Ich habe einen Proxy-Server mit SSL mithilfe eines PEM-Zertifikats eingerichtet. Nun gibt es einige von mir, denen ich dieses Zertifikat automatisch anvertrauen möchte (ohne dass sich der Webbrowser beschwert). Wie kann ich ein PEM-Zertifikat auf jedem Computer installieren?
Was wird außerdem empfohlen: Erstellen eines selbstsignierten Zertifikats oder Verketten des snakeoil-Zertifikats?
Antworten:
Browser verfügen über eine Liste vertrauenswürdiger "Zertifizierungsstellen" -Zertifikate. Wenn das Zertifikat eines Servers von einem dieser CA-Zertifikate signiert und ordnungsgemäß erstellt wurde, wird die SSL-Warnung nicht angezeigt.
Viele Browser werden mit vielen gängigen Zertifizierungsstellenzertifikaten wie Verisign, Thawte usw. geliefert. In den meisten Browsern können Sie eine neue Zertifizierungsstelle in diese Liste vertrauenswürdiger Zertifizierungsstellen importieren.
So wie Sie Ihr eigenes selbstsigniertes Serverzertifikat erstellen, können Sie auch Ihr eigenes selbstsigniertes CA-Zertifikat erstellen. Sie können das dann verwenden, um Ihr Serverzertifikat zu signieren. Wenn Ihre Zertifizierungsstelle nicht von einer bekannten Firma bereitgestellt wird, was nicht der Fall wäre, wenn Sie sie selbst erstellt haben, muss sie auf der Serverseite explizit importiert werden.
Ich habe das schon früher gemacht xca. Es enthält Vorlagen für Zertifizierungsstellen und HTTP-Server. Das Verfahren ist das folgende:
Sie müssen dann xcadas CA-Zertifikat exportieren (als Datei, wenn Sie es verwenden ) (aber natürlich ohne privaten Schlüssel). A .pemwird generiert, aber Sie können die Erweiterung auf ändern .crt. Wenn ein Benutzer darauf klickt, wird die Installation in Firefox und Internet Explorer sowie möglicherweise in anderen wichtigen Browsern angeboten. Bei der automatischen Installation dieser .crt können Sie:
Sie können dann die Exportfunktionen für HTTP-Serverzertifikate verwenden (sowohl privaten Schlüssel als auch Zertifikat für die Serverseite exportieren), um Ihren Proxyserver einzurichten.
Kopieren Sie Ihr Zertifikat /etc/ssl/certsauf das Zielsystem. Erstellen Sie dann einen Symlink den Hash durch den Befehl erzeugt unter Verwendung von openssl x509 -noout -hash -in ca-certificate-fileErsatz ca-certificate-filemit Ihrem Zertifikat Namen. Ihr Zertifikat sollte dann von allen Programmen ohne eigenen Zertifikatspeicher akzeptiert werden.
Für Programme mit einem eigenen Zertifikatspeicher (Browser, Java und andere) müssen Sie das Zertifikat importieren.
Am besten erstellen Sie Ihr eigenes selbstsigniertes oder signiertes Zertifikat.
Möglicherweise möchten Sie tinyca2Ihre eigene Zertifizierungsstelle installieren und generieren. Sie können das Zertifizierungsstellenzertifikat wie in den obigen Schritten beschrieben importieren. Generieren Sie signierte Zertifikate für Ihre Anwendungen und stellen Sie sie bereit.
Verteilen Sie Ihr CA-Zertifikat an die Benutzer, die Ihrem Zertifikat vertrauen müssen. Möglicherweise müssen Sie Informationen zum Importieren des Zertifikats angeben. WARNUNG: In diesem Fall werden Sie zu einer anderen vertrauenswürdigen Zertifizierungsstelle. Sichern Sie Ihre Zertifizierungsstelle entsprechend.
Viele Tools können auch so konfiguriert werden, dass sie selbstsignierten Zertifikaten oder Zertifikaten mit nicht vertrauenswürdigen Zertifizierungsstellen vertrauen. Dies ist normalerweise eine einmalige Aktion. Dies kann sicherer sein als das Akzeptieren eines CA-Zertifikats von einer unsicheren Stelle. Nur das akzeptierte Zertifikat wird als vertrauenswürdig eingestuft.
Unter Debian und Ubuntu haben Sie das zu kopieren , certificate.pemzu /usr/local/share/ca-certificates/certificate.crtund dann laufen dpkg-reconfigure ca-certificates. /etc/ssl/certswird von diesem Befehl verwaltet.
/etc/ssl/certs/ssl-cert-snakeoil.pem(Dies ist das, was das Debian-Paketssl-certfür Sie erstellt). Wir kopieren es auf Host A und rufen es auf/etc/ssl/certs/host-B.pem(da dieser Host möglicherweise bereits einen hatssl-cert-snakeoil.pem). Dann rennen wir losln -s /etc/ssl/certs/host-B.pem $(openssl x509 -noout -hash -in /etc/ssl/certs/host-B.pem).