Apache SSL - Versionsgeschichte

Rueling am 31. August 2017 um 16:12 Uhr

2017-08-31T16:12:23Z

← Nächstältere Version		Version vom 31. August 2017, 16:12 Uhr
Zeile 50:		Zeile 50:
	<b>Zertifikats Request erstellen und signieren</b>		<b>Zertifikats Request erstellen und signieren</b>
	<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr<br>		<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr<br>
	openssl ~~x509 -req~~ -days 1825 -in yourdomain.csr -out yourdomain.cer</blockquote>		openssl ca -days 1825 -in yourdomain.csr -out yourdomain.cer</blockquote>

	== Anzeigen/Prüfen von Zertifikaten ==		== Anzeigen/Prüfen von Zertifikaten ==

Rueling am 31. August 2017 um 15:09 Uhr

2017-08-31T15:09:27Z

← Nächstältere Version		Version vom 31. August 2017, 15:09 Uhr
Zeile 42:		Zeile 42:
	== CA erstellen und ein Zertifikat signieren unter Linux ==		== CA erstellen und ein Zertifikat signieren unter Linux ==
	<b>CA erstellen</b><br>		<b>CA erstellen</b><br>
	Pfade und Dateinamen der openssl.cnf entnehmen (/etc/pki/tls)		Pfade und Dateinamen der openssl.cnf entnehmen (/etc/pki/tls)<br>
	<~~blockquote~~>		<code>openssl req -x509 -out /etc/pki/CA/cacert.pem -newkey rsa:2048 -keyout /etc/pki/CA/private/cakey.pem -days 3650 -nodes</code><br>
	openssl req -x509 -out /etc/pki/CA/cacert.pem -newkey rsa:2048 -keyout /etc/pki/CA/private/cakey.pem -days 3650 -nodes<br>		<code>openssl rand -out /etc/pki/CA/private/.rand 1000</code><br>
	openssl rand -out /etc/pki/CA/private/.rand 1000<br>		<code>touch /etc/pki/CA/index.txt</code><br>
	touch /etc/pki/CA/index.txt<br>		<code>echo '01' > /etc/pki/CA/serial</code><br>
	echo '01' > /etc/pki/CA/serial<br>
	<~~/blockquote~~>

	<b>Zertifikats Request erstellen und signieren</b>		<b>Zertifikats Request erstellen und signieren</b>
	<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr<br>		<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr<br>
	openssl x509 -req -days 1825 -in yourdomain.csr -out yourdomain.cer</blockquote>		openssl x509 -req -days 1825 -in yourdomain.csr -out yourdomain.cer</blockquote>

			== Anzeigen/Prüfen von Zertifikaten ==
			prüfe PKCS12 Zertifikat<br>
			<code><b>openssl pkcs12 -info -in keyStore.p12</b><br></code>
			Prüfe Zertifikat<br>
			<code><b>openssl x509 -in certificate.crt -text -noout</b><br></code>
			Prüfe Private Key<br>
			<code><b>openssl rsa -in privateKey.key -check</b><br></code>

Rueling am 31. August 2017 um 11:55 Uhr

2017-08-31T11:55:58Z

← Nächstältere Version		Version vom 31. August 2017, 11:55 Uhr
Zeile 39:		Zeile 39:
	openssl pkcs12 -in cert.pfx -out cert.cer -nokeys -nodes<br>		openssl pkcs12 -in cert.pfx -out cert.cer -nokeys -nodes<br>
	openssl pkcs12 -in cert.pfx -out cert.key -nocerts -nodes		openssl pkcs12 -in cert.pfx -out cert.key -nocerts -nodes

			== CA erstellen und ein Zertifikat signieren unter Linux ==
			<b>CA erstellen</b><br>
			Pfade und Dateinamen der openssl.cnf entnehmen (/etc/pki/tls)
			<blockquote>
			openssl req -x509 -out /etc/pki/CA/cacert.pem -newkey rsa:2048 -keyout /etc/pki/CA/private/cakey.pem -days 3650 -nodes<br>
			openssl rand -out /etc/pki/CA/private/.rand 1000<br>
			touch /etc/pki/CA/index.txt<br>
			echo '01' > /etc/pki/CA/serial<br>
			</blockquote>

			<b>Zertifikats Request erstellen und signieren</b>
			<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr<br>
			openssl x509 -req -days 1825 -in yourdomain.csr -out yourdomain.cer</blockquote>

Rueling am 1. April 2014 um 06:37 Uhr

2014-04-01T06:37:04Z

← Nächstältere Version		Version vom 1. April 2014, 06:37 Uhr
Zeile 34:		Zeile 34:

	openssl pkcs12 -export -inkey cert.key -out cert.pfx < cert.cer		openssl pkcs12 -export -inkey cert.key -out cert.pfx < cert.cer

