Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

156 Kapitel 10. Erzeugen von Requests und Zertifikaten
CA- und Object-Signing-CA-Zertifikate herausgegeben werden können, sollte die Netscape
Certificate Extension folgenderweise gesetzt sein:
nsCertType = sslCA, emailCA, objCA
2. Mögliche Werte für die anderen Extensions:
basicConstraints = critical, CA:TRUE
keyUsage = cRLSign, keyCertSign
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid, issuer:always
subjectAltName = email:copy
issuerAltName = issuer:copy
crlDistributionPoints = URI:http://crlserver.domain.de/CA.crl
Die unter 1. und 2. aufgeführten Einträge müssen in der Konfigurationsdatei in dem
beim Schlüsselwort x509_extensions genannten Bereich gemacht werden, also z.B.
im Bereich [ v3_ca ]. Das Schlüsselwort x509_extensions kann sowohl im ca-
Abschnitt als auch im req-Abschnitt stehen. Für das selbstsignierte Zertifikat muß
x509_extensions im Bereich [ req ] der Konfigurationsdatei auf v3_ca gesetzt
werden.
3. Initialisieren des Zufallszahlen-Generator-Status. Dieser Status ist eine Datei,
die durch jeden Zugriff verändert wird. Die Datei kann z.B. als
/usr/local/etc/ssl/private/.rand engelegt werden. Es sollte die Umgebungsvariable
$RANDFILE auf diese Datei gesetzt werden. Initialisiert wird der Status dann
durch folgenden Befehl:
cp ˜/.pgp/randseed.bin $RANDFILE
4. Erzeugen eines 2048-Bit-Schlüssels:
Vor Aufruf dieses Befehls muß die Umgebungsvariable $RANDFILE gesetzt sein, sonst findet
das folgende Kommando die Datei mit dem Zufallszahlen-Status nicht und ein einkompilierter
Default wird wirksam.
openssl genrsa -des3 -out $(SSLETC)/private/CAkey.pem -rand
Zufallsdaten 2048
Achtung:
Ohne die Option -des3 (oder -des, -idea) wird der Schlüssel unverschlüsselt abgespeichert!
5. Erzeugen des selbstsignierten Root-CA-Zertifikats: