Sertifikaatide haldamine openssl abil - Revision history

Lliibert at 07:06, 29 May 2011

2011-05-29T07:06:06Z

Lliibert at 20:43, 28 May 2011

2011-05-28T20:43:21Z

@@ Line 158: / Line 158: @@
          e3:d0:7f:d3:0a:f6:aa:ff:89:ac:6c:40:1d:48:c8:15:39:ba:
          bc:5d
 ===Loodud sertifikaadid===

Lliibert: moved Sertifikaadid to Sertifikaatide haldamine openssl abil

2011-05-28T19:42:53Z

moved Sertifikaadid to Sertifikaatide haldamine openssl abil

← Older revision	Revision as of 22:42, 28 May 2011
(No difference)

Lliibert at 09:27, 16 May 2011

2011-05-16T09:27:17Z

← Older revision		Revision as of 12:27, 16 May 2011
Line 168:		Line 168:
	server.key.secure: Serveri privaatvõti. (Nõuab parooli apache käivitamisel)		server.key.secure: Serveri privaatvõti. (Nõuab parooli apache käivitamisel)

	root_ca.crt: ~~Sertifikatseerimiskeskuse~~ sertifikaat		root_ca.crt: CA sertifikaat

	root_ca.key: Võti millega CA allkirjastab sertifikaadi allkirja taotlusi		root_ca.key: Võti millega CA allkirjastab sertifikaadi allkirja taotlusi

Lliibert at 09:20, 16 May 2011

2011-05-16T09:20:40Z

← Older revision		Revision as of 12:20, 16 May 2011
Line 1:		Line 1:
	[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]		[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]
			==Sissejuhatus==
			Loome enda sertifitseerimiskeskuse (CA - Certificate Authority) ja allkirjastame sellega sertifikaate. Selleks kasutame OpenSSL'i. OpenSSL http://www.openssl.org/ on vaba tarkvaraline SSL ja TLS protokollide implementatsioon ja pakub veel tugevat üldotstarbelist krüptograafiat.

			Juhendi kasutamiseks on vajalik openssl ver 0.9.8 või uuem ja opertasioonisüsteemina on kasutatud Ubuntu Server 10.10 keskkonda.
			Openssl versiooni vaatamine:
			openssl version
			OpenSSL 0.9.8o 01 Jun 2010
	==Mis on sertifikaat==		==Mis on sertifikaat==
			Andmekogum mis kinnitab kellegile kolmandale, et esitatud andmed on tõesed ja ajakohased.

	==Laiendatud kinnitusega sertifikaat (EV)==		==Laiendatud kinnitusega sertifikaat (EV)==
			X.509 avaliku võtme sertifikaat mida kasutatakse veebilehitsejate juures. Täpsemalt: [http://en.wikipedia.org/wiki/Extended_Validation_Certificate Extended Validation Certificate]

	===EV sertifikaadid on töötavad järgmiste veebilehitsejatega===		===EV sertifikaadid on töötavad järgmiste veebilehitsejatega===
Line 18:		Line 27:
	==Sertifikaatide loomine==		==Sertifikaatide loomine==
	===Sertifitseerimiskeskuse loomine (CA)===		===Sertifitseerimiskeskuse loomine (CA)===



	Loome enda sertifitseerimiskeskuse, millega hakkame sertifitseerima.		Loome enda sertifitseerimiskeskuse, millega hakkame sertifitseerima.

	$ openssl genrsa -aes256 -out root_ca.key 4096		openssl genrsa -aes256 -out root_ca.key 4096

	Krüpteerida on võimalik veel des,des3,aes128,aes192,aes256.		Krüpteerida on võimalik veel des,des3,aes128,aes192,aes256.
	RSA võtme pikkus võiks olla vähemalt 1024 bitti.		RSA võtme pikkus võiks olla vähemalt 1024 bitti.

