{"id":6463,"date":"2013-02-12T01:34:37","date_gmt":"2013-02-12T01:34:37","guid":{"rendered":"https:\/\/dev.railscarma.com\/how-to-generate-and-install-self-signed-certificate-on-apache\/"},"modified":"2021-06-07T07:58:51","modified_gmt":"2021-06-07T07:58:51","slug":"come-generare-e-installare-il-certificato-autofirmato-su-apache","status":"publish","type":"post","link":"https:\/\/www.railscarma.com\/it\/blog\/gestione\/come-generare-e-installare-il-certificato-autofirmato-su-apache\/","title":{"rendered":"Come generare e installare il certificato autofirmato su Apache?"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il Secure Socket Layer (SSL) viene utilizzato per crittografare il flusso di dati tra il server web e il client web (il browser).<\/p>\n

SSL utilizza la cosiddetta crittografia asimmetrica, comunemente denominata crittografia a chiave pubblica (PKI). Con la crittografia a chiave pubblica vengono create due chiavi, una pubblica e una privata. Qualunque cosa crittografata con entrambe le chiavi pu\u00f2 essere decrittografata solo con la chiave corrispondente. Pertanto, se un messaggio o un flusso di dati sono stati crittografati con la chiave privata del server, possono essere decrittografati solo utilizzando la chiave pubblica corrispondente, garantendo che i dati provengano solo dal server.<\/p>\n

Il certificato SSL Apache firmato da un'autorit\u00e0 di certificazione (CA) affidabile garantisce che il titolare del certificato sia una persona o un'organizzazione reale. Senza un certificato firmato affidabile, i tuoi dati potrebbero essere crittografati, tuttavia, la parte con cui stai comunicando potrebbe non essere chi pensi. Senza il certificato SSL di Apache, gli attacchi di impersonificazione sarebbero molto pi\u00f9 comuni.<\/p>\n

Il toolkit openssl viene utilizzato per generare una chiave privata RSA e una CSR (Certificate Signing Request). Pu\u00f2 anche essere utilizzato per generare certificati autofirmati che possono essere utilizzati a scopo di test o per uso interno.<\/p>\n

Passaggio 1: genera una chiave privata<\/p>\n

Il primo passo \u00e8 creare la tua chiave privata RSA. Questa chiave \u00e8 una chiave RSA a 1024 bit che viene crittografata utilizzando Triple-DES e archiviata in un formato PEM in modo che sia leggibile come testo ASCII.<\/p>\n\n

