Πώς να γίνετε η δική σας αρχή πιστοποίησης (με εικόνες)

2024 Συγγραφέας: Gilbert Ryder | [email protected]. Τελευταία τροποποίηση: 2024-02-02 01:07

Η απόκτηση πιστοποιητικού SSL από οποιαδήποτε από τις σημαντικότερες Αρχές Πιστοποίησης (CA) μπορεί να κοστίζει 100 $ και άνω. Προσθέστε στο μίγμα, ειδήσεις που φαίνεται να δείχνουν ότι δεν μπορούν να εμπιστευτούν όλες τις καθιερωμένες ΑΠ 100% των περιπτώσεων και ίσως αποφασίσετε να παρακάμψετε την αβεβαιότητα και να διαγράψετε το κόστος, όντας η δική σας Αρχή Πιστοποίησης.

Βήματα

Μέρος 1 από 4: Δημιουργία του πιστοποιητικού CA σας

Γίνετε η δική σας αρχή πιστοποίησης Βήμα 1

Βήμα 1. Δημιουργήστε το ιδιωτικό κλειδί της CA σας εκδίδοντας την ακόλουθη εντολή

openssl genrsa -des3 -out server. CA.key 2048
Οι επιλογές εξηγούνται
- openssl - το όνομα του λογισμικού
- genrsa - δημιουργεί ένα νέο ιδιωτικό κλειδί
- -des3 - κρυπτογραφήστε το κλειδί χρησιμοποιώντας την κρυπτογράφηση DES
- -out server. CA.key - το όνομα του νέου κλειδιού σας
- 2048 - το μήκος, σε bit, του ιδιωτικού κλειδιού (δείτε τις προειδοποιήσεις)
Αποθηκεύστε αυτό το πιστοποιητικό και τον κωδικό πρόσβασης σε ασφαλές μέρος.

Γίνετε η δική σας αρχή πιστοποίησης Βήμα 2

Βήμα 2. Δημιουργήστε ένα αίτημα υπογραφής πιστοποιητικού

openssl req -verbose -new -key server. CA.key -out server. CA.csr -sha256
Οι επιλογές εξηγούνται:
- req - Δημιουργεί ένα αίτημα υπογραφής
- -verbose - σας δείχνει λεπτομέρειες σχετικά με το αίτημα καθώς δημιουργείται (προαιρετικό)
- -new - δημιουργεί ένα νέο αίτημα
- -key server. CA.key - Το ιδιωτικό κλειδί που μόλις δημιουργήσατε παραπάνω.
- -out server. CA.csr - Το όνομα αρχείου του αιτήματος υπογραφής που δημιουργείτε
- sha256 - Ο αλγόριθμος κρυπτογράφησης που χρησιμοποιείται για την υπογραφή αιτημάτων (Εάν δεν γνωρίζετε τι είναι αυτό, μην το αλλάξετε. Θα πρέπει να το αλλάξετε μόνο αν γνωρίζετε τι κάνετε)

Γίνετε η δική σας αρχή πιστοποίησης Βήμα 3

Βήμα 3. Συμπληρώστε τις πληροφορίες όσο το δυνατόν περισσότερο

Όνομα χώρας (κωδικός 2 γραμμάτων) [AU]: ΜΑΣ



Όνομα κράτους ή επαρχίας (πλήρες όνομα) [Κάποιο κράτος]:
CA


Όνομα τοποθεσίας (π.χ., πόλη) :
Silicon Valley


Όνομα οργανισμού (π.χ., εταιρεία) [Internet Widgits Pty Ltd]:
wikiHow, Inc.

Όνομα οργανωτικής μονάδας (π.χ., ενότητα) :

Κοινό όνομα (π.χ. διακομιστής FQDN ή το όνομα ΣΑΣ) :

