Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

Kapitel 10
Erzeugen von Requests und Zertifikaten
Die folgenden Abschnitte beschreiben die Erzeugung eines selbstsignierten Zertifikats, das sogenannte
Root-Zertifikat, sowie Erzeugung und Signierung eines Requests. Dabei sollte beachtet werden,
daß die Gültigkeitsdauer eines neuen Zertifikats vollständig innerhalb des Gültigkeitsbereiches
des Zertifikats der signierenden CA liegt. MS-Produkte weisen sonst möglicherweise dieses neue
Zertifikat als ungültig zurück. Weiter ist es empfehlenswert, nach Herausgabe eines CA-Zertifikats
einen Tag zu warten, bevor der zugehörige Private-Key zur Zertifizierung eingesetzt wird.
Netscape- und Microsoft-Browser mit einer Versionsnummer kleiner als 4.0 können nicht mit
Schlüssellängen größer als 1024 Bit umgehen. Das gilt sowohl für CA- als auch für Anwendungs-
Zertifikate. Die Browser zeigen eine irreführende Meldung an, daß das Server-Zertifikat eine ungültige
Signatur hat oder grundsätzlich fehlerhaft ist, obwohl das Zertifikat technisch korrekt ist. (Vgl.
Anhang I.1)
Im Verzeichnis $(SSLETC)/misc gibt es ein Perl-Skript, CA.pl. Mit dem Skript können ebenfalls
Zertifikate und Requests erzeugt werden. Das Skript soll den Einstieg in die Handhabung von
Zertifikaten mit OpenSSL erleichtern, indem komplexe Kommandos und die Konfiguration gekapselt
werden. Das Skript ist dokumentiert, muß aber möglicherweise noch angepaßt werden. Auf den
Einsatz des Skriptes wird hier nicht weiter eingegangen.
10.1 Erzeugen eines Root-CA-Zertifikats
Die im obigen Abschnitt (8) aufgeführten Erweiterungen werden üblicherweise beim Zertifizieren
eines Requests mit OpenSSL durch eine CA in das Zertifikat gebracht. In der Konfigurationsdatei
(siehe openssl.cnf (E)) gibt es einen Abschnitt [ v3_ca ], in dem festgelegt werden
kann (und sollte!), welche Zertifikat-Erweiterungen bei Erzeugung eines (selbstsignierten) Root-
Zertifikats gesetzt werden.
Im folgenden ein Beispiel zur Erzeugung eines Root-CA-Zertifikats:
1. Editieren von openssl.cnf, Setzen der Zertifikat-Erweiterungen im Abschnitt
[ v3_ca ]. Um z.B. ein Root-CA-Zertifikat zu erzeugen, mit dem SSL-CA-, S/MIME-
155