{"id":6463,"date":"2013-02-12T01:34:37","date_gmt":"2013-02-12T01:34:37","guid":{"rendered":"https:\/\/dev.railscarma.com\/how-to-generate-and-install-self-signed-certificate-on-apache\/"},"modified":"2021-06-07T07:58:51","modified_gmt":"2021-06-07T07:58:51","slug":"hur-man-genererar-och-installerar-sjalvsignerat-certifikat-pa-apache","status":"publish","type":"post","link":"https:\/\/www.railscarma.com\/sv\/blogg\/ledning\/hur-man-genererar-och-installerar-sjalvsignerat-certifikat-pa-apache\/","title":{"rendered":"Hur genererar och installerar jag sj\u00e4lvsignerat certifikat p\u00e5 Apache?"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Secure Socket Layer (SSL) anv\u00e4nds f\u00f6r att kryptera datastr\u00f6mmen mellan webbservern och webbklienten (webbl\u00e4saren).<\/p>\n

SSL anv\u00e4nder sig av vad som kallas asymmetrisk kryptografi, vanligen kallad public key cryptography (PKI). Med publik nyckelkryptering skapas tv\u00e5 nycklar, en offentlig och en privat. Allt som \u00e4r krypterat med endera nyckeln kan bara dekrypteras med dess motsvarande nyckel. Om ett meddelande eller en datastr\u00f6m krypterades med serverns privata nyckel, kan den allts\u00e5 dekrypteras endast med hj\u00e4lp av dess motsvarande offentliga nyckel, vilket s\u00e4kerst\u00e4ller att data endast kunde ha kommit fr\u00e5n servern.<\/p>\n

Apache ssl-certifikatet undertecknat av en betrodd certifikatutf\u00e4rdare (CA), s\u00e4kerst\u00e4ller att certifikatinnehavaren \u00e4r en verklig person eller organisation. Utan ett p\u00e5litligt signerat certifikat kan dina data krypteras, men den part du kommunicerar med kanske inte \u00e4r den du tror. Utan apache ssl-certifikat skulle identitetsattacker vara mycket vanligare.<\/p>\n

openssl-verktygssatsen anv\u00e4nds f\u00f6r att generera en privat RSA-nyckel och CSR (Certificate Signing Request). Det kan ocks\u00e5 anv\u00e4ndas f\u00f6r att generera sj\u00e4lvsignerade certifikat som kan anv\u00e4ndas f\u00f6r test\u00e4ndam\u00e5l eller internt bruk.<\/p>\n

Steg 1: Skapa en privat nyckel<\/p>\n

Det f\u00f6rsta steget \u00e4r att skapa din privata RSA-nyckel. Denna nyckel \u00e4r en 1024 bitars RSA-nyckel som \u00e4r krypterad med Triple-DES och lagras i ett PEM-format s\u00e5 att den \u00e4r l\u00e4sbar som ASCII-text.<\/p>\n\n

