Modifications entre les versions 1 et 17 (s'étendant sur 16 versions)

Création d'une AC racine

Préparation

racine$ mkdir racine; cd racine; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand

Création d'une clef privée 2048 bits, cryptée par un mot de passe :

racine$ openssl genrsa -out ca-key.pem -des3 2048
Generating RSA private key, 2048 bit long modulus
......................+++
e is 65537 (0x10001)
Enter pass phrase for ca-key.pem: 
Verifying - Enter pass phrase for ca-key.pem:

Etablissement de la demande de certificat (qui sera ensuite auto-signé) :

racine$ openssl req -config ../openssl.cnf -new -key ca-key.pem -out request-ca-racine.pem -text
Enter pass phrase for ca-key.pem:
(...)
Code ISO du pays (2 lettres) [CA]:
Province ou region (nom complet) [Quebec]:
Ville (nom complet) [Montreal]:
Organisation [AUF]:
Unite (implantation, service, programme, ...) [DRI]:
Nom canonique (TOUJOURS TRES IMPORTANT) [AUF-AC-RACINE]:
Adresse electronique (email) [rpv@auf.org]:

Auto-signature du certificat (on est sur la racine) avec les extensions spécifiques (ca_racine):

racine$ openssl ca -config ../openssl.cnf -in request-ca-racine.pem -out ca-cert.pem -selfsign -keyfile ca-key.pem -extensions ca_racine -days $((10*365))
Using configuration from ../openssl.cnf
Enter pass phrase for ca-key.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
    (...)
Certificate is to be certified until Mar  5 10:20:49 2018 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

Vérification des résultats

Examen du certificat produit (vérification des dates et des extensions) :

racine$ openssl x509 -text -in ca-cert.pem -noout     # liste de toutes les données du certificat, notamment dates et extensions
racine$ openssl x509 -purpose -in ca-cert.pem -noout  # liste des utilisations possibles du certificat

Création d'une AC régionale

Dans ce qui suit, remplacer regionX par le nom abrégé de la région.

Préparation

region$ mkdir regionX; cd regionX; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand 
region$ openssl genrsa -out ca-key.pem -des3 2048    # création de la clé

Etablissement de la demande de certificat

region$ openssl req -new -key ca-key.pem -out request-ca-regionX.pem -text -config ../openssl.cnf

Le fichier request-ca-regionX.pem est la demande : il doit être envoyé à l'autorité de certification racine

Sur l'AC racine, signature de la demande pour création d'un certificat certs/ca-regionX.pem :

racine$ openssl ca -config ../openssl.cnf -in request-ca-regionX.pem -extensions ca_region -out certs/ca-regionX.pem

Le fichier certs/ca-regionX.pem est renvoyé à l'autorité régionale, qui le renomme ca-cert.pem (certificat, à côté de ca-key.pem qui est la clé privée correspondante).

vérifications ...

Projet/PKI/Archives/PKIOpenSSL/CréationDesAutorités (dernière édition le 2008-10-14 09:26:15 par ThomasNoël)

-  ⇤ ← Version 1 à la date du 2008-02-25 00:04:29 → 
  Taille: 3514
  Éditeur: ThomasNoël
  Commentaire: ça a l'air bon pour la CA racine... reste 98712983 étapes à franchir ;)
+   ← Version 17 à la date du 2008-03-07 10:22:53 → ⇥
  Taille: 3120
  Éditeur: ThomasNoël
  Commentaire: signature racine : on passe par une étape requete + signature, plus cohérente et plus "propre" à mon goût
-Texte supprimé.
+Texte ajouté.
 Ligne 1:
-Fichier openssl.cnf modèle : [[attachment:openssl.cnf]]
-Ligne 7:
+Ligne 5:
-$ mkdir racine
$ cd racine
$ mkdir keys requests certs newcerts
$ echo 01 > serial
$ echo 01 > crlnumber
$ touch index.txt .rand
$ chmod 400 .rand
$ cp /modele/openssl.cnf .
+racine$ mkdir racine; cd racine; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand
-Ligne 16:
+Ligne 7:
-. Création de la clé et du certificat auto-signé :
+. Création d'une clef privée 2048 bits, cryptée par un mot de passe :
-Ligne 19:
+Ligne 9:
-$ openssl req -config ./openssl.cnf -new -x509 -text -out ca-cert.pem -days $((20*365))
Generating a 1024 bit RSA private key
.........++++++
.....................................................++++++
writing new private key to 'ca-key.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Code ISO pays (2 lettres) [CA]:
Province ou Region (nom complet) [Quebec]:
+racine$ openssl genrsa -out ca-key.pem -des3 2048
Generating RSA private key, 2048 bit long modulus
......................+++
e is 65537 (0x10001)
Enter pass phrase for ca-key.pem: 
Verifying - Enter pass phrase for ca-key.pem:
}}}
 1. Etablissement de la demande de certificat (qui sera ensuite auto-signé) :
 {{{
racine$ openssl req -config ../openssl.cnf -new -key ca-key.pem -out request-ca-racine.pem -text
Enter pass phrase for ca-key.pem:
(...)
Code ISO du pays (2 lettres) [CA]:
Province ou region (nom complet) [Quebec]:
-Ligne 40:
+Ligne 27:
-Adresse e-mail [rpv@auf.org]:
+Adresse electronique (email) [rpv@auf.org]:
-Ligne 42:
+Ligne 29:
-. Résultats
+. Auto-signature du certificat (on est sur la racine) avec les extensions spécifiques (ca_racine):
-Ligne 44:
+Ligne 31:
-$ ls
ca-cert.pem  ca-key.pem  certs  crlnumber  index.txt  keys  newcerts  openssl.cnf  requests  serial
+racine$ openssl ca -config ../openssl.cnf -in request-ca-racine.pem -out ca-cert.pem -selfsign -keyfile ca-key.pem -extensions ca_racine -days $((10*365))
Using configuration from ../openssl.cnf
Enter pass phrase for ca-key.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
    (...)
Certificate is to be certified until Mar  5 10:20:49 2018 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
-Ligne 47:
+Ligne 44:
-. La clé privée est bien encryptée :
+== Vérification des résultats ==

