Im Beitrag Lokale Zertifizierungsstelle (certificate authority – CA) erstellen haben wir auf einen Server eine lokale Zertifizierungsstelle erstellt mittels der wir lokale Zertifikate signieren können.
In diesem Beitrag erstellen wir auf unserem Webserver eine Zertifikatsanfrage (Certificate Signing Request – CSR) welche wir mittels unserer Zertifizierungsstelle signieren und damit ein gültiges Zertifikat bekommen.
Im Beispiel erstelle ich ein Zertifikat für einen Webseiter welche unter https://server.domain.tld erreichbar ist.
Natürlich müssen wir für unseren Server den vollqualifizierten Namen (Fully Qualified Domain Name – FQDN) der eigenen Domain angeben.
Zertifikatsanfrage erstellen
Da Google Chrome seit der Version 58 das Feld Common Name aus dem Zertifikat ignoriert und nun die Einträge aus den Feld Alternativer Antragstellername (Subject Alternative Name – SAN) zur Überprüfung verwendet, die SAN in OpenSSL jedoch nicht in der Befehlszeile angeben werden können, müssen wir uns bei der Zertifikatsanfrage und sie Signierung mit Konfigurationsdateien helfen.
Wir wechseln ins Verzeichnis /etc/ssl/private:
cd /etc/ssl/private
Und erstellen einen privaten Schlüssel (private key):
openssl genrsa -out myserver.domain.tld.key 4096
Nun erstellen wir eine Datei namens createcsr.conf:
touch createcsr.conf
Wir öffnen die Datei mit unserem Editor und kopieren folgenden Inhalt hinein, wobei die Zeilen 7, 9, 11, 13, 15, 17 sowie 25 und alle folgenden an den eigenen Bedarf angepasst werden müssen:
[req] distinguished_name = req_distinguished_name req_extensions = v3_req [req_distinguished_name] countryName = Country Name (2 letter code) countryName_default = AT stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = VIENNA localityName = Locality Name (eg, city) localityName_default = Vienna organizationName = Organization Name (eg, company) organizationName_default = TestFirma organizationalUnitName = Organizational Unit Name (eg, section) organizationalUnitName_default = Administration commonName = Common Name (e.g. server FQDN or YOUR name) commonName_default = myserver [v3_req] basicConstraints = CA:FALSE keyUsage = nonRepudiation, digitalSignature, keyEncipherment subjectAltName = @alt_names [alt_names] DNS.1 = myserver DNS.2 = myserver.domain.tld DNS.3 = weitere DN oder FQDN IP.1 = 192.168.0.100
Mit dieser Konfigurationsdatei können wir unsere Zertifikatsanfrage erstellen:
openssl req -new -key /etc/ssl/private/myserver.domain.tld.key -out myserver.domain.tld.csr -config createcsr.conf
Die Zertifikatsanfrage können wir wie folgt überprüfen:
openssl req -noout -text -in myserver.domain.tld.csr
Zertifikatsanfrage signieren
Die Signierung der Zertifikatsanfrage erfolgt nun auf dem Server, auf den wir die lokale Zertifizierungsstelle eingerichtet haben.
Wir erstellen ein neues Unterverzeichnis im Verzeichnis CA mit dem Namen myserver:
mkdir /CA/Myserver
Wir kopieren die Zertifikatsanfrage myserver.domain.tld.csr in das neu erstellte Verzeichnis. Dafür verwenden wir z.B. WinSCP.
Um die Zertifikatsanfrage mit den SAN-Einträgen signieren zu können benötigen wir eine Konfigurationsdatei mit dem Namen signcsr.conf welche wir wie folgt erstellen:
touch signcsr.conf
Wir öffnen diese mit unserem Editor und kopieren folgenden Inhalt hinein, wobei die Zeilen 5 und folgende wieder nach unseren Anforderungen angepasst werden müssen:
[SAN] subjectAltName = @alt_names [alt_names] DNS.1 = myserver DNS.2 = myserver.domain.tld DNS.3 = weitere DN oder FQDN IP = 192.168.0.100
Wir können nun unsere Zertifikatsanfrage signieren, dafür benötigen wir jedoch das Passwort für den privaten Schlüssel der lokalen Zertifizierungsstelle:
openssl x509 -req -days 3650 -in myserver.domain.tld.csr -CA ../ca-testfirma.crt -CAkey ../ca-testfirma.key -set_serial 01 -out myserver.domain.tld.pem -extfile signcsr.conf -extensions SAN
Firefox lässt kein Zertifikat zu welches die gleiche Seriennummer hat wie ein bereits bestehendes (Error code: sec_error_reused_issuer_and_serial). Für weitere Zertifikate bei -set_serial fortlaufende Nummern verwenden!
Das Zertifikat können wir wie folgt überprüfen:
openssl x509 -noout -text -in myserver.domain.tld.pem
Das Zertifikat myserver.domain.tld.crt kopieren wir nun ins Verzeichnis /etc/ssl/certs auf unseren Webserver und verwenden es dort für die Einrichtung der SSL-Webseite.