Zertifikate erstellen (OpenSSL) - Versionsgeschichte

Matt am 2. September 2017 um 11:48 Uhr

2017-09-02T11:48:48Z

@@ Zeile 21: / Zeile 21: @@
 === Subject Alternative Name setzen ===
-Für den Einsatz eines Computerzertifikats um TLS Verbindungen in einem Webserver, z. B. Apache Webserver, abzusichern wird in dem Zertifikat ein Subject Alternative Name benötigt.
+Für den Einsatz eines Computerzertifikats um TLS Verbindungen in einem Webserver, z. B. Apache Webserver, abzusichern wird in dem Zertifikat ein Subject Alternative Name (SAN) benötigt.
-Der Subject Alternative Name wird vom Client
+Vgl. https://en.wikipedia.org/wiki/Subject_Alternative_Name
-Dieser muss in der OpenSSL-Konfigurationsdatei angegeben werden. Dies sieht üblicherweise folgendermaßen aus:
+Der Subject Alternative Name wird vom Client zuerst ausgelesen, und erst im Anschluss wird der Common Name (CN) verwendet. Vgl. https://tools.ietf.org/html/rfc5280#section-4.2.1.6
 === Zertifizierungsanfrage erstellen ===

Matt am 2. September 2017 um 11:07 Uhr

2017-09-02T11:07:11Z

← Nächstältere Version		Version vom 2. September 2017, 13:07 Uhr
Zeile 8:		Zeile 8:
	* Serververbindungen mit TLS absichern (Computerzertifikate)		* Serververbindungen mit TLS absichern (Computerzertifikate)
	* Clients für den Zugriff auf Server mit Zertifikat authentifizieren.		* Clients für den Zugriff auf Server mit Zertifikat authentifizieren.

	==Computer-Zertifikat erstellen==		==Computer-Zertifikat erstellen==

Zeile 18:		Zeile 19:

	Es ist wichtig, als Common Name den Hostnamen des Servers einzugeben. Als Anhaltspunkt kann der Name verwendet werden, der im Browser für den Zugriff auf den Server verwendet wird. Dies kann der Servername im lokalen Netzwerk, der Full Qualified Domain Name (FQDN) oder die IP-Adresse des Servers sein.		Es ist wichtig, als Common Name den Hostnamen des Servers einzugeben. Als Anhaltspunkt kann der Name verwendet werden, der im Browser für den Zugriff auf den Server verwendet wird. Dies kann der Servername im lokalen Netzwerk, der Full Qualified Domain Name (FQDN) oder die IP-Adresse des Servers sein.

			=== Subject Alternative Name setzen ===
			Für den Einsatz eines Computerzertifikats um TLS Verbindungen in einem Webserver, z. B. Apache Webserver, abzusichern wird in dem Zertifikat ein Subject Alternative Name benötigt.

			Der Subject Alternative Name wird vom Client

			Dieser muss in der OpenSSL-Konfigurationsdatei angegeben werden. Dies sieht üblicherweise folgendermaßen aus:

	=== Zertifizierungsanfrage erstellen ===		=== Zertifizierungsanfrage erstellen ===
Zeile 25:		Zeile 33:
	=== Zertifikat signieren ===		=== Zertifikat signieren ===
	Ein Zertifikat kann mit der minimal CA application "ca" erstellt werden:		Ein Zertifikat kann mit der minimal CA application "ca" erstellt werden:
	openssl ca ~~-notext~~ -in csr/computer.csr.pem -out certs/computer.cert.pem		openssl ca -in csr/computer.csr.pem -out certs/computer.cert.pem -notext
	Optional kann mit <code>-md sha512</code> eine andere Message Digest Funktion verwendet werden.		Optional kann mit <code>-md sha512</code> eine andere Message Digest Funktion verwendet werden.