Διεύθυνση ηλεκτρονικού ταχυδρομείου : Γίνετε η δική σας αρχή πιστοποίησης Βήμα 4 Βήμα 4. Υπογράψτε αυτόματα το πιστοποιητικό σας: openssl ca -εκτάσεις v3_ca -out server. CA -signature.crt -keyfile server. CA.key -verbose -selfsign -md sha256 -enddate 330630235959Z -infiles server. CA.csr Οι επιλογές εξηγούνται: ca - Φορτώνει τη μονάδα Αρχής Πιστοποίησης -εκταση v3_ca -Φορτώνει την επέκταση v3_ca, απαραίτητη για χρήση σε σύγχρονα προγράμματα περιήγησης -out server. CA -signature.crt -Το όνομα του νέου σας υπογεγραμμένου κλειδιού -keyfile server. CA.key - Το ιδιωτικό κλειδί που δημιουργήσατε στο βήμα 1 -verbose - σας δείχνει λεπτομέρειες σχετικά με το αίτημα καθώς δημιουργείται (προαιρετικό) -selfsign - Λέει στο openssl ότι χρησιμοποιείτε το ίδιο κλειδί για να υπογράψετε το αίτημα -md sha256 - Ο αλγόριθμος κρυπτογράφησης που θα χρησιμοποιηθεί για το μήνυμα. (Αν δεν ξέρετε τι είναι αυτό, μην το αλλάξετε. Θα πρέπει να το αλλάξετε μόνο αν γνωρίζετε τι κάνετε) - λήξη 330630235959Z - Η ημερομηνία λήξης του πιστοποιητικού. Η σημειογραφία είναι YYMMDDHHMMSSZ όπου το Z είναι σε GMT, μερικές φορές γνωστό ως ώρα "Zulu". -infiles server. CA.csr - το αρχείο αιτήματος υπογραφής που δημιουργήσατε στο παραπάνω βήμα. Γίνετε η δική σας αρχή πιστοποίησης Βήμα 5 Βήμα 5. Ελέγξτε το πιστοποιητικό CA σας openssl x509 -noout -text -in server. CA.crt Οι επιλογές εξηγούνται: x509 - Φορτώνει τη μονάδα x509 για επιθεώρηση υπογεγραμμένων πιστοποιητικών. -noout - Μην εξάγετε το κωδικοποιημένο κείμενο -text - εξάγετε τις πληροφορίες στην οθόνη -στο server. CA.crt - Φορτώστε το υπογεγραμμένο πιστοποιητικό Το αρχείο server. CA.crt μπορεί να διανεμηθεί σε οποιονδήποτε θα χρησιμοποιήσει τον ιστότοπό σας ή θα χρησιμοποιήσει πιστοποιητικά που σκοπεύετε να υπογράψετε. Μέρος 2 από 4: Δημιουργία πιστοποιητικών SSL για μια υπηρεσία, όπως το Apache Γίνετε η δική σας αρχή πιστοποίησης Βήμα 6 Βήμα 1. Δημιουργήστε ένα ιδιωτικό κλειδί openssl genrsa -des3 -out server.apache.key 2048 Οι επιλογές εξηγούνται: openssl - το όνομα του λογισμικού genrsa - δημιουργεί ένα νέο ιδιωτικό κλειδί -des3 - κρυπτογραφήστε το κλειδί χρησιμοποιώντας την κρυπτογράφηση DES -out server.apache.key - το όνομα του νέου κλειδιού σας 2048 - το μήκος, σε bit, του ιδιωτικού κλειδιού (δείτε τις προειδοποιήσεις) Αποθηκεύστε αυτό το πιστοποιητικό και τον κωδικό πρόσβασης σε ασφαλές μέρος. Γίνετε η δική σας αρχή πιστοποίησης Βήμα 7 Βήμα 2. Δημιουργήστε ένα αίτημα υπογραφής πιστοποιητικού openssl req -verbose -new -key server.apache.key -out server.apache.csr -sha256 Οι επιλογές εξηγούνται: req - Δημιουργεί ένα αίτημα υπογραφής -verbose - σας δείχνει λεπτομέρειες σχετικά με το αίτημα καθώς δημιουργείται (προαιρετικό) -new - δημιουργεί ένα νέο αίτημα -key server.apache.key - Το ιδιωτικό κλειδί που μόλις δημιουργήσατε παραπάνω. -out server.apache.csr - Το όνομα αρχείου του αιτήματος υπογραφής που δημιουργείτε sha256 - Ο αλγόριθμος κρυπτογράφησης που χρησιμοποιείται για την υπογραφή αιτημάτων (Εάν δεν γνωρίζετε τι είναι αυτό, μην το αλλάξετε. Θα πρέπει να το αλλάξετε μόνο αν γνωρίζετε τι κάνετε) Γίνετε η δική σας αρχή πιστοποίησης Βήμα 8 Βήμα 3. Χρησιμοποιήστε το πιστοποιητικό CA για να υπογράψετε το νέο κλειδί openssl ca -out server.apache.pem -keyfile server. CA.key -infiles server.apache.csr Οι επιλογές εξηγούνται: ca - Φορτώνει τη μονάδα Αρχής Πιστοποίησης -out server.apache.pem - Το όνομα του αρχείου είναι το υπογεγραμμένο πιστοποιητικό -keyfile server. CA.key - Το όνομα αρχείου του πιστοποιητικού CA που θα υπογράψει το αίτημα -infiles server.apache.csr - Το όνομα αρχείου του αιτήματος υπογραφής πιστοποιητικού Γίνετε η δική σας αρχή πιστοποίησης Βήμα 9 Βήμα 4. Συμπληρώστε τις πληροφορίες όσο το δυνατόν περισσότερο: Όνομα χώρας (κωδικός 2 γραμμάτων) [AU]: ΜΑΣ Όνομα κράτους ή επαρχίας (πλήρες όνομα) [Κάποιο κράτος]: CA Όνομα τοποθεσίας (π.