Erstellung einer eigenen hierachischen CA - Versionsgeschichte

Netbreaker: /* Vorüberlegung */

2013-10-05T19:28:22Z

‎Vorüberlegung

2012-04-22T19:40:29Z

‎gut erklärende Webseite

2012-03-27T20:01:07Z

‎Zertifikate erneuern

2012-03-27T19:59:43Z

‎Schlüssel ohne Kennwort

2012-01-17T13:23:58Z

‎OpenSSL Konfiguration anpassen

2011-07-29T09:32:23Z

‎Hinweise

2011-07-29T08:41:48Z

‎Root-CA erstellen

2011-07-29T08:40:59Z

‎Root-CA erstellen

2011-04-12T18:56:47Z

‎Schlüssel ohne Kennwort

2011-04-12T15:42:22Z

‎Zertifikat für den ersten User des Kunden "custom_1" erstellen

@@ Zeile 15: / Zeile 15: @@
 <br /><br /><br />
 [[Bild:Folder openssl.png]]
 == System ==
 * debian || ubuntu z.B. (Debian 2.6.26-26lenny1)

← Nächstältere Version		Version vom 22. April 2012, 19:40 Uhr
Zeile 191:		Zeile 191:

	===gut erklärende Webseite===		===gut erklärende Webseite===
−	~~[http://thomassteinbach.blogspot.com/2009/02/vpn-teil-i-zertifikate.html http://thomassteinbach.blogspot.com/2009/02/vpn-teil-i-zertifikate.html]~~

	[http://thomassteinbach.blogspot.com/2009/02/vpn-teil-ii-openvpn-konfigurieren_1720.html http://thomassteinbach.blogspot.com/2009/02/vpn-teil-ii-openvpn-konfigurieren_1720.html]		[http://thomassteinbach.blogspot.com/2009/02/vpn-teil-ii-openvpn-konfigurieren_1720.html http://thomassteinbach.blogspot.com/2009/02/vpn-teil-ii-openvpn-konfigurieren_1720.html]

@@ Zeile 184: / Zeile 184: @@
 ===Zertifikate erneuern===
-Es kann auch mit einem vorhandenen Key ein neuer CSR erstellt werden. Damit können dann abgelaufene Zertifikate erneuert werden oder auch der CSR von einer anderen CA signiert werden.
+Es kann auch mit einem vorhandenen Key ein neuer CSR erstellt werden. Damit können dann abgelaufene Zertifikate erneuert werden oder auch der Key von einer anderen CA signiert werden.
   openssl req -new -key user_1.key -out user_1.csr

← Nächstältere Version		Version vom 27. März 2012, 19:59 Uhr
Zeile 173:		Zeile 173:

	openssl rsa -in customers/custom_1/user_1/user_1.key -out customers/custom_1/user_1/user_1_without_pass.key		openssl rsa -in customers/custom_1/user_1/user_1.key -out customers/custom_1/user_1/user_1_without_pass.key
		+
		+	===Kennwort des privaten Schlüssels ändern oder nachträglich setzen===
		+	Wenn die Zertifikate und Schlüssel mit Tools erzeugt werden, die dabei kein Passwort setzen (z.B. easyRSA, pfsense-Certificate-Manager), ist es ratsam, den Key nachträglich durch ein Passwort zu schützen.
		+	Wie auch in anderen Systemen das Passwort regelmäßig geändert werden muß, kann man dies auch bei einem SSL-PrivateKey ändern, ohne dabei gleich ein neues Zertifikat zu erstellen und das Alte auszutauschen.
		+
		+	openssl rsa -in user_without_pass.key -out user.key -des3
		+
		+	Bei einem vorhandenen Passwort wird zuerst das alte Passwort abgefragt und danach das Neue.

	===Zertifikate erneuern===		===Zertifikate erneuern===

@@ Zeile 53: / Zeile 53: @@
 .organizationName_default	= OSSI - Otto's Super Service International
 Ergänzungen in openssl.conf:
   [ server ]

@@ Zeile 164: / Zeile 164: @@
   -nodes
   if this option is specified then if a private key is created it will not be encrypted.
 Verwendung:
@@ Zeile 179: / Zeile 180: @@
 Das Zertifikat wird wie oben beschrieben signiert.

@@ Zeile 82: / Zeile 82: @@
 *diese CA gilt 10 Jahre
   openssl req -new -x509 -newkey rsa:1024 -days 3650 -keyout myroot.key -out myroot.crt -days 3650
-*Diffie-Hellmann Parameter erzeugen (dient zur sicheren Übertragung von Schlüsselinformationen über unsichere Netzwerkabschnitte)
+*Diffie-Hellmann Parameter erzeugen (Dient zur sicheren Übertragung von Schlüsselinformationen über unsichere Netzwerkabschnitte hinweg)
   openssl dhparam -out dh1024.pem 1024

@@ Zeile 158: / Zeile 158: @@
   ...
-=== -nodes Schlüssel ohne Kennwort===
+===Schlüssel ohne Kennwort===
 Zuweilen kann es nötig sein (wenn gleich aus Sicherheitsgründen davon abzuraten ist),
 passwortlose Schlüssel zu erstellen.
@@ Zeile 171: / Zeile 171: @@
   openssl rsa -in customers/custom_1/user_1/user_1.key -out customers/custom_1/user_1/user_1_without_pass.key

@@ Zeile 133: / Zeile 133: @@
   openssl req -new -newkey rsa:1024 -keyout customers/custom_1/user_1/user_1.key -out customers/custom_1/user_1/user_1.csr
-  openssl ca -cert customers/custom_1/custom_1_openvpn.crt -keyfile customers/custom_1/custom_1.key -in customers/custom_1/user_1/user_1.csr -out customers/custom_1/user_1/user_1.crt
+  openssl ca -cert customers/custom_1/custom_1_openvpn.crt -keyfile customers/custom_1/custom_1.key \
 * Test ...
   openssl verify -CAfile customers/custom_1/custom_1_openvpn_complete.crt customers/custom_1/user_1/user_1.crt