	Alternativ kann es auch mit mit dem Mehrzweck-Zertifikatwerkzeug "X509" erstellt werden:		Damit der Subject Alternative Name im signierten Zertifikat eingefügt wird, muss beim Signieren der Parameter <code>-extensions v3_req</code> verwendet werden. Damit wird der Abschnitt <code>[ v3_req ]</code> aus der OpenSSL-Konfigurationsdatei verarbeitet:
			openssl ca -in csr/computer.csr.pem -out certs/computer.cert.pem -notext -extensions v3_req
			Alternativ kann es auch mit mit dem Mehrzweck-Zertifikatwerkzeug "X509" erstellt werden (ungetestet):
	openssl x509 -req -in zertifikat.csr -CA ca-root.pem -CAkey ca-key.pem -CAcreateserial -out zertifikat-pub.pem -days 365 -sha512		openssl x509 -req -in zertifikat.csr -CA ca-root.pem -CAkey ca-key.pem -CAcreateserial -out zertifikat-pub.pem -days 365 -sha512
	Zugriffsrechte anpassen:		Zugriffsrechte anpassen:
Zeile 34:		Zeile 44:

	=== Zertifikat überprüfen ===		=== Zertifikat überprüfen ===
	~~openssl x509 -noout -text -in certs/computer.cert.pem~~
	Beim erstellten Zertifikat sollten folgende Informationen überprüft werden:		Beim erstellten Zertifikat sollten folgende Informationen überprüft werden:
	* Signature Algorithm		* Signature Algorithm
Zeile 43:		Zeile 52:
	* X509v3 Extensions (v3_ca)		* X509v3 Extensions (v3_ca)
	Diese können folgendermaßen ausgegeben werden:		Diese können folgendermaßen ausgegeben werden:
			openssl x509 -in certs/computer.cert.pem -noout -text

			== Zertifizierungsstellenzertifikat an Zertifikat anhängen ==
			Es kann notwendig sein, dass dem Computer- oder Benutzerzertifikat die Zertifizierungskette angehängt wird, z. B. wenn es eine Zwischen-Zertifizierungsstelle gibt.

			In diesem Fall wird das Zertifikat der Zwischen-Zertifizierungsstelle oder der Stamm-Zertifizierungsstelle an das erstellte Computer- oder Benutzerzertifikat angehängt:
			cat cacert.pem >> certs/computer.cert.pem
	[[Kategorie:Kryptographie]]		[[Kategorie:Kryptographie]]
	[[Kategorie:Terminal]]		[[Kategorie:Terminal]]

	[[Kategorie:OpenSSL]]		[[Kategorie:OpenSSL]]

Matt: /* Zertifikat signieren */

2017-09-01T15:42:00Z

Zertifikat signieren

← Nächstältere Version		Version vom 1. September 2017, 17:42 Uhr
Zeile 25:		Zeile 25:
	=== Zertifikat signieren ===		=== Zertifikat signieren ===
	Ein Zertifikat kann mit der minimal CA application "ca" erstellt werden:		Ein Zertifikat kann mit der minimal CA application "ca" erstellt werden:
	openssl ca -notext ~~-md sha256~~ -in csr/computer.csr.pem -out certs/computer.cert.pem		openssl ca -notext -in csr/computer.csr.pem -out certs/computer.cert.pem
			Optional kann mit <code>-md sha512</code> eine andere Message Digest Funktion verwendet werden.

	Alternativ kann es auch mit mit dem Mehrzweck-Zertifikatwerkzeug "X509" erstellt werden:		Alternativ kann es auch mit mit dem Mehrzweck-Zertifikatwerkzeug "X509" erstellt werden:
	openssl x509 -req -in zertifikat.csr -CA ca-root.pem -CAkey ca-key.pem -CAcreateserial -out zertifikat-pub.pem -days 365 -sha512		openssl x509 -req -in zertifikat.csr -CA ca-root.pem -CAkey ca-key.pem -CAcreateserial -out zertifikat-pub.pem -days 365 -sha512

Matt am 1. September 2017 um 14:27 Uhr

2017-09-01T14:27:09Z

← Nächstältere Version		Version vom 1. September 2017, 16:27 Uhr
Zeile 21:		Zeile 21:
	=== Zertifizierungsanfrage erstellen ===		=== Zertifizierungsanfrage erstellen ===
	Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:		Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:
	openssl req -new -key private/computer.key.pem -out ~~certs~~/computer.csr ~~-sha256~~		openssl req -new -key private/computer.key.pem -out csr/computer.csr.pem

	=== Zertifikat signieren ===		=== Zertifikat signieren ===
			Ein Zertifikat kann mit der minimal CA application "ca" erstellt werden:
			openssl ca -notext -md sha256 -in csr/computer.csr.pem -out certs/computer.cert.pem
			Alternativ kann es auch mit mit dem Mehrzweck-Zertifikatwerkzeug "X509" erstellt werden:
			openssl x509 -req -in zertifikat.csr -CA ca-root.pem -CAkey ca-key.pem -CAcreateserial -out zertifikat-pub.pem -days 365 -sha512
			Zugriffsrechte anpassen:
			chmod 444 certs/computer.cert.pem

