{"id":6463,"date":"2013-02-12T01:34:37","date_gmt":"2013-02-12T01:34:37","guid":{"rendered":"https:\/\/dev.railscarma.com\/how-to-generate-and-install-self-signed-certificate-on-apache\/"},"modified":"2021-06-07T07:58:51","modified_gmt":"2021-06-07T07:58:51","slug":"so-generieren-und-installieren-sie-ein-selbstsigniertes-zertifikat-auf-apache","status":"publish","type":"post","link":"https:\/\/www.railscarma.com\/de\/blog\/management\/so-generieren-und-installieren-sie-ein-selbstsigniertes-zertifikat-auf-apache\/","title":{"rendered":"Wie erstelle und installiere ich ein selbstsigniertes Zertifikat auf Apache?"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Secure Socket Layer (SSL) dient der Verschl\u00fcsselung des Datenstroms zwischen dem Webserver und dem Webclient (dem Browser).<\/p>\n

SSL nutzt die sogenannte asymmetrische Kryptografie, die allgemein als Public-Key-Kryptografie (PKI) bezeichnet wird. Bei der Public-Key-Kryptographie werden zwei Schl\u00fcssel erstellt, einer \u00f6ffentlich und einer privat. Alles, was mit einem der Schl\u00fcssel verschl\u00fcsselt wurde, kann nur mit dem entsprechenden Schl\u00fcssel entschl\u00fcsselt werden. Wenn also eine Nachricht oder ein Datenstrom mit dem privaten Schl\u00fcssel des Servers verschl\u00fcsselt wurde, kann sie nur mit dem entsprechenden \u00f6ffentlichen Schl\u00fcssel entschl\u00fcsselt werden, wodurch sichergestellt wird, dass die Daten nur vom Server stammen k\u00f6nnen.<\/p>\n

Das von einer vertrauensw\u00fcrdigen Zertifizierungsstelle (CA) signierte Apache-SSL-Zertifikat stellt sicher, dass der Zertifikatsinhaber eine echte Person oder Organisation ist. Ohne ein vertrauensw\u00fcrdiges signiertes Zertifikat sind Ihre Daten m\u00f6glicherweise verschl\u00fcsselt, allerdings handelt es sich bei der Partei, mit der Sie kommunizieren, m\u00f6glicherweise nicht um die Partei, mit der Sie kommunizieren. Ohne das Apache-SSL-Zertifikat w\u00e4ren Imitationsangriffe weitaus h\u00e4ufiger.<\/p>\n

Das OpenSSL-Toolkit wird zum Generieren eines privaten RSA-Schl\u00fcssels und einer CSR (Certificate Signing Request) verwendet. Es kann auch zur Generierung selbstsignierter Zertifikate verwendet werden, die zu Testzwecken oder f\u00fcr den internen Gebrauch verwendet werden k\u00f6nnen.<\/p>\n

Schritt 1: Generieren Sie einen privaten Schl\u00fcssel<\/p>\n

Der erste Schritt besteht darin, Ihren privaten RSA-Schl\u00fcssel zu erstellen. Bei diesem Schl\u00fcssel handelt es sich um einen 1024-Bit-RSA-Schl\u00fcssel, der mit Triple-DES verschl\u00fcsselt und in einem PEM-Format gespeichert wird, sodass er als ASCII-Text lesbar ist.<\/p>\n\n