	$ openssl req -new -x509 -days 3650 -key root_ca.key -out root_ca.crt		openssl req -new -x509 -days 3650 -key root_ca.key -out root_ca.crt

	Järgnevate küsimuste vaikeväärtused ([AU], Internet Widgits Pty Ltd, jne) ~~leiad~~ /etc/ssl/openssl.cnf. Kui on plaanis ~~anda~~ palju sertifikaate siis tasub neid ~~väärtusi~~ muuta.		Järgnevate küsimuste vaikeväärtused ([AU], Internet Widgits Pty Ltd, jne) asuvad /etc/ssl/openssl.cnf. Kui on plaanis luua palju sertifikaate siis tasub neid väärtused ära muuta.

	Country Name (2 letter code) [AU]:EE		Country Name (2 letter code) [AU]:EE
Line 41:		Line 47:

	===Serveri sertifikaadi loomine===		===Serveri sertifikaadi loomine===
	$ openssl genrsa -aes256 -out server.key 1024		Serveri privaatvõtme loomine
			openssl genrsa -aes256 -out server.key 1024

	$ openssl req -new -key server.key -out server.csr		Serveri privaatvõtme põhjal loome sertifikaadi taotluse
			openssl req -new -key server.key -out server.csr

			Kus '''Comman Name''' väljas tuleks kasutada lehe veebiaadressi.
	Country Name (2 letter code) [AU]:EE		Country Name (2 letter code) [AU]:EE
	State or Province Name (full name) [Some-State]:Harjumaa		State or Province Name (full name) [Some-State]:Harjumaa
Line 53:		Line 62:
	Email Address []:		Email Address []:

	$ openssl x509 -req -days 365 -in server.csr -CA root_ca.crt -CAkey root_ca.key -set_serial 01 -out server.crt		Allkirjastame sertifikaadi taotluse CA privaat võtmega. Loome serverile sertifikaadi kehtivusega aasta.
			openssl x509 -req -days 365 -in server.csr -CA root_ca.crt -CAkey root_ca.key -set_serial 01 -out server.crt

	===Serveri võtmest parooli eemaldamine===		===Serveri võtmest parooli eemaldamine===
	$ openssl rsa -in server.key -out server.key.insecure		Kui parooli jätame võtmesse siis apache taaskäivitamine nõuab parooli.
	$ mv server.key server.key.secure		openssl rsa -in server.key -out server.key.insecure
	$ mv server.key.insecure server.key		mv server.key server.key.secure
			mv server.key.insecure server.key

	===Sertifikaatide vaatamine===		===Sertifikaatide vaatamine===
	$ openssl rsa -noout -text -in server.key		Serveri privaatvõtme vaatamine
	$ openssl req -noout -text -in server.csr		openssl rsa -noout -text -in server.key
			Serveri sertifikaadi taotluse vaatamine
			openssl req -noout -text -in server.csr

	'''$ openssl x509 -noout -text -in root_ca.crt'''		CA sertifikaadi vaatamine
			'''openssl x509 -noout -text -in root_ca.crt'''
	Certificate:		Certificate:
	Data:		Data:
Line 109:		Line 123:
	d4:1b		d4:1b

	'''$ openssl x509 -noout -text -in server.crt'''		Serveri sertifikaadi vaatamine, kus näeme kes on allkirjastanud selle "Issuer: C=EE, ST=Harjumaa, L=Tallinn, O=IT Kolledz Certificate Authority, CN=IT Kolledz Certificate Authority".
			'''openssl x509 -noout -text -in server.crt'''
	Certificate:		Certificate:
	Data:		Data:
Line 145:		Line 160:

	===Loodud sertifikaadid===		===Loodud sertifikaadid===
	server.crt: ~~The self-signed server certificate.~~		server.crt: Iseallkirjastatud serveri sertifikaat

	server.csr: ~~Server certificate signing request.~~		server.csr: Serveri sertifikaadi allkirja taotlus

	server.key: ~~The private server key, does not require a password when starting Apache~~.		server.key: Serveri privaatvõti. (Ei nõua parooli apache käivitamisel)

	server.key.secure: ~~The private server key, it does require a password when starting Apache~~.		server.key.secure: Serveri privaatvõti. (Nõuab parooli apache käivitamisel)

	root_ca.crt: ~~The Certificate Authority's own certificate.~~		root_ca.crt: Sertifikatseerimiskeskuse sertifikaat

	root_ca.key: ~~The key which the~~ CA ~~uses to sign server signing requests.~~		root_ca.key: Võti millega CA allkirjastab sertifikaadi allkirja taotlusi

