SSL-Certs erstellen und mit eigener CA signieren

06. Oct 2009, 19:54

Inhalt: Zertifizierungsstelle einrichten | Zertifikat erstellen | Apache mit SSL

Zurück zum spannenden Thema Verschlüsselung! Heute gibt's eine Anleitung wie man seine eigenen SSL-Zertifikate erstellt und damit die Kommunikation zwischen Server (hier Apache) und Client verschlüsselt.

Natürlich kommen wir um ein paar wenige Pakete nicht herum:

Wir nutzen zum Erstellen und bearbeiten der Zertifikate das Perl-Script, welches mit dem Paket openssl geliefert wird. Wo sich dieses genau befindet ermittelt man am einfachsten mit einem locate:

Bei mir war es also in /usr/lib/ssl/misc/, ich habe es der Einfachheit halber in mein Arbeitsverzeichnis verlinkt.
Die globale Konfiguration kann man in der Datei /etc/ssl/openssl.cnf vornehmen, ich habe nur die default_bits im [ req ]-Bereich auf 4096 gesetzt und die Default-Attribute in [ req_distinguished_name ] Angepasst, damit werden Zertifikate standardmäßig 4096 Bits groß und die Zertifikats-Attribute werden schon mit sinnvollen Inhalten besetzt, so dass man die Default-Einträge beim erstellen mit einem Return einfach bestätigen kann. Bin nun mal recht Faul was solche Geschichten betrifft!

Zertifizierungsstelle einrichten top

Soviel zur Vorarbeit, jetzt geht's ans Eingemachte! Zu Beginn richten wir uns eine sogenannte Zertifizierungsstelle (Certificate Authority, kurz CA) ein, von der wir dann unsere Zertifikate herausgeben.

In den hervorgehobenen Zeilen erwartet das Script eine Eingabe. Da es hier um Sicherheit geht wird natürlich als aller erstes ein Passwort in Zeile 9 und 10 festgelegt. Mit diesem authentifizieren wir uns dann als Inhaber der CA. Danach erstellen wir unser Root-Zertifikat (Zeile 19-31). Mit den Attributen, die abgefragt werden, identifizieren wir nun unsere Maschine, die DEFAULT's kommen aus der /etc/ssl/openssl.cnf und stimmen bei mir, kann ich also einfach bestätigen, ansonsten übergibt man einfach einen alternativen Wert. Den Common Name setzt man natürlich für jede Maschine anders, daher habe ich hier keinen Default-Wert, mein Rechner heisst abakus, also wird das Root-Zertifikat für abakus ausgestellt.
Das nächste Passwort sollte man nicht setzten (leer lassen), dieses benötigt man ansonsten um das Zertifikat benutzen zu können.
Jetzt wird das Zertifikat noch mit dem Passwort der CA bestätigt (dieses wurde als erstes abgefragt) und ggf. angelegt.
Ein Blick in das Verzeichnis zeigt einen neuen Ordner, in dem die Ordnerstruktur für die Zertifikate erstellt wurde.

Zertifikat erstellen top

Als Inhaber einer Zertifizierungsstelle können wir nun unser erstes eigenes Zertifikat herausgeben. Dies geschieht mit dem selben Perl-Script:

Damit haben wir einen Antrag für ein Zertifikat erstellt. Die Fragen sollten natürlich wieder ordnungsgemäß beantwortet werden, ein Challenge-Passwort sollte man auch hier nicht vergeben, sonst müsste der Apache immer ein Passwort angeben wenn er das Zertifikat benutzen will.

Diesen Antrag schicken wir nun zur Zertifizierungsstelle (wir selbst, gleicher Ordner) und lassen den Antrag unterschrieben (wir Fachleute nennen das signieren ;-) ):

Zum signieren, wer hätte es gedacht, brauchen wir wieder das Passwort der CA. Danach werden nochmal alle Details des Zertifikates angezeigt, welche man sich genaustens anschauen sollte! Ein Zertifikat später zu widerrufen ist auch nicht ganz trivial, erklär ich vielleicht das nächste Mal.
Sind alle Angaben korrekt wird noch eine Sicherheitsabfrage mit y bestätigt und wir haben ein vollwertiges Zertifikat!

Was sind denn das nun für Dateien in dem Ordner?
Ok, gehen wir mal durch:

• CA.pl ist das Script, welches uns die Arbeit mit den Zertifikaten erleichtert (aus dem Paket openssl)
• In demoCA liegt unsere Zertifizierungsstelle, der Ordner heißt so von Haus aus, man kann den Namen ändern indem man die Variable $CATOP aus dem Perl-Script anpasst.
• In newcert.pem liegt das brandneue Zertifikat
• newkey.pem ist unser private Key zu dem Zertifikat, dass dieser nicht herausgegeben werden darf sollte sich von selbst verstehen!
• newreq.pem ist der Zertifikatsantrag, der von der CA unterschrieben wurde

Super, jetzt sichern wir unsere Zertifikate indem wir sie einfach umbenennen. Machen wir das nicht, werden die Dateien mit dem nächsten Zertifikat einfach überschrieben, wollen wir aber vermeiden. Ich habe einen kleinen Workaround, lässt sich auch prima in ein Script packen:

Apache mit SSL top

Nachdem das so gut geklappt hat, gibt es ein kleines Beispiel wie man dem Apachen beibringt das Zertifikat zu benutzen.

Ich habe mir mal ein Verzeichnis erstellt, wo ich das Zertifikat ablege:

Man kann natürlich auch die vorhandene Ordnerstruktur in /etc/ssl/ nutzen. Nun werden das Zertifikat und der Key dort hin kopiert (den Zertifizierungsantrag braucht der Apache für gewöhnlich nicht):

Nun wird der default-ssl, die der Apache mitbringt, beigebracht wo die Zertifikate liegen:

Jetzt laden wir noch das SSL-Modul und schalten die default-ssl ein:

Voila, wenn wir nun https://webservername/ aufrufen, wird die Verbindung korrekt verschlüsselt. Die üblichen Browser spucken noch eine Warnung aus, dass das Zertifikat selbst unterschrieben wurde (The certificate is not trusted because the issuer certificate is unknown.), diese können wir aber ignorieren. Wir bekommen sie nur weg, wenn wir das Zertifikat von einer vertrauenswürdigen CA signieren lassen, diese wollen aber meist eine ganze Stange Geld dafür.

Damit ist die Kommunikation mit dem Webserver halbwegs gesichert. Das Zertifikat funktioniert aber natürlich nicht nur im Apachen, man kann genauso die Kommunikation des LDAP's, der Backup-Software oder des FTP-Servers damit verschlüsseln. Ausprobieren!

Tags: Debian Kryptographie Netzwerk Security Software

Kategorien: Netzwerk Sicherheit Software