	[[Kategorie:Kryptographie]]		=== Zertifikat überprüfen ===
			openssl x509 -noout -text -in certs/computer.cert.pem
			Beim erstellten Zertifikat sollten folgende Informationen überprüft werden:
			* Signature Algorithm
			* Validity Not Before und Not After
			* Public Key Algorithm und Länge des Public Key
			* Issuer
			* Subject
			* X509v3 Extensions (v3_ca)
			Diese können folgendermaßen ausgegeben werden:
			[[Kategorie:Kryptographie]]
	[[Kategorie:Terminal]]		[[Kategorie:Terminal]]

	[[Kategorie:OpenSSL]]		[[Kategorie:OpenSSL]]

Matt: /* Computer-Zertifikat erstellen */

2017-09-01T13:26:45Z

Computer-Zertifikat erstellen

← Nächstältere Version		Version vom 1. September 2017, 15:26 Uhr
Zeile 2:		Zeile 2:

	Die Erstellung einer solchen, selbst signierten Zertifizierungsstelle, ist beschrieben in: [[Zertifizierungsstelle einrichten (OpenSSL)]]		Die Erstellung einer solchen, selbst signierten Zertifizierungsstelle, ist beschrieben in: [[Zertifizierungsstelle einrichten (OpenSSL)]]

			Das Grundsätzliche Vorgehen zur Erstellung von Zertifikaten wird hier beschrieben: [[Grundlagen der PKI]]

	Einsatzmöglichkeiten:		Einsatzmöglichkeiten:
	* Serververbindungen mit TLS absichern		* Serververbindungen mit TLS absichern (Computerzertifikate)
	* Clients für den Zugriff auf Server mit Zertifikat authentifizieren.		* Clients für den Zugriff auf Server mit Zertifikat authentifizieren.
	~~Das Grundsätzliche Vorgehen zur Erstellung von Zertifikaten wird hier beschrieben:~~		==Computer-Zertifikat erstellen==

	==~~Computer-Zertifikat~~ erstellen==		=== Privaten Schlüssel erstellen ===
	Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen:		Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen:
	openssl genrsa -out ~~cert~~.key 2048		cd /dir-to-ca/
	~~Für Server-Zertifikate ist es bei der Beantwortung der Fragen notwendig, als Common Name den Hostnamen des Servers einzugeben~~. ~~Als Anhaltspunkt kann~~ der ~~Name~~ verwendet werden, ~~der im Browser für den Zugriff~~ auf den ~~Server verwendet~~ wird~~. Dies~~ kann ~~der Servername im lokalen Netzwerk, der Full Qualified Domain Name (FQDN) oder die IP-Adresse des Servers sein~~.		openssl genrsa -out private/computer.key.pem 2048
			chmod 400 private/computer.key.pem
			Wenn der Schlüssel für einen Webserver verwendet werden soll, dann empfiehlt es sich, auf den Parameter <code>-aes256</code> zu verzichten, da sonst bei einem Serverneustart das Passwort abgefragt wird, und diese Frage üblicherweise kein User beantworten kann.

			Es ist wichtig, als Common Name den Hostnamen des Servers einzugeben. Als Anhaltspunkt kann der Name verwendet werden, der im Browser für den Zugriff auf den Server verwendet wird. Dies kann der Servername im lokalen Netzwerk, der Full Qualified Domain Name (FQDN) oder die IP-Adresse des Servers sein.

			=== Zertifizierungsanfrage erstellen ===
	Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:		Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:
	openssl req -new -key ~~cert~~.key -out ~~cert~~.csr -sha256		openssl req -new -key private/computer.key.pem -out certs/computer.csr -sha256

			=== Zertifikat signieren ===

	[[Kategorie:Kryptographie]]		[[Kategorie:Kryptographie]]
			[[Kategorie:Terminal]]

	~~[[Kategorie:Terminal]]~~		[[Kategorie:OpenSSL]]
	[[Kategorie:OpenSSL]]

Matt am 1. September 2017 um 12:20 Uhr

2017-09-01T12:20:42Z

← Nächstältere Version		Version vom 1. September 2017, 14:20 Uhr
Zeile 1:		Zeile 1:
	Dieser Artikel beschäftigt sich damit, wie OpenSSL Schlüssel und Zertifikate erstellt werden können~~, die durch~~ eine ~~eigene, selbst signierte~~ Zertifizierungsstelle~~, signiert werden~~.		Dieser Artikel beschäftigt sich damit, wie mit OpenSSL Schlüssel und Computer- oder Benutzer-Zertifikate erstellt werden können. Hierfür wird eine Zertifizierungsstelle benötigt.

