Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

412 A Anhang
A.1.2 Neue Zertifikate ausstellen
Als nächstes wollen wir für unsere SSL-Programme aus Kapitel 7 ein geeignetes
Zertifikat erstellen. Dazu muß zunächst ein sogenannter Certificate Signing
Request (CSR), also ein Zertifikatsantrag erstellt werden. Dieser CSR wird anschließend
von der CA geprüft und signiert. Der signierte Antrag ist dann das
gewünschte Zertifikat.
Certificate Signing Request erzeugen
Der Weg zu einem Zertifikatsantrag gliedert sich wieder in zwei Schritte: Als
erstes wird ein neuer, geheimer Schlüssel für den Zertifikatsnehmer erzeugt
und danach wird der dazu passende, in den eigentlichen Certificate Signing
Request eingebettete, öffentliche Schlüssel erstellt. 5 In den Zertifikatsantrag
wird der Distinguished Name des Zertifikatsnehmers als Subject eingearbeitet.
Im folgenden erstellen wir in zwei Teilschritten das gewünschte Schlüsselpaar
und damit den Certificate Signing Request:
$ openssl genrsa -out server-key.pem 1024
Generating RSA private key, 1024 bit long modulus
...++++++
..................................................++++++
e is 65537 (0x10001)
Für unsere Beispielprogramme benötigen wir ein Server-Zertifikat, für welches
der Server beim Programmstart nicht interaktiv nach einem Zertifikatspaßwort
fragen soll (vgl. dazu Abschnitt 7.3.4). Wir lassen deshalb die Option
-des3 aus und speichern den 1024 Bit langen Schlüssel somit unverschlüsselt
in der angegebenen Datei server-key.pem. 6
Als nächstes erstellen wir den zugehörigen Zertifikatsantrag mit dem passenden
öffentlichen Schlüssel:
5 Ein Certificate Signing Request kann auf einem beliebigen Rechnersystem erzeugt
werden. Insbesondere handelt es sich bei diesem System i. A. nicht um ein System
der Zertifizierungsstelle, denn die CA sollte nicht in den Besitz des geheimen
Schlüssels kommen. In unserem Beispiel kann auf diese strikte Trennung freilich
verzichtet werden.
6 Vorsicht: Die (inzwischen veralteten) Webbrowser von Netscape und Microsoft
mit einer Versionsnummer kleiner als 4.0 können nicht mit Schlüssellängen größer
als 1024 Bit umgehen. Das gilt sowohl für CA- als auch für Server-Zertifikate. Die
Browser zeigen bei technisch einwandfreien Zertifikaten mit längeren Schlüsseln
eine irreführende Meldung, wonach das Server-Zertifikat eine ungültige Signatur
hätte oder grundsätzlich fehlerhaft sei.