openssl genrsa -des3 -out server.key 1024<\/code> Generazione della chiave privata RSA, modulo lungo 1024 bit<\/code> .........................................................++++++<\/code> ........++++++<\/code> e \u00e8 65537 (0x10001)<\/code> Inserisci la passphrase PEM:<\/code> Verifica password: inserisci la passphrase PEM:<\/code><\/pre>\n
Passaggio 2: generare una CSR (richiesta di firma del certificato)<\/p>\n
Una volta generata la chiave privata, \u00e8 possibile generare una richiesta di firma del certificato. La CSR viene quindi utilizzata in due modi. Idealmente, la CSR verr\u00e0 inviata a un'autorit\u00e0 di certificazione, come Verisign, che verificher\u00e0 l'identit\u00e0 del richiedente ed emetter\u00e0 un certificato firmato. La seconda opzione \u00e8 autofirmare la CSR, come verr\u00e0 dimostrato nella sezione successiva.<\/p>\n
Durante la generazione della CSR ti verranno richieste diverse informazioni. Questi sono gli attributi X.509 del certificato. Uno dei prompt sar\u00e0 "Nome comune (ad esempio, il TUO nome)". \u00c8 importante che questo campo sia compilato con il nome di dominio completo del server da proteggere tramite SSL. Se il sito web da proteggere \u00e8 https:\/\/yourdomain.com<\/a>, quindi inserisci "tuodominio.com" al prompt. Il comando per generare la CSR \u00e8 il seguente:<\/p>\n\n
openssl req -new -key server.key -out server.csr<\/code> Nome Paese (codice a 2 lettere) [GB]:IN<\/code> Nome dello stato o della provincia (nome completo) [Berkshire]:Karnataka<\/code> Nome della localit\u00e0 (ad esempio, citt\u00e0) [Newbury]: Bangalore<\/code> Nome dell'organizzazione (ad esempio, azienda) [My Company Ltd]: nome dell'azienda<\/code> Nome dell'unit\u00e0 organizzativa (ad esempio, sezione) []:Information Technology<\/code> Nome comune (ad esempio, il tuo nome o il nome host del tuo server) []:tuodominio.com<\/code> Indirizzo e-mail []:admin@tuodominio.com<\/code> Inserisci i seguenti attributi "extra".<\/code> da inviare insieme alla richiesta di certificato<\/code> Una password di sfida []:<\/code> Un nome di societ\u00e0 facoltativo []:<\/code><\/pre>\n
Passaggio 3: rimuovere la passphrase dalla chiave<\/p>\n
Uno sfortunato effetto collaterale della chiave privata con passphrase \u00e8 che il server web richieder\u00e0 la passphrase ogni volta che viene avviato il server web. Ovviamente questo non \u00e8 necessariamente conveniente in quanto non sar\u00e0 sempre presente qualcuno per digitare la passphrase, ad esempio dopo un riavvio o un arresto anomalo del sistema. mod_ssl include la possibilit\u00e0 di utilizzare un programma esterno al posto della finestra di dialogo della passphrase incorporata, tuttavia, anche questa non \u00e8 necessariamente l'opzione pi\u00f9 sicura. \u00c8 possibile rimuovere la crittografia Triple-DES dalla chiave, quindi non \u00e8 pi\u00f9 necessario digitare una passphrase. Se la chiave privata non \u00e8 pi\u00f9 crittografata, \u00e8 fondamentale che questo file sia leggibile solo dall'utente root! Se il tuo sistema viene compromesso e una terza parte ottiene la tua chiave privata non crittografata, il certificato corrispondente dovr\u00e0 essere revocato. Detto questo, utilizza il seguente comando per rimuovere la passphrase dalla chiave:<\/p>\n\n
cp server.key server.key.org<\/code> openssl rsa -in server.key.org -out server.key<\/code><\/pre>\n
Il file server.key appena creato non contiene pi\u00f9 passphrase.<\/p>\n
Passaggio 4: generazione di un certificato autofirmato<\/p>\n
A questo punto dovrai generare un certificato autofirmato perch\u00e9 non prevedi di far firmare il tuo certificato da una CA o desideri testare la tua nuova implementazione SSL mentre la CA firma il tuo certificato. Questo certificato temporaneo generer\u00e0 un errore nel browser client per cui l'autorit\u00e0 di certificazione che firma \u00e8 sconosciuta e non attendibile.<\/p>\n
Per generare un certificato temporaneo valido per 365 giorni, emettere il seguente comando:<\/p>\n\n
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt<\/code> Firma ok<\/code> oggetto=\/C=CH\/ST=Berna\/L=Oberdiessbach\/O=Akadia AG\/OU=Informazioni<\/code> Technology\/CN=public.akadia.com\/Email=martin punto zahn at akadia punto ch<\/code> Ottenere la chiave privata<\/code><\/pre>\n
Passaggio 5: installazione della chiave privata e del certificato<\/p>\n
Quando viene installato Apache con mod_ssl, crea diverse directory nella directory di configurazione di Apache. La posizione di questa directory varier\u00e0 a seconda di come \u00e8 stato compilato Apache.<\/p>\n\n
cp server.crt \/usr\/local\/apache\/conf\/ssl.crt<\/code> cp server.key \/usr\/local\/apache\/conf\/ssl.key<\/code><\/pre>\n
Passaggio 6: configurazione degli host virtuali abilitati SSL<\/p>\n\n
Motore SSL acceso<\/code> FileCertificatoSSL \/usr\/local\/apache\/conf\/ssl.crt\/server.crt<\/code> FileChiaveCertificatoSSL \/usr\/local\/apache\/conf\/ssl.key\/server.key<\/code> SetEnvIf agente utente ".*MSIE.*" nokeepalive ssl-unclean-shutdown<\/code> Log CustomLog\/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x "%r" %b"<\/code><\/pre>\n
Ora riavvia Apache e controlla.<\/p>\nMettiti in contatto con noi.<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Iscriviti per gli ultimi aggiornamenti<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\t\t\t\t\t