Benutzer-Werkzeuge
fortgeschrittene:ssl
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen gezeigt.
| Beide Seiten, vorherige Überarbeitung Vorherige Überarbeitung Nächste Überarbeitung | Vorherige Überarbeitung | ||
|
fortgeschrittene:ssl [2018/10/11 23:26] ingo_wichmann [Als root ein Server-Zertifikat beantragen] |
fortgeschrittene:ssl [2025/11/14 12:52] (aktuell) |
||
|---|---|---|---|
| Zeile 1: | Zeile 1: | ||
| + | TODO: Lösung auf Basis von CFSSL, Boulder oder Consul evaluieren (( https://www.heise.de/select/ix/2019/1/1545992707007070 )) | ||
| + | |||
| + | ====== Links ====== | ||
| + | * [[https://crt.sh|Log aller ausgestellten Zertifikate]] | ||
| + | * [[https://www.feistyduck.com/library/openssl-cookbook/online/|OpenSSL Cookbook by Ivan Ristić/Feisty Duck]] | ||
| + | |||
| ====== OpenSSL ====== | ====== OpenSSL ====== | ||
| ===== Diffie Hellman Schlüsselaustausch vorbereiten ===== | ===== Diffie Hellman Schlüsselaustausch vorbereiten ===== | ||
| Zeile 10: | Zeile 16: | ||
| * welche Bitlänge haben die Diffie Hellman Parameter? | * welche Bitlänge haben die Diffie Hellman Parameter? | ||
| + | Doku: | ||
| + | * https://blog.zeit.de/mathe/allgemein/daten-verschluesselung-mathe/ | ||
| + | * https://weakdh.org/sysadmin.html | ||
| ===== Selbstsignierte Server Zertifikate bauen ===== | ===== Selbstsignierte Server Zertifikate bauen ===== | ||
| - | openssl req -new -newkey rsa -nodes -subj /C=DE/ST=NRW/L=Essen/O=Linuxhotel/CN=notebook15.linuxhotel.de -keyout serverkey.pem -out serverreq.csr | + | openssl req -new -newkey rsa:4096bits -sha512 -x509 -nodes -subj /C=DE/ST=NRW/L=Essen/O=Linuxhotel/CN=notebook15.linuxhotel.de -keyout server.key -out server.crt |
| ((https://bettercrypto.org empfiehlt 4096 Bit)) | ((https://bettercrypto.org empfiehlt 4096 Bit)) | ||
| Zeile 27: | Zeile 36: | ||
| ===== Server Zertifikat und CA selbst bauen ===== | ===== Server Zertifikat und CA selbst bauen ===== | ||
| - | ==== Als root Vorgabewerte setzen ==== | + | ==== nutzer ca anlegen ==== |
| + | useradd -s /bin/bash -m ca | ||
| + | ==== Als Nutzer ca eine Beispiel CA erstellen ==== | ||
| + | TODO: ca und intermediate-ca bauen. ca signiert nur intermediate-ca. intermediate-ca signiert server-zertifikate. | ||
| + | |||
| ''/etc/ssl/openssl.cnf'' : ( SuSE 10.2, ab Debian 4.0 ) | ''/etc/ssl/openssl.cnf'' : ( SuSE 10.2, ab Debian 4.0 ) | ||
| Zeile 52: | Zeile 65: | ||
| … | … | ||
| - | [ policy_match ] | + | # TODO: brauchen wir das? |
| - | countryName = optional | + | #[ policy_match ] |
| - | stateOrProvinceName = optional | + | #countryName = optional |
| - | organizationName = optional | + | #stateOrProvinceName = optional |
| + | #organizationName = optional | ||
| … | … | ||
| - | [ req_distinguished_name ] | + | [ v3_ca ] |
| - | countryName = Country Name (2 letter code) | + | … |
| - | countryName_default = DE | + | basicConstraints = critical,CA:false |
| - | stateOrProvinceName = State or Province Name (full name) | + | |
| - | stateOrProvinceName_default = NRW | + | |
| - | localityName = Locality Name (eg, city) | + | |
| - | localityName_default = Essen | + | |
| - | 0.organizationName = Organization Name (eg, company) | + | |
| - | 0.organizationName_default = Linuxhotel | + | |
| </file> | </file> | ||
| - | useradd -s /bin/bash -m ca | + | Verzeichnisse und Dateien für die CA: |
| - | ==== Als Nutzer ca eine Beispiel CA erstellen ==== | + | |
| - | TODO: ca und intermediate-ca bauen. ca signiert nur intermediate-ca. intermediate-ca signiert server-zertifikate. | + | |
| - | + | ||
| - | Verzeichnisse und Dateien fuer die CA: | + | |
| su - ca | su - ca | ||
| mkdir -p ca.linuxhotel.de/{private,newcerts} | mkdir -p ca.linuxhotel.de/{private,newcerts} | ||
| Zeile 159: | Zeile 162: | ||
| su - ca | su - ca | ||
| openssl ca -in serverreq.csr -out servercert.pem | openssl ca -in serverreq.csr -out servercert.pem | ||
| + | oder mit X509v3 extensions (z.B. für Subject Alternative Name) | ||
| + | openssl ca -extensions v3_ca -in serverreq.csr -out servercert.pem | ||
| + | | ||
| Anzeigen des Server-Zertifikats: | Anzeigen des Server-Zertifikats: | ||
| openssl x509 -in servercert.pem -text | less | openssl x509 -in servercert.pem -text | less | ||
| Zeile 497: | Zeile 502: | ||
| //openssl s_server muss noch laufen// | //openssl s_server muss noch laufen// | ||
| openssl s_client -connect localhost:4433 -CAfile /home/ca/ca.linuxhotel.de/cacert.pem | openssl s_client -connect localhost:4433 -CAfile /home/ca/ca.linuxhotel.de/cacert.pem | ||
| + | |||
| + | ====== Debian Snakeoil ====== | ||
| + | Voraussetzung: FQDN korrekt im DNS eingetragen | ||
| + | |||
| + | Debian: ''ssl-cert'' | ||
| + | |||
| + | Zertifikat anzeigen: | ||
| + | openssl x509 -in /etc/ssl/certs/ssl-cert-snakeoil.pem -text | less | ||
| ====== Links and Doku ====== | ====== Links and Doku ====== | ||
| Zeile 504: | Zeile 517: | ||
| * [[ http://www.cacert.org | caCert: kostenlose, Web-of-trust-basierte Zertifikate ]] | * [[ http://www.cacert.org | caCert: kostenlose, Web-of-trust-basierte Zertifikate ]] | ||
| * [[ http://portecle.sourceforge.net/ | portecle: GUI application for creating, managing and examining keystores, keys, certificates, certificate requests, certificate revocation lists and more. ]] | * [[ http://portecle.sourceforge.net/ | portecle: GUI application for creating, managing and examining keystores, keys, certificates, certificate requests, certificate revocation lists and more. ]] | ||
| - | * http://math.cmu.edu/~svasey/old-homepage-archive-2013/projects/software-usage-notes/ssl_en.html | ||
fortgeschrittene/ssl.1539300419.txt.gz · Zuletzt geändert: 2018/10/11 23:26 von ingo_wichmann
Seiten-Werkzeuge
Falls nicht anders bezeichnet, ist der Inhalt dieses Wikis unter der folgenden Lizenz veröffentlicht: CC Attribution-Noncommercial-Share Alike 4.0 International
