4626
Commentaire: certif serveur
|
4093
clé + req en même temps
|
Texte supprimé. | Texte ajouté. |
Ligne 1: | Ligne 1: |
Lectures : * http://www.hsc.fr/ressources/breves/ssl_configuration.html.fr * http://www.faqs.org/rfcs/rfc2459.html miam miam que du bonheur Fichier openssl.cnf modèle (en cours d'écriture) : [[attachment:openssl.cnf]] |
|
Ligne 14: | Ligne 7: |
1. Création d'une clef privée 2048 bits, cryptée par un mot de passe : | 1. Création d'une clef privée 2048 bits (cryptée par un mot de passe) et d'une requête de certificat : |
Ligne 16: | Ligne 9: |
racine$ openssl genrsa -out ca-key.pem -des3 2048 | racine$ openssl req -config ../openssl.cnf -newkey rsa:2048 -out request-ca-racine.pem |
Ligne 22: | Ligne 15: |
}}} 1. Création du certificat auto-signé (on est sur la racine) avec les extensions spécifiques : {{{ racine$ openssl req -new -x509 -key ca-key.pem -out ca-cert.pem -text -config ../openssl.cnf -extensions ca_racine -days $((20*365)) Enter pass phrase for ca-key.pem: |
|
Ligne 36: | Ligne 24: |
1. Auto-signature du certificat (on est sur la racine) avec les extensions spécifiques (ca_racine): {{{ racine$ openssl ca -config ../openssl.cnf -selfsign -extensions ca_racine -in request-ca-racine.pem -out ca-cert.pem Using configuration from ../openssl.cnf Enter pass phrase for ca-key.pem: Check that the request matches the signature Signature ok Certificate Details: (...) Certificate is to be certified until Mar 5 10:20:49 2018 GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated }}} |
|
Ligne 37: | Ligne 40: |
== Résultats == | Note : pour ceux qui connaissent openvpn, on pourrait faire le tout en une seule étape, sans passer par une requête de certificat. Mais en utilisant la technique requête + auto-signature, le certificat auto-signé se retrouve dans la ligne des certificats signés par l'AC (fichier `index.txt`). Je trouve ça plus joli... |
Ligne 39: | Ligne 42: |
1. La clé privée est bien encryptée : | '''Pour aller encore plus vite :''' |
Ligne 41: | Ligne 44: |
racine$ cat ca-key.pem -----BEGIN RSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED DEK-Info: DES-EDE3-CBC,4BD4AF9549CA734C |
$ export OPENSSL_CONF=/repertoire/de/openssl.cnf $ mkdir racine; cd racine; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand $ openssl req -newkey rsa:2048 -out request-ca-racine.pem $ openssl ca -selfsign -extensions ca_racine -in request-ca-racine.pem -out ca-cert.pem }}} |
Ligne 46: | Ligne 50: |
hsGEs99W6Rll5+x2WJlkcoeMpMXihgFaeKErvT/UWor/sJuMkLAZsnP1sRyd/vPf (...) DoO4h8lbMXwA6TtOC9uklFghpAmPQpbaYJ8IQMD+YMM= -----END RSA PRIVATE KEY----- }}} 1. Examen du certificat produit (vérification dates et extensions) : |
== Vérification des résultats == Examen du certificat produit (vérification des dates et des extensions) : |
Ligne 59: | Ligne 60: |
Dans ce qui suit, remplacer `regionX` par le nom abrégé de la région. |
|
Ligne 62: | Ligne 65: |
region$ openssl genrsa -out ca-key.pem -des3 2048 # création de la clé | |
Ligne 64: | Ligne 66: |
1. Etablissement de la demande de certificat | 1. Création de la clé (cryptée par un mot de passe) et établissement de la demande de certificat : |
Ligne 66: | Ligne 68: |
region$ openssl req -new -key ca-key.pem -out ca-request.pem -text -config ../openssl.cnf | region$ openssl req -config ../openssl.cnf -newkey rsa:2048 -out request-ca-region.pem Generating RSA private key, 2048 bit long modulus ......................+++ e is 65537 (0x10001) Enter pass phrase for ca-key.pem: Verifying - Enter pass phrase for ca-key.pem: (... exemple pour le BAO ...) Code ISO du pays (2 lettres) [CA]:SN Province ou region (nom complet) [Quebec]:. Ville (nom complet) [Montreal]:Dakar Organisation [AUF]: Unite (implantation, service, programme, ...) [DRI]: Nom canonique (TOUJOURS TRES IMPORTANT) [AUF-AC-RACINE]:AUF-AC-BAO Adresse electronique (email) [rpv@auf.org]: |
Ligne 68: | Ligne 83: |
1. Le fichier `ca-request.pem` est la demande : il doit être envoyé à l'autorité de certification racine | 1. Le fichier `request-ca-regionX.pem` est la demande : il doit être envoyé à l'autorité de certification racine |
Ligne 72: | Ligne 87: |
racine$ openssl ca -out certs/ca-regionX.pem -config ../openssl.cnf -extensions ca_region -infiles ca-req-BAO.pem | racine$ openssl ca -config ../openssl.cnf -in request-ca-regionX.pem -extensions ca_region -out certs/ca-regionX.pem |
Ligne 75: | Ligne 90: |