			== Konvertieren von pfx zu .cer und .key Zertifikat ==

			openssl pkcs12 -in cert.pfx -out cert.cer -nokeys -nodes<br>
			openssl pkcs12 -in cert.pfx -out cert.key -nocerts -nodes

Rueling am 29. April 2013 um 11:18 Uhr

2013-04-29T11:18:31Z

← Nächstältere Version		Version vom 29. April 2013, 11:18 Uhr
Zeile 22:		Zeile 22:
	<blockquote>openssl rsa -in server-rsa-key.pem > server-key.pem </blockquote>		<blockquote>openssl rsa -in server-rsa-key.pem > server-key.pem </blockquote>
	Nun verschiebt man das Zertifikat und den entschlüsselten Key in den /etc/apache/ssl Verzeichnis<br>In der Apache-Konfig bzw. der entsprechenden Seite /etc/apache/sites-enabled fügt man in der VirtualHost Konfiguration noch folgendes ein:		Nun verschiebt man das Zertifikat und den entschlüsselten Key in den /etc/apache/ssl Verzeichnis<br>In der Apache-Konfig bzw. der entsprechenden Seite /etc/apache/sites-enabled fügt man in der VirtualHost Konfiguration noch folgendes ein:
	<blockquote>SSLEngine on<br>SSLCertificateFile /etc/apache2/ssl/~~pmn43~~.pem<br>SSLCertificateKeyFile /etc/apache2/ssl/~~pmn43~~.key </blockquote>		<blockquote>SSLEngine on<br>SSLCertificateFile /etc/apache2/ssl/cert.pem<br>SSLCertificateKeyFile /etc/apache2/ssl/cert.key </blockquote>
	Nach einem Neustart des Apache Servers sollte man nun HTTPS/SSL nutzen können		Nach einem Neustart des Apache Servers sollte man nun HTTPS/SSL nutzen können

Rueling am 29. April 2013 um 11:17 Uhr

2013-04-29T11:17:39Z

← Nächstältere Version		Version vom 29. April 2013, 11:17 Uhr
Zeile 30:		Zeile 30:

	Man benötigt die "Active Directory Certificate Services" Rolle<br>Ruft dann die Webseite [http://Server_mit_AD_CA_Rolle/certsrv http://Server_mit_AD_CA_Rolle/certsrv] auf und klickt auf "Request a certificate"<br>Nun auf "advanced certificate request" und dann "Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file, or submit a renewal request by using a base-64-encoded PKCS #7 file"<br>Danach fügt man den Request Inhalt ein.<br>WICHTIG: Darauf achten, dass bei Template Webserver steht und nicht User, da sonst der CN durch den aktuellen Benutzername ersetzt wird.<br>		Man benötigt die "Active Directory Certificate Services" Rolle<br>Ruft dann die Webseite [http://Server_mit_AD_CA_Rolle/certsrv http://Server_mit_AD_CA_Rolle/certsrv] auf und klickt auf "Request a certificate"<br>Nun auf "advanced certificate request" und dann "Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file, or submit a renewal request by using a base-64-encoded PKCS #7 file"<br>Danach fügt man den Request Inhalt ein.<br>WICHTIG: Darauf achten, dass bei Template Webserver steht und nicht User, da sonst der CN durch den aktuellen Benutzername ersetzt wird.<br>

			== Zusammenführen (merge) von Zertifikat und Key ==

			openssl pkcs12 -export -inkey cert.key -out cert.pfx < cert.cer

Rueling am 31. Januar 2013 um 10:53 Uhr

2013-01-31T10:53:10Z

← Nächstältere Version		Version vom 31. Januar 2013, 10:53 Uhr
Zeile 3:		Zeile 3:
	Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötigt man ein SSL Zertifikat.<br>Dazu erstellt man ein Certificate Request mit openssl		Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötigt man ein SSL Zertifikat.<br>Dazu erstellt man ein Certificate Request mit openssl
	<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr</blockquote>		<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr</blockquote>
	~~Dabei~~ wird man u.a. nach dem Common Name (CN)~~ und ein Passwort~~ gefragt.<br>Der CN muss dabei der FQDN des Servers bzw. der Webseite sein.		Die Parameter bedeuten folgendes:
			<blockquote>
			req: es handelt sich um ein Cert-Request<br>
			-new: erzeuge ein neues Cert-Request<br>
			-newkey rsa:2048: erzeugt einen Private-Key für den Server mit RSA 2048 bit Schlüssel<br>
			-nodes: Private-Key nicht verschlüsseln. Sonst müsste man beim starten von Apache immer das SSL Passwort eingeben
			-keyout <file.key>: Private-Key Datei
			-out <file.key>: Cert-Request Datei
			</blockquote>

			Beim Erstellen des Requests wird man u.a. nach dem Common Name (CN) gefragt.<br>Der CN muss dabei der FQDN des Servers bzw. der Webseite sein.