Examen du certificat produit (vérification des dates et des extensions) :
 Ligne 49:
-$ cat ca-key.pem 
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,2ECD333F18F369EB
+racine$ openssl x509 -text -in ca-cert.pem -noout     # liste de toutes les données du certificat, notamment dates et extensions
racine$ openssl x509 -purpose -in ca-cert.pem -noout  # liste des utilisations possibles du certificat
}}}
-Ligne 54:
+Ligne 53:
-hsGEs99W6Rll5+x2WJlkcoeMpMXihgFaeKErvT/UWor/sJuMkLAZsnP1sRyd/vPf
(...)
DoO4h8lbMXwA6TtOC9uklFghpAmPQpbaYJ8IQMD+YMM=
-----END RSA PRIVATE KEY-----
+= Création d'une AC régionale =

Dans ce qui suit, remplacer `regionX` par le nom abrégé de la région.

 1. Préparation
 {{{
region$ mkdir regionX; cd regionX; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand 
region$ openssl genrsa -out ca-key.pem -des3 2048    # création de la clé
-Ligne 59:
+Ligne 62:
-. Examen du certificat produit (vérification dates et extensions) :
+. Etablissement de la demande de certificat
-Ligne 61:
+Ligne 64:
-$ cat ca-cert.pem 
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            ab:21:06:a3:13:fd:5e:57
        Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=CA, ST=Quebec, L=Montreal, O=AUF, OU=DRI, CN=AUF-AC-RACINE/emailAddress=rpv@auf.org
        Validity
            Not Before: Feb 25 00:01:16 2008 GMT
            Not After : Feb 20 00:01:16 2028 GMT
        Subject: C=CA, ST=Quebec, L=Montreal, O=AUF, OU=DRI, CN=AUF-AC-RACINE/emailAddress=rpv@auf.org
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
            RSA Public Key: (1024 bit)
                Modulus (1024 bit):
                    00:af:08:7d:88:73:55:ba:f2:8e:ce:c0:de:d8:a5:
                    (...)
                    c3:3e:07:98:c7:b7:0d:ba:a7
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Key Identifier: 
                4B:C5:0B:8E:8B:65:F2:6F:05:21:46:B9:16:B7:A8:52:C5:CB:55:33
            X509v3 Authority Key Identifier: 
                keyid:4B:C5:0B:8E:8B:65:F2:6F:05:21:46:B9:16:B7:A8:52:C5:CB:55:33
                DirName:/C=CA/ST=Quebec/L=Montreal/O=AUF/OU=DRI/CN=AUF-AC-RACINE/emailAddress=rpv@auf.org
                serial:AB:21:06:A3:13:FD:5E:57
+region$ openssl req -new -key ca-key.pem -out request-ca-regionX.pem -text -config ../openssl.cnf 
}}}
 1. Le fichier `request-ca-regionX.pem` est la demande : il doit être envoyé à l'autorité de certification racine
-Ligne 89:
+Ligne 68:
-            X509v3 Basic Constraints: critical
                CA:TRUE
    Signature Algorithm: sha1WithRSAEncryption
        24:2f:3b:fa:fc:e0:d8:80:75:73:86:b7:0f:07:1f:05:26:d9:
        (...)
        79:e7
-----BEGIN CERTIFICATE-----
MIIDbzCCAtigAwIBAgIJAKshBqMT/V5XMA0GCSqGSIb3DQEBBQUAMIGBMQswCQYD
(...)
mrdR/A2z3wCg34MlrhXnh+t55w==
-----END CERTIFICATE-----
+'''Sur l'AC racine''', signature de la demande pour création d'un certificat `certs/ca-regionX.pem` :
 {{{
racine$ openssl ca -config ../openssl.cnf -in request-ca-regionX.pem -extensions ca_region -out certs/ca-regionX.pem
-Ligne 101:
+Ligne 72:
+Le fichier `certs/ca-regionX.pem` est renvoyé à l'autorité régionale, qui le renomme `ca-cert.pem` (certificat, à côté de `ca-key.pem` qui est la clé privée correspondante).

/* vérifications ... */

WikiTeki / Modifications de « Projet/PKI/Archives/PKIOpenSSL/CréationDesAutorités »

Création d'une AC racine

Vérification des résultats

Création d'une AC régionale