openssl genrsa -des3 -out server.key 1024<\/code> Generieren eines privaten RSA-Schl\u00fcssels mit einem 1024-Bit-Langmodul<\/code> .........................................................++++++<\/code> ........++++++<\/code> e ist 65537 (0x10001)<\/code> Geben Sie die PEM-Passphrase ein:<\/code> Passwort \u00fcberpr\u00fcfen \u2013 PEM-Passphrase eingeben:<\/code><\/pre>\n
Schritt 2: Generieren Sie eine CSR (Certificate Signing Request)<\/p>\n
Sobald der private Schl\u00fcssel generiert ist, kann eine Zertifikatsignierungsanforderung generiert werden. Der CSR wird dann auf zwei Arten verwendet. Im Idealfall wird die CSR an eine Zertifizierungsstelle wie Verisign gesendet, die die Identit\u00e4t des Antragstellers \u00fcberpr\u00fcft und ein signiertes Zertifikat ausstellt. Die zweite M\u00f6glichkeit besteht darin, die CSR selbst zu signieren, was im n\u00e4chsten Abschnitt demonstriert wird.<\/p>\n
W\u00e4hrend der Erstellung des CSR werden Sie zur Eingabe mehrerer Informationen aufgefordert. Dies sind die X.509-Attribute des Zertifikats. Eine der Eingabeaufforderungen lautet \u201eAllgemeiner Name (z. B. IHR Name)\u201c. Es ist wichtig, dass dieses Feld mit dem vollst\u00e4ndig qualifizierten Dom\u00e4nennamen des Servers ausgef\u00fcllt wird, der durch SSL gesch\u00fctzt werden soll. Wenn die Website gesch\u00fctzt werden soll https:\/\/yourdomain.com<\/a>Geben Sie dann an dieser Eingabeaufforderung \u201eyourdomain.com\u201c ein. Der Befehl zum Generieren der CSR lautet wie folgt:<\/p>\n\n
openssl req -new -key server.key -out server.csr<\/code> L\u00e4ndername (2-Buchstaben-Code) [GB]:IN<\/code> Name des Staates oder der Provinz (vollst\u00e4ndiger Name) [Berkshire]:Karnataka<\/code> Ortsname (z. B. Stadt) [Newbury]:Bangalore<\/code> Name der Organisation (z. B. Firma) [My Company Ltd]: Firmenname<\/code> Name der Organisationseinheit (z. B. Abschnitt) []:Informationstechnologie<\/code> Allgemeiner Name (z. B. Ihr Name oder der Hostname Ihres Servers) []:yourdomain.com<\/code> E-Mail-Adresse []:admin@yourdomain.com<\/code> Bitte geben Sie die folgenden \u201ezus\u00e4tzlichen\u201c Attribute ein<\/code> wird zusammen mit Ihrer Zertifikatsanfrage verschickt<\/code> Ein Challenge-Passwort []:<\/code> Ein optionaler Firmenname []:<\/code><\/pre>\n
Schritt 3: Passphrase vom Schl\u00fcssel entfernen<\/p>\n
Ein ungl\u00fccklicher Nebeneffekt des mit einer Passphrase versehenen privaten Schl\u00fcssels besteht darin, dass der Webserver bei jedem Start des Webservers nach der Passphrase fragt. Offensichtlich ist dies nicht unbedingt praktisch, da nicht immer jemand da ist, um die Passphrase einzugeben, beispielsweise nach einem Neustart oder einem Absturz. mod_ssl bietet die M\u00f6glichkeit, anstelle des integrierten Passphrase-Dialogs ein externes Programm zu verwenden. Dies ist jedoch auch nicht unbedingt die sicherste Option. Es ist m\u00f6glich, die Triple-DES-Verschl\u00fcsselung aus dem Schl\u00fcssel zu entfernen, sodass keine Passphrase mehr eingegeben werden muss. Wenn der private Schl\u00fcssel nicht mehr verschl\u00fcsselt ist, ist es wichtig, dass diese Datei nur f\u00fcr den Root-Benutzer lesbar ist! Sollte Ihr System jemals kompromittiert werden und ein Dritter an Ihren unverschl\u00fcsselten privaten Schl\u00fcssel gelangen, muss das entsprechende Zertifikat widerrufen werden. Nachdem dies gesagt ist, verwenden Sie den folgenden Befehl, um die Passphrase aus dem Schl\u00fcssel zu entfernen:<\/p>\n\n
cp server.key server.key.org<\/code> openssl rsa -in server.key.org -out server.key<\/code><\/pre>\n
Die neu erstellte server.key-Datei enth\u00e4lt keine Passphrase mehr.<\/p>\n
Schritt 4: Erstellen eines selbstsignierten Zertifikats<\/p>\n
Zu diesem Zeitpunkt m\u00fcssen Sie ein selbstsigniertes Zertifikat erstellen, da Sie entweder nicht vorhaben, Ihr Zertifikat von einer Zertifizierungsstelle signieren zu lassen, oder Ihre neue SSL-Implementierung testen m\u00f6chten, w\u00e4hrend die Zertifizierungsstelle Ihr Zertifikat signiert. Dieses tempor\u00e4re Zertifikat erzeugt im Client-Browser einen Fehler, der besagt, dass die signierende Zertifizierungsstelle unbekannt und nicht vertrauensw\u00fcrdig ist.<\/p>\n
Um ein tempor\u00e4res Zertifikat zu generieren, das 365 Tage lang g\u00fcltig ist, geben Sie den folgenden Befehl ein:<\/p>\n\n
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt<\/code> Unterschrift ok<\/code> subject=\/C=CH\/ST=Bern\/L=Oberdiessbach\/O=Akadia AG\/OU=Information<\/code> Technology\/CN=public.akadia.com\/Email=martin dot zahn bei akadia dot ch<\/code> Erhalten des privaten Schl\u00fcssels<\/code><\/pre>\n
Schritt 5: Installieren des privaten Schl\u00fcssels und Zertifikats<\/p>\n
Wenn Apache mit mod_ssl installiert wird, werden mehrere Verzeichnisse im Apache-Konfigurationsverzeichnis erstellt. Der Speicherort dieses Verzeichnisses h\u00e4ngt davon ab, wie Apache kompiliert wurde.<\/p>\n\n
cp server.crt \/usr\/local\/apache\/conf\/ssl.crt<\/code> cp server.key \/usr\/local\/apache\/conf\/ssl.key<\/code><\/pre>\n
Schritt 6: SSL-f\u00e4hige virtuelle Hosts konfigurieren<\/p>\n\n
SSLEngine eingeschaltet<\/code> SSLCertificateFile \/usr\/local\/apache\/conf\/ssl.crt\/server.crt<\/code> SSLCertificateKeyFile \/usr\/local\/apache\/conf\/ssl.key\/server.key<\/code> SetEnvIf User-Agent \u201e.*MSIE.*\u201c nokeepalive ssl-unclean-shutdown<\/code> CustomLog logs\/ssl_request_log \u201e%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \u201e%r\u201c %b\u201c<\/code><\/pre>\n
Starten Sie nun Apache neu und \u00fcberpr\u00fcfen Sie.<\/p>\nNehmen Sie Kontakt mit uns auf.<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Abonnieren Sie die neuesten Updates<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\t\t\t\t\t