	==Autor==		==Autor==
Line 161:		Line 176:
	==Kasutatud materjal==		==Kasutatud materjal==
	*[http://www.tc.umn.edu/~brams006/selfsign.html http://www.tc.umn.edu/~brams006/selfsign.html]		*[http://www.tc.umn.edu/~brams006/selfsign.html http://www.tc.umn.edu/~brams006/selfsign.html]
	*[http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html http://~~www~~.~~tc.umn.edu~~/~~~brams006~~/~~selfsign~~.html]		*[http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html]
	*[http://kuutorvaja.eenet.ee/wiki/Sertifikaadid http://kuutorvaja.eenet.ee/wiki/Sertifikaadid]		*[http://kuutorvaja.eenet.ee/wiki/Sertifikaadid http://kuutorvaja.eenet.ee/wiki/Sertifikaadid]
			*[http://kuutorvaja.eenet.ee/wiki/OpenSSL http://kuutorvaja.eenet.ee/wiki/OpenSSL]
	*[http://www.digicert.com/ev-ssl-certification.htm http://www.digicert.com/ev-ssl-certification.htm]		*[http://www.digicert.com/ev-ssl-certification.htm http://www.digicert.com/ev-ssl-certification.htm]

Lliibert at 15:58, 17 April 2011

2011-04-17T15:58:19Z

← Older revision		Revision as of 18:58, 17 April 2011
Line 5:		Line 5:

	===EV sertifikaadid on töötavad järgmiste veebilehitsejatega===		===EV sertifikaadid on töötavad järgmiste veebilehitsejatega===
	[[File:ev2.jpg\|thumb\|upright\|alt=EV sertifikaadid\|EV ~~sertifikaadid~~ veebilehitsejas]]		[[File:ev2.jpg\|thumb\|upright\|alt=EV sertifikaadid\|EV veebilehitsejas]]
	* Google Chrome		* Google Chrome
	* IE 5.01+		* IE 5.01+

Lliibert at 15:56, 17 April 2011

2011-04-17T15:56:38Z

← Older revision		Revision as of 18:56, 17 April 2011
Line 163:		Line 163:
	*[http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html http://www.tc.umn.edu/~brams006/selfsign.html]		*[http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html http://www.tc.umn.edu/~brams006/selfsign.html]
	*[http://kuutorvaja.eenet.ee/wiki/Sertifikaadid http://kuutorvaja.eenet.ee/wiki/Sertifikaadid]		*[http://kuutorvaja.eenet.ee/wiki/Sertifikaadid http://kuutorvaja.eenet.ee/wiki/Sertifikaadid]
			*[http://www.digicert.com/ev-ssl-certification.htm http://www.digicert.com/ev-ssl-certification.htm]

Lliibert at 15:56, 17 April 2011

2011-04-17T15:56:11Z

← Older revision		Revision as of 18:56, 17 April 2011
Line 4:		Line 4:
	==Laiendatud kinnitusega sertifikaat (EV)==		==Laiendatud kinnitusega sertifikaat (EV)==

	===EV sertifikaadid on töötavad järgmiste ~~brauseritega~~===		===EV sertifikaadid on töötavad järgmiste veebilehitsejatega===
			[[File:ev2.jpg\|thumb\|upright\|alt=EV sertifikaadid\|EV sertifikaadid veebilehitsejas]]
	* Google Chrome		* Google Chrome
	* IE 5.01+		* IE 5.01+
Line 143:		Line 144:
	bc:5d		bc:5d

	===~~Sertifikaadid~~===		===Loodud sertifikaadid===
	server.crt: The self-signed server certificate.		server.crt: The self-signed server certificate.

