{"id":6463,"date":"2013-02-12T01:34:37","date_gmt":"2013-02-12T01:34:37","guid":{"rendered":"https:\/\/dev.railscarma.com\/how-to-generate-and-install-self-signed-certificate-on-apache\/"},"modified":"2021-06-07T07:58:51","modified_gmt":"2021-06-07T07:58:51","slug":"comment-generer-et-installer-un-certificat-auto-signe-sur-apache","status":"publish","type":"post","link":"https:\/\/www.railscarma.com\/fr\/blog\/gestion\/comment-generer-et-installer-un-certificat-auto-signe-sur-apache\/","title":{"rendered":"Comment g\u00e9n\u00e9rer et installer un certificat auto-sign\u00e9 sur Apache ?"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le Secure Socket Layer (SSL) est utilis\u00e9 pour crypter le flux de donn\u00e9es entre le serveur Web et le client Web (le navigateur).<\/p>\n

SSL utilise ce que l'on appelle la cryptographie asym\u00e9trique, commun\u00e9ment appel\u00e9e cryptographie \u00e0 cl\u00e9 publique (PKI). Avec la cryptographie \u00e0 cl\u00e9 publique, deux cl\u00e9s sont cr\u00e9\u00e9es, une publique et une priv\u00e9e. Tout ce qui est chiffr\u00e9 avec l'une ou l'autre cl\u00e9 ne peut \u00eatre d\u00e9chiffr\u00e9 qu'avec la cl\u00e9 correspondante. Ainsi, si un message ou un flux de donn\u00e9es \u00e9tait chiffr\u00e9 avec la cl\u00e9 priv\u00e9e du serveur, il ne pourrait \u00eatre d\u00e9chiffr\u00e9 qu'\u00e0 l'aide de la cl\u00e9 publique correspondante, garantissant ainsi que les donn\u00e9es pouvaient uniquement provenir du serveur.<\/p>\n

Le certificat SSL Apache sign\u00e9 par une autorit\u00e9 de certification (CA) de confiance garantit que le titulaire du certificat est une personne ou une organisation r\u00e9elle. Sans certificat sign\u00e9 de confiance, vos donn\u00e9es peuvent \u00eatre crypt\u00e9es. Cependant, la personne avec laquelle vous communiquez n'est peut-\u00eatre pas celle que vous pensez. Sans certificat SSL Apache, les attaques par usurpation d'identit\u00e9 seraient beaucoup plus courantes.<\/p>\n

La bo\u00eete \u00e0 outils openssl est utilis\u00e9e pour g\u00e9n\u00e9rer une cl\u00e9 priv\u00e9e RSA et une CSR (Certificate Signing Request). Il peut \u00e9galement \u00eatre utilis\u00e9 pour g\u00e9n\u00e9rer des certificats auto-sign\u00e9s qui peuvent \u00eatre utilis\u00e9s \u00e0 des fins de test ou pour un usage interne.<\/p>\n

\u00c9tape 1\u00a0: g\u00e9n\u00e9rer une cl\u00e9 priv\u00e9e<\/p>\n

La premi\u00e8re \u00e9tape consiste \u00e0 cr\u00e9er votre cl\u00e9 priv\u00e9e RSA. Cette cl\u00e9 est une cl\u00e9 RSA de 1 024 bits qui est crypt\u00e9e \u00e0 l'aide de Triple-DES et stock\u00e9e au format PEM afin qu'elle soit lisible sous forme de texte ASCII.<\/p>\n\n