	Die Erstellung einer solchen Zertifizierungsstelle ist ~~hier~~ beschrieben: [[Zertifizierungsstelle einrichten (OpenSSL)]]		Die Erstellung einer solchen, selbst signierten Zertifizierungsstelle, ist beschrieben in: [[Zertifizierungsstelle einrichten (OpenSSL)]]

			Einsatzmöglichkeiten:
			* Serververbindungen mit TLS absichern
			* Clients für den Zugriff auf Server mit Zertifikat authentifizieren.
			Das Grundsätzliche Vorgehen zur Erstellung von Zertifikaten wird hier beschrieben:

	==Computer-Zertifikat erstellen==		==Computer-Zertifikat erstellen==

Matt am 1. September 2017 um 10:28 Uhr

2017-09-01T10:28:38Z

← Nächstältere Version		Version vom 1. September 2017, 12:28 Uhr
Zeile 1:		Zeile 1:
			Dieser Artikel beschäftigt sich damit, wie OpenSSL Schlüssel und Zertifikate erstellt werden können, die durch eine eigene, selbst signierte Zertifizierungsstelle, signiert werden.

			Die Erstellung einer solchen Zertifizierungsstelle ist hier beschrieben: [[Zertifizierungsstelle einrichten (OpenSSL)]]

	==Computer-Zertifikat erstellen==		==Computer-Zertifikat erstellen==
	Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen:		Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen:

Matt am 31. August 2017 um 22:31 Uhr

2017-08-31T22:31:30Z

← Nächstältere Version		Version vom 1. September 2017, 00:31 Uhr
Zeile 6:		Zeile 6:
	Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:		Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:
	openssl req -new -key cert.key -out cert.csr -sha256		openssl req -new -key cert.key -out cert.csr -sha256
	[[Kategorie:~~Debian~~]]
	[[Kategorie:~~Kryptographie~~]]		[[Kategorie:Kryptographie]]
	[[Kategorie:~~Terminal~~]]
			[[Kategorie:Terminal]]
			[[Kategorie:OpenSSL]]

Matt: Matt verschob die Seite Zertifikate erstellen (Debian) nach Zertifikate erstellen (OpenSSL), ohne dabei eine Weiterleitung anzulegen

2017-08-31T22:30:08Z

Matt verschob die Seite Zertifikate erstellen (Debian) nach Zertifikate erstellen (OpenSSL), ohne dabei eine Weiterleitung anzulegen

← Nächstältere Version	Version vom 1. September 2017, 00:30 Uhr
(kein Unterschied)

Matt: Die Seite wurde neu angelegt: „==Computer-Zertifikat erstellen== Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen: openssl genrsa -out cert.key 2048 Für Server-Zerti…“

2017-08-31T22:23:47Z

Die Seite wurde neu angelegt: „==Computer-Zertifikat erstellen== Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen: openssl genrsa -out cert.key 2048 Für Server-Zerti…“

Neue Seite

==Computer-Zertifikat erstellen==
Privaten Schlüssel "cert.key" mit Schlüssellänge 2048 Byte erstellen:
openssl genrsa -out cert.key 2048
Für Server-Zertifikate ist es bei der Beantwortung der Fragen notwendig, als Common Name den Hostnamen des Servers einzugeben. Als Anhaltspunkt kann der Name verwendet werden, der im Browser für den Zugriff auf den Server verwendet wird. Dies kann der Servername im lokalen Netzwerk, der Full Qualified Domain Name (FQDN) oder die IP-Adresse des Servers sein.

Zertifikatsanfrage (CSR = Certificate Signing Request) erstellen:
openssl req -new -key cert.key -out cert.csr -sha256
[[Kategorie:Debian]]
[[Kategorie:Kryptographie]]
[[Kategorie:Terminal]]