Le fichier `certs/ca-regionX.pem` est renvoyé à l'autorité régionale, qui le renomme `ca-cert.pem`. /* vérifications ... */ = Emission de certificats = == Serveur == Sur la machine cible, création de la clé et de la demande de certificat : {{{ serveur$ openssl genrsa -out serveur-key.pem -des3 1024 serveur$ openssl req -new -key serveur-key.pem -out serveur-request.pem -config ../openssl.cnf Enter pass phrase for serveur-key.pem: (...) Code ISO du pays (2 lettres) [CA]: GN Province ou region (nom complet) [Quebec]: . Ville (nom complet) [Montreal]: Conakry Organisation [AUF]: Unite (implantation, service, programme, ...) [DRI]: Nom canonique (TOUJOURS TRES IMPORTANT) [AUF-AC-RACINE]: www.gn.auf.org Adresse electronique (email) [rpv@auf.org]: www@gn.auf.org }}} La demande `serveur-request.pem` doit être envoyée à l'autorité régionale, qui la signera pour en faire un certificat. '''Sur l'AC régionale''', signature de la demande et création du certificat `certs/serveur.pem` : {{{ region$ openssl ca -config ../openssl.cnf -extensions server -out certs/serveur-cert.pem -infiles serveur-request.pem }}} Le certificat `certs/serveur-cert.pem` est alors renvoyé au serveur. Note 1 : par défaut la clé `serveur-key.pem` générée sur le serveur est cryptée. Cela peut être problématique si elle doit être utilisée par un serveur qui doit démarrer automatiquement. Dans ce cas on peut vouloir obtenir une version non cryptée de la clé : `openssl rsa -in serveur-key.pem -out serveur-clear.pem` Cas d'un serveur à multiple noms (virtualhost sur une seule IP) : à écrire. = Gestion des cRLs = = fabrication du CAPath AUF = = Transfert des données = /* un petit blabla sur les bonnes façons (les moins pires) de transférer et valider la transmission des demandes et des certificats */ |
Le fichier `certs/ca-regionX.pem` est renvoyé à l'autorité régionale, qui le renomme `ca-cert.pem` : c'est le certificat, à côté de `ca-key.pem` qui est la clé privée correspondante. |
Création d'une AC racine
- Préparation
racine$ mkdir racine; cd racine; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand
- Création d'une clef privée 2048 bits (cryptée par un mot de passe) et d'une requête de certificat :
racine$ openssl req -config ../openssl.cnf -newkey rsa:2048 -out request-ca-racine.pem Generating RSA private key, 2048 bit long modulus ......................+++ e is 65537 (0x10001) Enter pass phrase for ca-key.pem: Verifying - Enter pass phrase for ca-key.pem: (...) Code ISO du pays (2 lettres) [CA]: Province ou region (nom complet) [Quebec]: Ville (nom complet) [Montreal]: Organisation [AUF]: Unite (implantation, service, programme, ...) [DRI]: Nom canonique (TOUJOURS TRES IMPORTANT) [AUF-AC-RACINE]: Adresse electronique (email) [rpv@auf.org]:
- Auto-signature du certificat (on est sur la racine) avec les extensions spécifiques (ca_racine):
racine$ openssl ca -config ../openssl.cnf -selfsign -extensions ca_racine -in request-ca-racine.pem -out ca-cert.pem Using configuration from ../openssl.cnf Enter pass phrase for ca-key.pem: Check that the request matches the signature Signature ok Certificate Details: (...) Certificate is to be certified until Mar 5 10:20:49 2018 GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated
Note : pour ceux qui connaissent openvpn, on pourrait faire le tout en une seule étape, sans passer par une requête de certificat. Mais en utilisant la technique requête + auto-signature, le certificat auto-signé se retrouve dans la ligne des certificats signés par l'AC (fichier index.txt). Je trouve ça plus joli...
Pour aller encore plus vite :
$ export OPENSSL_CONF=/repertoire/de/openssl.cnf $ mkdir racine; cd racine; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand $ openssl req -newkey rsa:2048 -out request-ca-racine.pem $ openssl ca -selfsign -extensions ca_racine -in request-ca-racine.pem -out ca-cert.pem
Vérification des résultats
Examen du certificat produit (vérification des dates et des extensions) :
racine$ openssl x509 -text -in ca-cert.pem -noout # liste de toutes les données du certificat, notamment dates et extensions racine$ openssl x509 -purpose -in ca-cert.pem -noout # liste des utilisations possibles du certificat
Création d'une AC régionale
Dans ce qui suit, remplacer regionX par le nom abrégé de la région.
- Préparation
region$ mkdir regionX; cd regionX; mkdir certs newcerts ; echo 01 > serial ; echo 01 > crlnumber ; touch index.txt .rand
- Création de la clé (cryptée par un mot de passe) et établissement de la demande de certificat :
region$ openssl req -config ../openssl.cnf -newkey rsa:2048 -out request-ca-region.pem Generating RSA private key, 2048 bit long modulus ......................+++ e is 65537 (0x10001) Enter pass phrase for ca-key.pem: Verifying - Enter pass phrase for ca-key.pem: (... exemple pour le BAO ...) Code ISO du pays (2 lettres) [CA]:SN Province ou region (nom complet) [Quebec]:. Ville (nom complet) [Montreal]:Dakar Organisation [AUF]: Unite (implantation, service, programme, ...) [DRI]: Nom canonique (TOUJOURS TRES IMPORTANT) [AUF-AC-RACINE]:AUF-AC-BAO Adresse electronique (email) [rpv@auf.org]:
Le fichier request-ca-regionX.pem est la demande : il doit être envoyé à l'autorité de certification racine
Sur l'AC racine, signature de la demande pour création d'un certificat certs/ca-regionX.pem :
racine$ openssl ca -config ../openssl.cnf -in request-ca-regionX.pem -extensions ca_region -out certs/ca-regionX.pem
Le fichier certs/ca-regionX.pem est renvoyé à l'autorité régionale, qui le renomme ca-cert.pem : c'est le certificat, à côté de ca-key.pem qui est la clé privée correspondante.