Com ser la vostra pròpia autoritat certificadora (amb imatges)

2024 Autora: Gilbert Ryder | [email protected]. Última modificació: 2024-02-02 01:07

Obtenir un certificat SSL de qualsevol de les principals autoritats de certificació (CA) pot generar 100 $ o més. Afegiu a la barreja notícies que semblen indicar que no es pot confiar en totes les CA establertes el 100% del temps i que podríeu decidir eludir la incertesa i esborrar el cost per ser la vostra pròpia autoritat de certificació.

Passos

Part 1 de 4: Creació del certificat de CA

Pas 1. Genereu la clau privada de la vostra CA emetent l'ordre següent

• openssl genrsa -des3 -out server. CA.key 2048

• Les opcions explicades

  • openssl: el nom del programari
  • genrsa: crea una nova clau privada
  • -des3: xifra la clau mitjançant el xifratge DES
  • -out server. CA.key: el nom de la vostra nova clau
  • 2048: la longitud, en bits, de la clau privada (vegeu els advertiments)
• Emmagatzemeu aquest certificat i la contrasenya en un lloc segur.

Pas 2. Creeu una sol·licitud de signatura de certificats

• openssl req -verbose -new -key server. CA.key -out server. CA.csr -sha256

• Les opcions explicades:

  • req: crea una sol·licitud de signatura
  • -verbose: mostra detalls sobre la sol·licitud a mesura que s'està creant (opcional)
  • -new: crea una nova sol·licitud
  • -key server. CA.key: la clau privada que acabeu de crear més amunt.
  • -out server. CA.csr: el nom del fitxer de la sol·licitud de signatura que esteu creant
  • sha256: l'algorisme de xifratge que s'utilitzarà per signar sol·licituds (si no sabeu què és això, no canvieu això. Només hauríeu de canviar-ho si sabeu què feu)

Pas 3. Empleneu la informació tant com sigui possible

• Nom del país (codi de 2 lletres) [AU]:

  NOSALTRES

• Nom de l'estat o província (nom complet) [Alguns estats]:

  CA

• Nom de la localitat (per exemple, ciutat) :

  Silicon Valley

• Nom de l'organització (per exemple, empresa) [Internet Widgits Pty Ltd]:

  wikiHow, Inc.

• Nom de la unitat organitzativa (per exemple, secció) :

• Nom comú (per exemple, FQDN del servidor o el vostre nom) :

• Correu electrònic :

  

  Pas 4. Auto-signar el certificat:

  • openssl ca -extensions v3_ca -out server. CA-signed.crt -keyfile server. CA.key -verbose -selfsign -md sha256 -enddate 330630235959Z -infiles server. CA.csr

  • Les opcions explicades:

    • ca - Carrega el mòdul Autoritat certificadora
    • -extension v3_ca: carrega l'extensió v3_ca, imprescindible per utilitzar en navegadors moderns
    • -out server. CA-signed.crt: el nom de la vostra nova clau signada
    • -keyfile server. CA.key: la clau privada que heu creat al pas 1
    • -verbose: mostra detalls sobre la sol·licitud a mesura que s'està creant (opcional)
    • -signatura: indica a openssl que utilitzeu la mateixa clau per signar la sol·licitud
    • -md sha256: l'algorisme de xifratge que s'utilitzarà per al missatge. (Si no sabeu què és això, no canvieu això. Només hauríeu de canviar-ho si sabeu què feu)
    • -enddate 330630235959Z - La data de finalització del certificat. La notació és YYMMDDHHMMSSZ on Z es troba en GMT, de vegades conegut com a temps "Zulu".
    • -infiles server. CA.csr: el fitxer de sol·licitud de signatura que heu creat el pas anterior.

  

  Pas 5. Inspeccioneu el certificat de CA

  • openssl x509 -noout -text -in server. CA.crt

  • Les opcions explicades:

    • x509: carrega el mòdul x509 per inspeccionar els certificats signats.
    • -noout: no publiqueu el text codificat
    • -text: emet la informació a la pantalla
    • -in server. CA.crt: carregueu el certificat signat
  • El fitxer server. CA.crt es pot distribuir a tothom que faci servir el vostre lloc web o utilitzi certificats que tingueu previst signar.

  Part 2 de 4: Creació de certificats SSL per a un servei, com ara Apache

  

  Pas 1. Creeu una clau privada

  • openssl genrsa -des3 -out server.apache.key 2048

  • Les opcions explicades:

    • openssl: el nom del programari
    • genrsa: crea una nova clau privada
    • -des3: xifra la clau mitjançant el xifratge DES
    • -out server.apache.key: el nom de la vostra nova clau
    • 2048: la longitud, en bits, de la clau privada (vegeu els advertiments)
  • Emmagatzemeu aquest certificat i la contrasenya en un lloc segur.