openssl genrsa -des3 -out server.key 1024<\/code> G\u00e9n\u00e9ration d'une cl\u00e9 priv\u00e9e RSA, module de 1024 bits de long<\/code> .........................................................++++++<\/code> ........++++++<\/code> e est 65537 (0x10001)<\/code> Saisissez la phrase de passe PEM\u00a0:<\/code> V\u00e9rification du mot de passe - Saisissez la phrase de passe PEM\u00a0:<\/code><\/pre>\n
\u00c9tape 2\u00a0: g\u00e9n\u00e9rer un CSR (demande de signature de certificat)<\/p>\n
Une fois la cl\u00e9 priv\u00e9e g\u00e9n\u00e9r\u00e9e, une demande de signature de certificat peut \u00eatre g\u00e9n\u00e9r\u00e9e. Le CSR est ensuite utilis\u00e9 de deux mani\u00e8res. Id\u00e9alement, le CSR sera envoy\u00e9 \u00e0 une autorit\u00e9 de certification, telle que Verisign, qui v\u00e9rifiera l'identit\u00e9 du demandeur et d\u00e9livrera un certificat sign\u00e9. La deuxi\u00e8me option consiste \u00e0 signer soi-m\u00eame le CSR, ce qui sera d\u00e9montr\u00e9 dans la section suivante.<\/p>\n
Lors de la g\u00e9n\u00e9ration du CSR, plusieurs informations vous seront demand\u00e9es. Ce sont les attributs X.509 du certificat. L'une des invites sera \u00ab\u00a0Nom commun (par exemple, VOTRE nom)\u00a0\u00bb. Il est important que ce champ soit renseign\u00e9 avec le nom de domaine complet du serveur \u00e0 prot\u00e9ger par SSL. Si le site Web \u00e0 prot\u00e9ger est https:\/\/yourdomain.com<\/a>, puis saisissez \u00ab votredomaine.com \u00bb \u00e0 cette invite. La commande pour g\u00e9n\u00e9rer le CSR est la suivante\u00a0:<\/p>\n\n
openssl req -new -key server.key -out server.csr<\/code> Nom du pays (code \u00e0 2 lettres) [GB]:IN<\/code> Nom de l'\u00c9tat ou de la province (nom complet) [Berkshire]\u00a0:\u00a0Karnataka<\/code> Nom de la localit\u00e9 (par exemple, ville) [Newbury]\u00a0:\u00a0Bangalore<\/code> Nom de l'organisation (par exemple, entreprise) [My Company Ltd]\u00a0:\u00a0Nom de l'entreprise<\/code> Nom de l'unit\u00e9 organisationnelle (par exemple, section) []\u00a0:\u00a0Technologie de l'information<\/code> Nom commun (par exemple, votre nom ou le nom d'h\u00f4te de votre serveur) []:votredomaine.com<\/code> Adresse e-mail []:admin@votredomaine.com<\/code> Veuillez saisir les attributs \u00ab suppl\u00e9mentaires \u00bb suivants<\/code> \u00e0 envoyer avec votre demande de certificat<\/code> Un mot de passe de d\u00e9fi []\u00a0:<\/code> Un nom de soci\u00e9t\u00e9 facultatif []\u00a0:<\/code><\/pre>\n
\u00c9tape 3\u00a0: Supprimer la phrase secr\u00e8te de la cl\u00e9<\/p>\n
Un effet secondaire malheureux de la cl\u00e9 priv\u00e9e avec phrase secr\u00e8te est que le serveur Web demandera la phrase secr\u00e8te \u00e0 chaque d\u00e9marrage du serveur Web. \u00c9videmment, cela n'est pas n\u00e9cessairement pratique, car il n'y aura pas toujours quelqu'un pour saisir la phrase secr\u00e8te, par exemple apr\u00e8s un red\u00e9marrage ou un crash. mod_ssl inclut la possibilit\u00e9 d'utiliser un programme externe \u00e0 la place de la bo\u00eete de dialogue de phrase secr\u00e8te int\u00e9gr\u00e9e, cependant, ce n'est pas n\u00e9cessairement non plus l'option la plus s\u00e9curis\u00e9e. Il est possible de supprimer le cryptage Triple-DES de la cl\u00e9, ce qui \u00e9vite de devoir saisir une phrase secr\u00e8te. Si la cl\u00e9 priv\u00e9e n'est plus chiffr\u00e9e, il est essentiel que ce fichier ne soit lisible que par l'utilisateur root ! Si jamais votre syst\u00e8me est compromis et qu\u2019un tiers obtient votre cl\u00e9 priv\u00e9e non crypt\u00e9e, le certificat correspondant devra \u00eatre r\u00e9voqu\u00e9. Cela \u00e9tant dit, utilisez la commande suivante pour supprimer la phrase secr\u00e8te de la cl\u00e9\u00a0:<\/p>\n\n
cp serveur.key serveur.key.org<\/code> openssl rsa -in server.key.org -out server.key<\/code><\/pre>\n
Le fichier server.key nouvellement cr\u00e9\u00e9 ne contient plus de phrase secr\u00e8te.<\/p>\n
\u00c9tape 4\u00a0: G\u00e9n\u00e9rer un certificat auto-sign\u00e9<\/p>\n
\u00c0 ce stade, vous devrez g\u00e9n\u00e9rer un certificat auto-sign\u00e9 car soit vous ne pr\u00e9voyez pas de faire signer votre certificat par une autorit\u00e9 de certification, soit vous souhaitez tester votre nouvelle impl\u00e9mentation SSL pendant que l'autorit\u00e9 de certification signe votre certificat. Ce certificat temporaire g\u00e9n\u00e9rera une erreur dans le navigateur client indiquant que l'autorit\u00e9 de certification signataire est inconnue et non fiable.<\/p>\n
Pour g\u00e9n\u00e9rer un certificat temporaire valable 365 jours, ex\u00e9cutez la commande suivante\u00a0:<\/p>\n\n
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt<\/code> Signature ok<\/code> subject=\/C=CH\/ST=Berne\/L=Oberdiessbach\/O=Akadia AG\/OU=Information<\/code> Technology\/CN=public.akadia.com\/Email=martin dot zahn chez akadia dot ch<\/code> Obtenir une cl\u00e9 priv\u00e9e<\/code><\/pre>\n
\u00c9tape 5\u00a0: Installation de la cl\u00e9 priv\u00e9e et du certificat<\/p>\n
Lorsqu'Apache avec mod_ssl est install\u00e9, il cr\u00e9e plusieurs r\u00e9pertoires dans le r\u00e9pertoire de configuration Apache. L'emplacement de ce r\u00e9pertoire diff\u00e8re selon la mani\u00e8re dont Apache a \u00e9t\u00e9 compil\u00e9.<\/p>\n\n
cp serveur.crt \/usr\/local\/apache\/conf\/ssl.crt<\/code> cp server.key \/usr\/local\/apache\/conf\/ssl.key<\/code><\/pre>\n
\u00c9tape 6\u00a0: Configuration des h\u00f4tes virtuels compatibles SSL<\/p>\n\n
Moteur SSL activ\u00e9<\/code> SSLCertificateFile \/usr\/local\/apache\/conf\/ssl.crt\/server.crt<\/code> SSLCertificateKeyFile \/usr\/local\/apache\/conf\/ssl.key\/server.key<\/code> SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown<\/code> Journaux CustomLog\/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x "%r" %b"<\/code><\/pre>\n
Maintenant, red\u00e9marrez Apache et v\u00e9rifiez.<\/p>\nPrenez contact avec nous.<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Abonnez-vous pour les derni\u00e8res mises \u00e0 jour<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\t\t\t\t\t