Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- opensslcert [2011/09/26 15:36] – [Zertifikat und privaten Schlüssel installieren] aufgeteilt bush
+++ opensslcert [2016/04/22 13:37] – [Schlüsselpaar generieren] schyle
@@ Zeile 2: / Zeile 2: @@
 Auf dieser Seite zeigen wir Ihnen, wie Sie mit openSSL ein Schlüsselpaar generieren, den
-CSR erzeugen und schließlich das von der Uni-FR CA gelieferte Zertifikat in das Server-
+CSR (Certificate Signing Request) erzeugen und schließlich das von der Uni-FR CA gelieferte Zertifikat in das Server-
 System einbauen.
-Hintergrundinformationen dazu finden Sie in dem Dokument **[[serverzertifikat|Ein Serverzertifikat beantragen]]**.
+Hintergrundinformationen dazu finden Sie in dem Dokument: **[[serverzertifikat|Serverzertifikat beantragen]]**.
 Die Anleitung der DFN PKI: **[[https://www.pki.dfn.de/fileadmin/PKI/anleitungen/Anleitung_Nutzung_OpenSSL.pdf|Anleitung zur Nutzung von OpenSSL in der DFN-PKI (PDF-Datei)]]**
 Die Anleitung des DFN CERT: **[[http://www.dfn-cert.de/informationen/themen/verschluesselung_und_pki/openssl-kurzreferenz.html|OpenSSL-Kurzreferenz]]**
+Auf Linux-Systemen sollte openSSL grundsätzlich bereits installiert sein.
+Für Windows-Systeme können Sie das Programmpaket hier herunterladen:
+**[[http://www.slproweb.com/products/Win32OpenSSL.html]]**
@@ Zeile 17: / Zeile 22: @@
 Im vorliegenden Beispiel wollen wir folgendes voraussetzen:
-  * Die Internet-Adresse des Servers sei server1.ruf.uni-freiburg.de
+  * Die Internet-Adresse des Servers sei server1.uni-freiburg.de
   * Die Abteilung ist das Rechenzentum
   * Der Schlüsselbund zur Aufbewahrung der eigenen Schlüssel sei /var/lib/.keystore\\ (unter Windows üblicherweise C:\Dokumente und Einstellungen\(Benutzername)\.keystore)
@@ Zeile 24: / Zeile 29: @@
 \\
 Es soll hier ein Schlüsselpaar inclusive einem selbstsignierten Zertifikat mit folgendem eindeutigen Name erzeugt werden:
-<code>DN: CN=server1.ruf.uni-freiburg.de,OU=Rechenzentrum,O=Universitaet Freiburg,C=DE</code>
+<code>DN: CN=server1.uni-freiburg.de,OU=Rechenzentrum,O=Universitaet Freiburg,L=Freiburg,ST=Baden-Wuerttemberg,C=DE</code>
-Für die Uni-FR CA sind die Komponenten O und C obligatorisch: **O=Universitaet Freiburg,C=DE**.\\
+Für die Uni-FR CA sind die Komponenten O und C obligatorisch: **O=Albert-Ludwigs-Universitaet Freiburg,L=Freiburg im Breisgau,ST=Baden-Wuerttemberg,C=DE**.\\
 Das Element OU kann auch mehrfach auftreten, falls Sie z.B. verschiedene Unterabteilungen im DN nicht nur durch den CN des Servers kenntlich machen wollen.
 Das OpenSSL-Kommando zur Herstellung eines Schlüsselpaares lautet folgendermaßen:\\
-(Die Benutzer-Eingabezeilen sind in den Beispielen mit dem System-Promp '$' gekennzeichnet)
+(Die Benutzer-Eingabezeilen sind in den Beispielen mit dem System-Prompt <html>'$'</html> gekennzeichnet)
 <code>
@@ Zeile 61: / Zeile 66: @@
 prompt                 = no
+[ req_distinguished_name ]
+C                      = DE
+ST                     = Baden-Wuerttemberg
+L                      = Freiburg
+O                      = Universitaet Freiburg
+OU                     = Rechenzentrum
+CN                     = server1.uni-freiburg.de
+emailAddress           = admin@server1.uni-freiburg.de
+</code>
+==== Subject Alternative Names ====
+Falls Sie zusätzliche Hostnamen (Subject Alterantive Names, SANs) als Alternativen in das Zertifikat aufgenommen haben wollen, müssen Sie die Konfigurationsdatei in der folgenden Art erweitern:
+<code>
+[ req ]
+default_bits           = 2048
+distinguished_name     = req_distinguished_name
+prompt                 = no
+req_extensions         = v3_req
 [ req_distinguished_name ]
 C                      = DE
+ST                     = Baden-Wuerttemberg
+L                      = Freiburg
 O                      = Universitaet Freiburg
 OU                     = Rechenzentrum
 CN                     = server1.uni-freiburg.de
 emailAddress           = admin@server1.uni-freiburg.de
+[ v3_req ]
+subjectAltName         = @alt_names
+[ alt_names ]
+DNS.1                  = server1.uni-freiburg.de
+DNS.2                  = alt1.uni-freiburg.de
+DNS.3                  = alt2.uni-freiburg.de
+...
 </code>
+Bitte beachten Sie, dass der Common Name (CN) aus dem Abschnitt [req_distinguished_name] nochmals als SAN im Abschnitt [alt_names] aufgeführt wird, da anderenfalls einige Browser mit der Auswertung der entsprechenden Zertifikatsfelder Probleme haben.
+==== Erzeugen, speichern, überprüfen ====
 In unserem Beispiel soll diese Datei den Namen **req_config** erhalten.
@@ Zeile 207: / Zeile 248: @@
 Normalerweise müssen Sie die Anwendungen anschließend neu starten, damit die Konfiguration wirksam wird und das Zertifikat verwendet werden kann.
+\\
+===== Literatur =====
+  * http://www.dfn-cert.de/informationen/themen/verschluesselung_und_pki/openssl-kurzreferenz.html
+  * http://wiki.cacert.org/FAQ/subjectAltName
+  * http://apetec.com/support/GenerateSAN-CSR.htm
+  * http://wiki.gwdg.de/index.php/Erzeugung_von_Zertifikatantraegen_mit_Subject_Alternative_Name_fuer_virtuelle_Webserver_auf_Basis_von_OpenSSL_fuer_die_DFN-PKI\\ (An die lokalen Gegebenheiten anpassen!)
+  * http://apetec.com/support/GenerateCSR.htm\\ (Für IIS 7 Microsoft Windows Server 2008)
 \\
@@ Zeile 214: / Zeile 263: @@
 {{tag>zertifikate sicherheit openssl}}

Zuletzt angesehen:

Unterschiede

Suche

Navigation

Drucken/exportieren

Werkzeuge

QR-Code