Line 160:		Line 161:
	==Kasutatud materjal==		==Kasutatud materjal==
	*[http://www.tc.umn.edu/~brams006/selfsign.html http://www.tc.umn.edu/~brams006/selfsign.html]		*[http://www.tc.umn.edu/~brams006/selfsign.html http://www.tc.umn.edu/~brams006/selfsign.html]
			*[http://tldp.org/HOWTO/SSL-Certificates-HOWTO/x64.html http://www.tc.umn.edu/~brams006/selfsign.html]
			*[http://kuutorvaja.eenet.ee/wiki/Sertifikaadid http://kuutorvaja.eenet.ee/wiki/Sertifikaadid]

Lliibert at 15:49, 17 April 2011

2011-04-17T15:49:51Z

@@ Line 40: / Line 40: @@
 ===Serveri sertifikaadi loomine===
-===Sertifikaatide vaatamine===
+  $ openssl req -new -key server.key -out server.csr
-  openssl rsa -noout -text -in server.key
-  openssl req -noout -text -in server.csr
+  $ openssl x509 -req -days 365 -in server.csr -CA root_ca.crt -CAkey root_ca.key -set_serial 01 -out server.crt
-  openssl rsa -noout -text -in root_ca.key
+===Serveri võtmest parooli eemaldamine===
-  openssl x509 -noout -text -in root_ca.crt
+===Sertifikaatide vaatamine===
   Certificate:
      Data:
@@ Line 82: / Line 96: @@
                  DirName:/C=EE/ST=Harjumaa/L=Tallinn/O=IT Kolledz Certificate Authority/CN=IT Kolledz Certificate Authority
                  serial:E0:0C:F0:5F:EF:4B:09:67
              X509v3 Basic Constraints:
                  CA:TRUE
@@ Line 94: / Line 107: @@
 :46:24:2d:dd:3f:da:a4:27:ce:a8:89:9a:89:c2:ac:ec:b3:
          d4:1b
 ===Sertifikaadid===
@@ Line 111: / Line 159: @@
 Lauri Liibert AK21 Aprill 2011
 ==Kasutatud materjal==
-*[http://www.tc.umn.edu/~brams006/selfsign.html]
+*[http://www.tc.umn.edu/~brams006/selfsign.html http://www.tc.umn.edu/~brams006/selfsign.html]

Lliibert at 15:32, 17 April 2011

2011-04-17T15:32:50Z

← Older revision		Revision as of 18:32, 17 April 2011
Line 1:		Line 1:
	Lauri Liibert AK21		[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]
			==Mis on sertifikaat==

			==Laiendatud kinnitusega sertifikaat (EV)==

			===EV sertifikaadid on töötavad järgmiste brauseritega===
			* Google Chrome
			* IE 5.01+
			* AOL 5+
			* Netscape 4.7+
			* Opera 7+
			* Safari
			* Mozilla 1+
			* Firefox 1+
			* Konqeror

			==Sertifikaatide loomine==
			===Sertifitseerimiskeskuse loomine (CA)===



			Loome enda sertifitseerimiskeskuse, millega hakkame sertifitseerima.

			$ openssl genrsa -aes256 -out root_ca.key 4096

			Krüpteerida on võimalik veel des,des3,aes128,aes192,aes256.
			RSA võtme pikkus võiks olla vähemalt 1024 bitti.

			$ openssl req -new -x509 -days 3650 -key root_ca.key -out root_ca.crt

			Järgnevate küsimuste vaikeväärtused ([AU], Internet Widgits Pty Ltd, jne) leiad /etc/ssl/openssl.cnf. Kui on plaanis anda palju sertifikaate siis tasub neid väärtusi muuta.

