Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

410 A Anhang
Erzeugen eines geheimen CA-Schlüssels
Als erstes erstellen wir mit dem openssl-Kommando einen 2048 Bit langen,
geheimen RSA-Schlüssel für die neue Zertifizierungsstelle. Der Schlüssel wird
Triple-DES-verschlüsselt in der Datei my-ca.key gespeichert. 2
$ openssl genrsa -des3 -out my-ca.key 2048
Generating RSA private key, 2048 bit long modulus
.....................................................+++
...................................................+++
e is 65537 (0x10001)
Enter PEM pass phrase: **********
Verifying password - Enter PEM pass phrase: **********
In der Datei my-ca.key befindet sich nun der Schlüssel der angehenden Zertifizierungsstelle.
Mit Hilfe dieses Schlüssel setzt die CA später ihre digitale
Unterschrift unter die ausgestellten Server-Zertifikate.
Erzeugen des CA-Zertifikats
Als zweites erzeugen wir mit Hilfe des zuvor erstellten Schlüssels ein selbstsigniertes
CA-Zertifikat. Ein derartiges Zertifikat wird auch als Root- oder Wurzelzertifikat
bezeichnet. Unsere angehende Wurzel-CA stellt sich also selbst
ein X.509-Zertifikat aus und beglaubigt damit ihre eigene Identität. Das neue
Zertifikat wird mit dem oben erzeugten Schlüssel signiert und in der Datei
my-ca.crt hinterlegt. Es erhält eine Gültigkeitsdauer von zehn Jahren (bzw.
3650 Tagen) ab dem Ausstellungszeitpunkt.
$ openssl req -new -x509 -days 3650 \
-key my-ca.key -out my-ca.crt
Enter pass phrase for my-ca.key:
You are about to be asked to enter information that will be
incorporated into your Certificate Signing Request.
What you are about to enter is what is called a
Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ’.’, the field will be left blank.
-----
Country Name (2 letter code) []:DE
2 Vorsicht: Wird die Option -des3 nicht angegeben, so wird der Schlüssel nicht
durch ein Paßwort geschützt. Dies ist für eine CA im Allgemeinen ungünstig,
da so allein schon der Besitz dieser ungeschützten Datei zum Ausstellen neuer
Zertifikate genügt.