	Den Request bzw. dessen Inhalt schickt man an eine CA oder signiert das Zertifikat mit einer eigenen CA z.B auf dem Windows Server (dazu weiter unten mehr)		Den Request bzw. dessen Inhalt schickt man an eine CA oder signiert das Zertifikat mit einer eigenen CA z.B auf dem Windows Server (dazu weiter unten mehr)

Rueling am 31. Januar 2013 um 10:36 Uhr

2013-01-31T10:36:28Z

← Nächstältere Version		Version vom 31. Januar 2013, 10:36 Uhr
Zeile 2:		Zeile 2:

	Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötigt man ein SSL Zertifikat.<br>Dazu erstellt man ein Certificate Request mit openssl		Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötigt man ein SSL Zertifikat.<br>Dazu erstellt man ein Certificate Request mit openssl
	<blockquote>openssl req -new -~~x509~~ -~~days 365 ~~-keyout ~~server-rsa-~~key~~.pem~~ -out ~~server-cert~~.~~pem~~ </blockquote>		<blockquote>openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr</blockquote>
	Dabei wird man u.a. nach dem Common Name (CN) und ein Passwort gefragt.<br>Der CN muss dabei der FQDN des Servers bzw. der Webseite sein.		Dabei wird man u.a. nach dem Common Name (CN) und ein Passwort gefragt.<br>Der CN muss dabei der FQDN des Servers bzw. der Webseite sein.

Rueling: Die Seite wurde neu angelegt: „== Erstellen eines SSL Zertifikates unter Linux für Apache mit OpenSSL == Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötig…“

2012-03-02T12:48:01Z

Die Seite wurde neu angelegt: „== Erstellen eines SSL Zertifikates unter Linux für Apache mit OpenSSL == Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötig…“

Neue Seite

== Erstellen eines SSL Zertifikates unter Linux für Apache mit OpenSSL ==

Um auf einem Linux Server mit Apache Webseiten mit HTTPS zu nutzen benötigt man ein SSL Zertifikat. Dazu erstellt man ein Certificate Request mit openssl
<blockquote>openssl req -new -x509 -days 365 -keyout server-rsa-key.pem -out server-cert.pem </blockquote>
Dabei wird man u.a. nach dem Common Name (CN) und ein Passwort gefragt. Der CN muss dabei der FQDN des Servers bzw. der Webseite sein.

Den Request bzw. dessen Inhalt schickt man an eine CA oder signiert das Zertifikat mit einer eigenen CA z.B auf dem Windows Server (dazu weiter unten mehr)

Hat man das Zertifikat von der CA erhalten (Apache benötigt es im DER Base-64 Format) kopiert man die Datei (oder deren Inhalt) auf den Linux Server

Wenn ein Key in verschlüsselter Form vorliegt (und mit einer Passphrase gesichert ist), muß die Passphrase bei jedem Neustart des Apache Dienstes neu eingegeben werden. Wenn der Key im Klartext vorliegt, ist das nicht notwendig. Um Key zu entschlüsseln und die Passphrase zu entfernen ist der folgende Aufruf notwendig:
<blockquote>openssl rsa -in server-rsa-key.pem > server-key.pem </blockquote>
Nun verschiebt man das Zertifikat und den entschlüsselten Key in den /etc/apache/ssl Verzeichnis In der Apache-Konfig bzw. der entsprechenden Seite /etc/apache/sites-enabled fügt man in der VirtualHost Konfiguration noch folgendes ein:
<blockquote>SSLEngine on SSLCertificateFile /etc/apache2/ssl/pmn43.pem SSLCertificateKeyFile /etc/apache2/ssl/pmn43.key </blockquote>
Nach einem Neustart des Apache Servers sollte man nun HTTPS/SSL nutzen können

 

== Hier nun die Erklärung wie man mit Windows das Zertifikat erstellt: ==

Man benötigt die "Active Directory Certificate Services" Rolle Ruft dann die Webseite [http://Server_mit_AD_CA_Rolle/certsrv http://Server_mit_AD_CA_Rolle/certsrv] auf und klickt auf "Request a certificate" Nun auf "advanced certificate request" und dann "Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file, or submit a renewal request by using a base-64-encoded PKCS #7 file" Danach fügt man den Request Inhalt ein. WICHTIG: Darauf achten, dass bei Template Webserver steht und nicht User, da sonst der CN durch den aktuellen Benutzername ersetzt wird.