wird in newreq.pem erzeugt und kann mit <code><nowiki>openssl req -noout -text -in newreq.pem</nowiki></code> überprüft werden.		Nach dem Aufsetzen der CA kann man mit <code><nowiki>/etc/pki/tls/misc/CA -newreq</nowiki></code> Zertifikats-Requests erzeugen. Dabei werden wieder verschiedene Parameter abgefragt. Die "PEM pass phrase" ist für den neu erzeugten Key in newkey.pem. Der Request wird in newreq.pem erzeugt und kann mit <code><nowiki>openssl req -noout -text -in newreq.pem</nowiki></code> überprüft werden.

	Wenn man die Zeilen mit req_extensions und subjectAltName in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" beim Erzeugen von Zertifikats-Requests entsprechend gesetzt. Man kann alternativ die Extension auch direkt in openssl.cnf setzen. Die Extension ist z.B. wichtig bei Webservern, die unter verschiedenen Namen erreichbar sind. Die Syntax ist <code><nowiki>DNS=xxx.com, IP=a.b.c.d, email=a@xxx.com</nowiki></code>.		Wenn man die Zeilen mit req_extensions und subjectAltName in openssl.cnf wie open setzt und die Umgebungsvariable SAN setzt, wird die Extension "Subject Alternative Name" beim Erzeugen von Zertifikats-Requests entsprechend gesetzt. Man kann alternativ die Extension auch direkt in openssl.cnf setzen. Die Extension ist z.B. wichtig bei Webservern, die unter verschiedenen Namen erreichbar sind. Die Syntax ist <code><nowiki>DNS:xxx.com, IP:a.b.c.d, email:a@xxx.com</nowiki></code>.

	Nach dem Erzeugen des Requests kann man mit <code><nowiki>/etc/pki/tls/misc/CA -sign</nowiki></code> das neue Zertifikat newcert.pem erzeugen. Dabei muss ggf. wieder die Umgebungsvariable SAN gesetzt sein. Das Zertifikat kann mit <code><nowiki>openssl x509 -noout -text -in newcert.pem</nowiki></code> überprüft werden.		Nach dem Erzeugen des Requests kann man mit <code><nowiki>/etc/pki/tls/misc/CA -sign</nowiki></code> das neue Zertifikat newcert.pem erzeugen. Dabei muss ggf. wieder die Umgebungsvariable SAN gesetzt sein. Das Zertifikat kann mit <code><nowiki>openssl x509 -noout -text -in newcert.pem</nowiki></code> überprüft werden.

Suelmann am 1. Januar 1970 um 00:00 Uhr

1970-01-01T00:00:00Z

@@ Zeile 5: / Zeile 5: @@
 <pre><nowiki>
 openssl x509 -noout -text -in DATEI
 </nowiki></pre>