			Country Name (2 letter code) [AU]:EE
			State or Province Name (full name) [Some-State]:Harjumaa
			Locality Name (eg, city) []:Tallinn
			Organization Name (eg, company) [Internet Widgits Pty Ltd]:IT Kolledz Certificate Authority
			Organizational Unit Name (eg, section) []:
			Common Name (eg, YOUR name) []:IT Kolledz Certificate Authority
			Email Address []:

			===Serveri sertifikaadi loomine===

			===Sertifikaatide vaatamine===
			openssl rsa -noout -text -in server.key

			openssl req -noout -text -in server.csr

			openssl rsa -noout -text -in root_ca.key

			openssl x509 -noout -text -in root_ca.crt

			Certificate:
			Data:
			Version: 3 (0x2)
			Serial Number:
			e0:0c:f0:5f:ef:4b:09:67
			Signature Algorithm: sha1WithRSAEncryption
			Issuer: C=EE, ST=Harjumaa, L=Tallinn, O=IT Kolledz Certificate Authority, CN=IT Kolledz Certificate Authority
			Validity
			Not Before: Apr 17 15:30:29 2011 GMT
			Not After : Apr 16 15:30:29 2012 GMT
			Subject: C=EE, ST=Harjumaa, L=Tallinn, O=IT Kolledz Certificate Authority, CN=IT Kolledz Certificate Authority
			Subject Public Key Info:
			Public Key Algorithm: rsaEncryption
			RSA Public Key: (1024 bit)
			Modulus (1024 bit):
			00:cc:c9:cc:53:2a:3d:d2:a6:e2:8a:a0:e9:89:50:
			01:d0:33:64:6e:a5:9c:b7:b9:ba:5e:d5:a0:57:ad:
			a5:82:3b:d4:1d:ef:6e:77:5f:a9:0c:9b:b2:a8:1c:
			be:74:74:dc:01:26:05:0c:6d:85:9f:0e:22:29:79:
			f1:3c:72:50:57:ef:b6:90:d7:91:1c:50:38:16:b3:
			c1:9d:ce:00:4b:f6:1d:71:39:6f:79:02:d6:46:9d:
			23:06:79:95:74:b8:16:72:6e:57:e2:1e:b2:4d:fe:
			41:e9:c7:a4:45:29:e4:d4:77:80:4b:0b:1d:8d:ef:
			86:ea:35:e4:bc:45:d3:3d:0b
			Exponent: 65537 (0x10001)
			X509v3 extensions:
			X509v3 Subject Key Identifier:
			7E:FA:85:82:7C:36:A3:60:EB:47:C3:14:4C:01:04:79:E6:5C:B9:5D
			X509v3 Authority Key Identifier:
			keyid:7E:FA:85:82:7C:36:A3:60:EB:47:C3:14:4C:01:04:79:E6:5C:B9:5D
			DirName:/C=EE/ST=Harjumaa/L=Tallinn/O=IT Kolledz Certificate Authority/CN=IT Kolledz Certificate Authority
			serial:E0:0C:F0:5F:EF:4B:09:67

			X509v3 Basic Constraints:
			CA:TRUE
			Signature Algorithm: sha1WithRSAEncryption
			4d:6d:66:d4:ab:82:78:d9:ac:b5:de:5f:b7:55:69:bf:22:96:
			b6:7d:af:13:46:f3:f2:32:ae:80:a6:0f:53:7a:33:d6:9f:89:
			e7:98:42:d3:6c:53:98:47:12:b0:01:6e:d1:c3:03:f0:ac:ed:
			d2:d8:a5:5c:c8:9f:b9:73:ba:26:cc:69:f9:c3:e4:42:7d:d0:
			dc:c5:1c:63:e0:35:b0:46:c2:02:0a:9e:b6:b4:49:74:09:2e:
			39:a3:65:f1:e5:55:90:02:c1:12:5e:0c:3a:6f:9e:33:49:6a:
			19:46:24:2d:dd:3f:da:a4:27:ce:a8:89:9a:89:c2:ac:ec:b3:
			d4:1b

			===Sertifikaadid===
			server.crt: The self-signed server certificate.

			server.csr: Server certificate signing request.

			server.key: The private server key, does not require a password when starting Apache.

			server.key.secure: The private server key, it does require a password when starting Apache.

			root_ca.crt: The Certificate Authority's own certificate.

			root_ca.key: The key which the CA uses to sign server signing requests.

			==Autor==
			Lauri Liibert AK21 Aprill 2011
			==Kasutatud materjal==
			*[http://www.tc.umn.edu/~brams006/selfsign.html]