χ., πόλη) : Silicon Valley Όνομα οργανισμού (π.χ., εταιρεία) [Internet Widgits Pty Ltd]: wikiHow, Inc. Όνομα οργανωτικής μονάδας (π.χ., ενότητα) : Κοινό όνομα (π.χ. διακομιστής FQDN ή το όνομα ΣΑΣ) : Διεύθυνση ηλεκτρονικού ταχυδρομείου : Γίνετε η δική σας αρχή πιστοποίησης Βήμα 10 Βήμα 5. Αποθηκεύστε ένα αντίγραφο του ιδιωτικού σας κλειδιού σε άλλη τοποθεσία Δημιουργήστε ένα ιδιωτικό κλειδί χωρίς κωδικό πρόσβασης για να αποτρέψετε το Apache να σας ζητήσει κωδικό πρόσβασης: openssl rsa -in server.apache.key -out server.apache.unsecured.key Οι επιλογές εξηγούνται: rsa - Εκτελεί το πρόγραμμα κρυπτογράφησης RSA -στο server.apache.key - Το όνομα κλειδιού που θέλετε να μετατρέψετε. -out server.apache.unsecured.key - Το όνομα αρχείου του νέου μη ασφαλισμένου κλειδιού Γίνετε η δική σας αρχή πιστοποίησης Βήμα 11 Βήμα 6. Χρησιμοποιήστε το αρχείο server.apache.pem που προκύπτει μαζί με το ιδιωτικό κλειδί που δημιουργήσατε στο βήμα 1 για να διαμορφώσετε το αρχείο apache2.conf Μέρος 3 από 4: Δημιουργία πιστοποιητικού χρήστη για έλεγχο ταυτότητας Γίνετε η δική σας αρχή πιστοποίησης Βήμα 12 Βήμα 1. Ακολουθήστε όλα τα βήματα στην ενότητα _Δημιουργία πιστοποιητικών SSL για Apache_ Γίνετε η δική σας αρχή πιστοποίησης Βήμα 13 Βήμα 2. Μετατρέψτε το υπογεγραμμένο πιστοποιητικό σας σε PKCS12 openssl pkcs12 -export -in user_cert.pem -inkey user_private_key.pem -out user_cert.p12 Μέρος 4 από 4: Δημιουργία πιστοποιητικών ηλεκτρονικού ταχυδρομείου S/MIME Γίνετε η δική σας αρχή πιστοποίησης Βήμα 14 Βήμα 1. Δημιουργήστε ένα ιδιωτικό κλειδί openssl genrsa -des3 -out private_email.key 2048 Γίνετε η δική σας αρχή πιστοποίησης Βήμα 15 Βήμα 2. Δημιουργήστε ένα αίτημα υπογραφής πιστοποιητικού openssl req -new -key private_email.key -out private_email.csr Γίνετε η δική σας αρχή πιστοποίησης Βήμα 16 Βήμα 3. Χρησιμοποιήστε το πιστοποιητικό CA για να υπογράψετε το νέο κλειδί openssl ca -out private_email.pem -keyfile server. CA.key -infiles private_email.csr Γίνετε η δική σας αρχή πιστοποίησης Βήμα 17 Βήμα 4. Μετατρέψτε το πιστοποιητικό σε PKCS12 openssl pkcs12 -export -in private_email.crt -inkey private_email.key -out private_email.p12 Γίνετε η δική σας αρχή πιστοποίησης Βήμα 18 Βήμα 5. Δημιουργήστε ένα πιστοποιητικό δημόσιου κλειδιού για διανομή openssl pkcs12 -εξαγωγή -out public_cert.p12 -σε ιδιωτικό_email.pem -συναυλίες -nokeys -name "Δημόσιο κλειδί WikiHow" Συμβουλές Μπορείτε να αλλάξετε τα περιεχόμενα των κλειδιών PEM εκδίδοντας την ακόλουθη εντολή: openssl x509 -noout -text -in certificate.pem Προειδοποιήσεις Τα κλειδιά 1024-bit θεωρούνται παρωχημένα. Τα κλειδιά 2048-bit θεωρούνται ασφαλή για πιστοποιητικά χρήστη έως το 2030, αλλά θεωρούνται ανεπαρκή για τα πιστοποιητικά root. Εξετάστε αυτά τα τρωτά σημεία κατά τη δημιουργία των πιστοποιητικών σας. Από προεπιλογή, τα περισσότερα σύγχρονα προγράμματα περιήγησης θα εμφανίζουν μια προειδοποίηση "Μη αξιόπιστο πιστοποιητικό" όταν κάποιος επισκέπτεται τον ιστότοπό σας. Υπήρξε μεγάλη συζήτηση σχετικά με τη διατύπωση αυτών των προειδοποιήσεων, καθώς οι μη τεχνικοί χρήστες μπορούν να παρασυρθούν. Συχνά είναι καλύτερο να χρησιμοποιείτε μια σημαντική αρχή, ώστε οι χρήστες να μην λαμβάνουν τις προειδοποιήσεις.