  

  Pas 2. Creeu una sol·licitud de signatura de certificats

  • openssl req -verbose -new -key server.apache.key -out server.apache.csr -sha256

  • Les opcions explicades:

    • req: crea una sol·licitud de signatura
    • -verbose: mostra detalls sobre la sol·licitud a mesura que s'està creant (opcional)
    • -new: crea una nova sol·licitud
    • -key server.apache.key: la clau privada que acabeu de crear anteriorment.
    • -out server.apache.csr: el nom del fitxer de la sol·licitud de signatura que esteu creant
    • sha256: l'algorisme de xifratge que s'utilitzarà per signar sol·licituds (si no sabeu què és això, no canvieu això. Només hauríeu de canviar-ho si sabeu què feu)

  

  Pas 3. Utilitzeu el certificat de CA per signar la nova clau

  • openssl ca -out server.apache.pem -keyfile server. CA.key -infiles server.apache.csr

  • Les opcions explicades:

    • ca - Carrega el mòdul Autoritat certificadora
    • -out server.apache.pem: el nom del fitxer del certificat signat
    • -keyfile server. CA.key: el nom del fitxer del certificat de CA que signarà la sol·licitud
    • -infiles server.apache.csr - El nom del fitxer de la sol·licitud de signatura de certificats

  

  Pas 4. Empleneu la informació tant com sigui possible:

  • Nom del país (codi de 2 lletres) [AU]:

    NOSALTRES

  • Nom de l'estat o província (nom complet) [Alguns estats]:

    CA

  • Nom de la localitat (per exemple, ciutat) :

    Silicon Valley

  • Nom de l'organització (per exemple, empresa) [Internet Widgits Pty Ltd]:

    wikiHow, Inc.

  • Nom de la unitat organitzativa (per exemple, secció) :

  • Nom comú (per exemple, FQDN del servidor o EL VOSTRE nom) :

  • Correu electrònic :

    

    Pas 5. Deseu una còpia de la vostra clau privada en una altra ubicació

    Creeu una clau privada sense contrasenya per evitar que Apache us demani una contrasenya:

    • openssl rsa -in server.apache.key -out server.apache.unsecured.key

    • Les opcions explicades:

      • rsa: executa el programa de xifratge RSA
      • -in server.apache.key - El nom de la clau que voleu convertir.
      • -out server.apache.unsecured.key - El nom del fitxer de la nova clau no protegida

    

    Pas 6. Utilitzeu el fitxer resultant server.apache.pem juntament amb la clau privada que heu generat al pas 1 per configurar el fitxer apache2.conf

    Part 3 de 4: Creació d'un certificat d'usuari per a l'autenticació

    

    Pas 1. Seguiu tots els passos de _Creació de certificats SSL per a Apache_

    

    Pas 2. Converteix el certificat signat en un PKCS12

    openssl pkcs12 -export -in user_cert.pem -inkey user_private_key.pem -out user_cert.p12

    Part 4 de 4: Creació de certificats de correu electrònic S / MIME

    

    Pas 1. Creeu una clau privada

    openssl genrsa -des3 -out private_email.key 2048

    

    Pas 2. Creeu una sol·licitud de signatura de certificats

    openssl req -new -key private_email.key -out private_email.csr

    

    Pas 3. Utilitzeu el certificat de CA per signar la nova clau

    openssl ca -out private_email.pem -keyfile server. CA.key -infiles private_email.csr

    

    Pas 4. Convertiu el certificat a PKCS12

    openssl pkcs12 -export -in private_email.crt -inkey private_email.key -out private_email.p12

    

    Pas 5. Creeu un certificat de clau pública per distribuir-lo

    openssl pkcs12 -export -out public_cert.p12 -in private_email.pem -clcerts -nokeys -name "Clau pública de WikiHow"

    Consells

    Podeu variar el contingut de les claus PEM mitjançant l'ordre següent: openssl x509 -noout -text -in certificate.pem

    Advertiments

    • Les claus de 1024 bits es consideren obsoletes. Les claus de 2048 bits es consideren segures per als certificats d’usuari fins al 2030, però es consideren insuficients per als certificats arrel. Penseu en aquestes vulnerabilitats a mesura que creeu els vostres certificats.
    • Per defecte, la majoria dels navegadors moderns mostraran un avís de "Certificat no fiable" quan algú visiti el vostre lloc. Hi ha hagut un gran debat sobre la redacció d’aquestes advertències, ja que els usuaris no tècnics poden ser capturats desprevinguts. Sovint és millor utilitzar una autoritat important perquè els usuaris no rebin els avisos.