View source for Skapa självsignerat certifikat

== Självsignerat certifikat ==
=== Denna information kommer delvis från http://apache-ssl.org ===

Börja med att skapa nyckel och request:
 '''openssl req -new > new.cert.csr'''
 Generating a 1024 bit RSA private key
 ....++++++
 .++++++
 writing new private key to 'privkey.pem'
 Enter PEM pass phrase: '''<måste vara minst 4 tecken>'''
 Verifying - Enter PEM pass phrase:
 -----
 You are about to be asked to enter information that will be incorporated
 into your certificate request.
 What you are about to enter is what is called a Distinguished Name or a DN.
 There are quite a few fields but you can leave some blank
 For some fields there will be a default value,
 If you enter '.', the field will be left blank.
 -----
 Country Name (2 letter code) [AU]:'''SE'''
 State or Province Name (full name) [Some-State]:'''Kalmar'''
 Locality Name (eg, city) []:'''Kalmar'''
 Organization Name (eg, company) [Internet Widgits Pty Ltd]:'''ECS'''
 Organizational Unit Name (eg, section) []:'''ECS'''
 Common Name (eg, YOUR name) []:'''server.se'''
 Email Address []:
 
 Please enter the following 'extra' attributes
 to be sent with your certificate request
 A challenge password []:
 An optional company name []:

Nu är nyckeln skapad men det lösenord som man var tvungen att ange ska nu tas bort:
 '''openssl rsa -in privkey.pem -out new.cert.key'''
 Enter pass phrase for privkey.pem:'''Samma lösen som ovan'''
 writing RSA key

Konvertera detta request till ett självsignerat certifikat:
 '''openssl x509 -in new.cert.csr -out new.cert -req -signkey new.cert.key -days 365'''
 Signature ok
 subject=/C=SE/ST=Kalmar/L=Kalmar/O=ECS/OU=ECS/CN=server.se
 Getting Private key

I apache måste man använda dessa parametrar för att peka ut sitt certifikat (visar mer om det nedan):
 SSLCertificateFile '''/path/to/certs/new.cert.cert'''
 SSLCertificateKeyFile '''/path/to/certs/new.cert.key'''

Exemplet nedan visar hur detta kan göras för en virtuell host, men först kan det vara bra att byta namn på certifikatet till något bättre om man använde new.nånting enligt ovan. Förslag kan vara att kalla filerna för servernamn.nånting. Så här kan det se ut efter byte av namnen:
 server.se.cert.cert
 server.se.cert.key

Lägg dessa förslagsvis i apaches ssl-katalog vilket t ex kan vara '''/etc/apache2/ssl'''.

Sedan kan man inkludera dessa i en virtuell host eller ha som standard för hela servern. Detta är för en virtuell host. Notera att det är här viktigt att namnet stämmer med servernamnet i konfig. Annars ges en varning för det med, förutom att certfikatet inte är utfärdat av behörig godkännare.
 <VirtualHost *:443>
  ServerName '''server.se'''
  DocumentRoot '''/var/www/sslmapp/'''
  ErrorLog '''/var/log/apache2/sslmapp.log'''
  CustomLog '''/var/log/apache2/sslmapp.log combined'''
  SSLEngine on
  SSLCertificateFile '''/etc/apache2/ssl/avdelning.se.cert.cert'''
  SSLCertificateKeyFile '''/etc/apache2/ssl/avdelning.se.cert.key'''
 <Directory "/var/www/sslmapp">
    Options ExecCGI Includes
    AllowOverride None
    Order allow,deny
    allow from all
 </Directory>
 </VirtualHost>

Ovanstående är ett exempel där det fetmarkerade är sånt som kan vara bra att ändra på.











== Taget från gamla wikiprog ==
=== Apache - Skapa egen nyckel ===
Hur man skapar sin egen SSL-nyckel för apache.

=== Beskrivning ===
Direkt från http://apache-ssl.org

Now I've got my server installed, how do I create a test certificate?

Step one - create the key and request:

  openssl req -new > new.cert.csr

Step two - remove the passphrase from the key (optional):

  openssl rsa -in privkey.pem -out new.cert.key

Step three - convert request into signed cert:

   openssl x509 -in new.cert.csr -out new.cert.cert -req -signkey new.cert.key -days 365

The Apache-SSL directives that you need to use the resulting cert are:

  SSLCertificateFile /path/to/certs/new.cert.cert
  SSLCertificateKeyFile /path/to/certs/new.cert.key

Efter att det är klart, infoga konfigurationen i VirtualHost. Det behövs alltså en nyckel för varje VirtualHost.
 <VirtualHost *:443>
   ServerName avdelning.se
   DocumentRoot /var/www/html/avdelning
   ErrorLog /var/log/apache2/avdelning-error.log
   CustomLog /var/log/apache2/avdelning-access.log combined
   SSLEngine on
   SSLCertificateFile /etc/apache2/ssl/avdelning.se.cert.cert
   SSLCertificateKeyFile /etc/apache2/ssl/avdelning.se.cert.key
 </VirtualHost>

Nedan är för Certifikat för klient
How do I create a client certificate?

Step one - create a CA certificate/key pair, as above.

Step two - sign the client request with the CA key:

  openssl x509 -req -in client.cert.csr -out client.cert.cert -signkey my.CA.key -CA my.CA.cert -CAkey my.CA.key -CAcreateserial -days 365

Step three - issue the file 'client.cert.cert' to the requester.

The Apache-SSL directives that you need to validate against this cert are:

  SSLCACertificateFile /path/to/certs/my.CA.cert
  SSLVerifyClient 2

Example
 root@hapenny:/etc/apache2# openssl req -new > avdelning.se
 Generating a 1024 bit RSA private key
 ...++++++
 .........................................................................................++++++
 writing new private key to 'privkey.pem'
 Enter PEM pass phrase:
 Verifying - Enter PEM pass phrase:
 -----
 You are about to be asked to enter information that will be incorporated
 into your certificate request.
 What you are about to enter is what is called a Distinguished Name or a DN.
 There are quite a few fields but you can leave some blank
 For some fields there will be a default value,
 If you enter '.', the field will be left blank.
 -----
 Country Name (2 letter code) [AU]:SE
 State or Province Name (full name) [Some-State]:SE
 Locality Name (eg, city) []:SE
 Organization Name (eg, company) [Internet Widgits Pty Ltd]:SE
 Organizational Unit Name (eg, section) []:SE
 Common Name (eg, YOUR name) []:avdelning.se
 Email Address []:
 
 Please enter the following 'extra' attributes
 to be sent with your certificate request
 A challenge password []:
 An optional company name []:
 root@hapenny:/etc/apache2# openssl rsa -in privkey.pem -out avdelning.se.cert.key
 Enter pass phrase for privkey.pem:
 unable to load Private Key
 13949:error:06065064:digital envelope routines:EVP_DecryptFinal_ex:bad decrypt:evp_enc.c:454:
 13949:error:0906A065:PEM routines:PEM_do_header:bad decrypt:pem_lib.c:425:
 root@hapenny:/etc/apache2# openssl rsa -in privkey.pem -out avdelning.se.cert.key
 Enter pass phrase for privkey.pem:
 writing RSA key
 root@hapenny:/etc/apache2# openssl x509 -in avdelning.se.csr -out avdelning.se.cert.cert -req -signkey avdelning.se.cert.key -days 365
 Signature ok
 subject=/C=SE/ST=SE/L=SE/O=SE/OU=SE/CN=avdelning.se
 Getting Private key
 root@hapenny:/etc/apache2#



[[Category:Apache]]