openssl genrsa -des3 -out server.key 1024<\/code> Genererar privat RSA-nyckel, 1024 bitars l\u00e5ng modul<\/code> .........................................................++++++<\/code> ........++++++<\/code> e \u00e4r 65537 (0x10001)<\/code> Ange PEM-l\u00f6senfras:<\/code> Verifierar l\u00f6senord - Ange PEM-l\u00f6senordsfras:<\/code><\/pre>\n
Steg 2: Skapa en CSR (Certificate Signing Request)<\/p>\n
N\u00e4r den privata nyckeln har genererats kan en beg\u00e4ran om certifikatsignering genereras. CSR anv\u00e4nds sedan p\u00e5 ett av tv\u00e5 s\u00e4tt. Helst kommer CSR:en att skickas till en certifikatutf\u00e4rdare, s\u00e5som Verisign, som kommer att verifiera identiteten p\u00e5 beg\u00e4randen och utf\u00e4rda ett signerat certifikat. Det andra alternativet \u00e4r att sj\u00e4lvsignera CSR, vilket kommer att visas i n\u00e4sta avsnitt.<\/p>\n
Under genereringen av CSR kommer du att bli tillfr\u00e5gad om flera delar av information. Dessa \u00e4r certifikatets X.509-attribut. En av uppmaningarna kommer att vara f\u00f6r "Allm\u00e4nt namn (t.ex. DITT namn)". Det \u00e4r viktigt att detta f\u00e4lt fylls i med det fullt kvalificerade dom\u00e4nnamnet f\u00f6r servern som ska skyddas av SSL. Om webbplatsen som ska skyddas \u00e4r https:\/\/yourdomain.com<\/a>, ange sedan "dindom\u00e4n.com" vid denna prompt. Kommandot f\u00f6r att generera CSR \u00e4r f\u00f6ljande:<\/p>\n\n
openssl req -new -key server.key -out server.csr<\/code> Landsnamn (kod p\u00e5 tv\u00e5 bokst\u00e4ver) [GB]:IN<\/code> Stats- eller provinsnamn (fullst\u00e4ndigt namn) [Berkshire]:Karnataka<\/code> Ortsnamn (t.ex. stad) [Newbury]:Bangalore<\/code> Organisationsnamn (t.ex. f\u00f6retag) [My Company Ltd]:F\u00f6retagsnamn<\/code> Organisationsenhetens namn (t.ex. avsnitt) []:Informationsteknik<\/code> Vanligt namn (t.ex. ditt namn eller din servers v\u00e4rdnamn) []:dindom\u00e4n.com<\/code> E-postadress []:admin@dindom\u00e4n.com<\/code> V\u00e4nligen ange f\u00f6ljande "extra" attribut<\/code> skickas med din certifikatbeg\u00e4ran<\/code> Ett utmaningsl\u00f6senord []:<\/code> Ett valfritt f\u00f6retagsnamn []:<\/code><\/pre>\n
Steg 3: Ta bort l\u00f6senordsfrasen fr\u00e5n nyckeln<\/p>\n
En olycklig bieffekt av den l\u00f6senfraserade privata nyckeln \u00e4r att webbservern kommer att fr\u00e5ga efter l\u00f6senfrasen varje g\u00e5ng webbservern startas. Uppenbarligen \u00e4r detta inte n\u00f6dv\u00e4ndigtvis bekv\u00e4mt eftersom n\u00e5gon inte alltid kommer att vara i n\u00e4rheten f\u00f6r att skriva in l\u00f6senfrasen, till exempel efter en omstart eller krasch. mod_ssl inkluderar m\u00f6jligheten att anv\u00e4nda ett externt program ist\u00e4llet f\u00f6r den inbyggda dialogrutan f\u00f6r l\u00f6senordsfraser, men detta \u00e4r inte n\u00f6dv\u00e4ndigtvis det s\u00e4kraste alternativet heller. Det \u00e4r m\u00f6jligt att ta bort Triple-DES-krypteringen fr\u00e5n nyckeln och d\u00e4rmed inte l\u00e4ngre beh\u00f6va skriva in en l\u00f6senordsfras. Om den privata nyckeln inte l\u00e4ngre \u00e4r krypterad \u00e4r det viktigt att denna fil endast kan l\u00e4sas av rotanv\u00e4ndaren! Om ditt system n\u00e5gon g\u00e5ng \u00e4ventyras och en tredje part f\u00e5r din okrypterade privata nyckel, m\u00e5ste motsvarande certifikat \u00e5terkallas. Med det sagt, anv\u00e4nd f\u00f6ljande kommando f\u00f6r att ta bort l\u00f6senfrasen fr\u00e5n nyckeln:<\/p>\n\n
cp server.key server.key.org<\/code> openssl rsa -in server.key.org -out server.key<\/code><\/pre>\n
Den nyskapade server.key-filen har ingen l\u00e4ngre l\u00f6senordsfras.<\/p>\n
Steg 4: Skapa ett sj\u00e4lvsignerat certifikat<\/p>\n
Vid det h\u00e4r laget m\u00e5ste du generera ett sj\u00e4lvsignerat certifikat eftersom du antingen inte planerar att f\u00e5 ditt certifikat signerat av en CA, eller s\u00e5 vill du testa din nya SSL-implementering medan CA signerar ditt certifikat. Detta tillf\u00e4lliga certifikat kommer att generera ett fel i klientens webbl\u00e4sare som inneb\u00e4r att den signerande certifikatutf\u00e4rdaren \u00e4r ok\u00e4nd och inte p\u00e5litlig.<\/p>\n
F\u00f6r att generera ett tillf\u00e4lligt certifikat som \u00e4r bra i 365 dagar, utf\u00e4rda f\u00f6ljande kommando:<\/p>\n\n
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt<\/code> Signatur ok<\/code> \u00e4mne=\/C=CH\/ST=Bern\/L=Oberdiessbach\/O=Akadia AG\/OU=Information<\/code> Technology\/CN=public.akadia.com\/Email=martin dot zahn at akadia dot ch<\/code> F\u00e5 privat nyckel<\/code><\/pre>\n
Steg 5: Installera den privata nyckeln och certifikatet<\/p>\n
N\u00e4r Apache med mod_ssl \u00e4r installerat skapar den flera kataloger i Apaches konfigurationskatalog. Platsen f\u00f6r denna katalog kommer att variera beroende p\u00e5 hur Apache kompilerades.<\/p>\n\n
cp server.crt \/usr\/local\/apache\/conf\/ssl.crt<\/code> cp server.key \/usr\/local\/apache\/conf\/ssl.key<\/code><\/pre>\n
Steg 6: Konfigurera SSL-aktiverade virtuella v\u00e4rdar<\/p>\n\n
SSLengine p\u00e5<\/code> SSLCertificateFile \/usr\/local\/apache\/conf\/ssl.crt\/server.crt<\/code> SSLCertificateKeyFile \/usr\/local\/apache\/conf\/ssl.key\/server.key<\/code> SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown<\/code> CustomLog logs\/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x "%r" %b"<\/code><\/pre>\n
Starta nu om Apache och kontrollera.<\/p>\nKontakta oss.<\/a>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Prenumerera f\u00f6r de senaste uppdateringarna<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\t\t\t\t\t