Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

10.2. Erzeugen eines Certificate Requests 157
openssl req -new -x509 -days 730 -key
$(SSLETC)/private/CAkey.pem -out $(SSLETC)/private/CAcert.pem
Achtung:
Über die Option -days wird die Gültigkeitsdauer des Root-Zertifikats in Tagen festgelegt.
Beginn des Zeitraums ist der Zeitpunkt der Erzeugung des Zertifikats.
6. Anzeigen des erzeugten Zertifikats:
openssl x509 -in ./CAcert.pem -text more
Das Zertifikat muß jetzt noch in das Verzeichnis $(SSLETC)/certs als 00.pem kopiert werden.
Der Name ergibt sich aus der hexadezimalen Seriennummer des Zertifikats (hier 00) und dem
Suffix .pem. Anschließend sollte das Zertifikat noch über seinen Hash-Wert verlinkt werden (siehe
Anmerkung unten).
cp $(SSLETC)/private/CAcert.pem $(SSLETC)/certs/00.pem
cd $(SSLETC)/certs
ln -s 00.pem ‘openssl x509 -hash -noout -in 00.pem‘.0
Alternativ zu dem Link-Befehl kann auch das Shell-Skript c_rehash in $(SSLETC)/bin aufgerufen
werden. Das Skript erzeugt für alle im Verzeichnis certs gefundenen Zertifikate die nötigen
Links. Der Hash-Wert besteht aus 64 Bit und wird aus den Angaben des Subject-Feldes (also
Distinguished Name und eventuell Email-Adresse des Herausgebers) des Zertifikats gebildet.
Anmerkung:
Alle neuen Zertifikate sollten über ihren Hash-Wert verlinkt werden. Das ist deshalb von Bedeutung,
weil die Suche nach Zertifikaten und der damit verbundene Vergleich ausschließlich über die Hash-
Werte der Zertifikate erfolgt.
10.2 Erzeugen eines Certificate Requests
Zur Erzeugung eines beliebigen Requests (CA, Server, Client) muß zunächst ein Schlüsselpaar generiert
werden. Mit folgendem Befehl wird ein 1024 Bit Schlüssel erzeugt:
openssl genrsa -des3 -out MyKey.pem -rand file1:file2:... 1024
Vorher sollte allerdings der Zufallszahlen-Status initialisiert worden sein. Die nach der Option
-rand angegebenen Dateien dienen als zusätzliche Zufallsdaten für die Schlüsselerzeugung. Abhängig
vom später verwendeten Browser ist die Schlüssellänge zu beachten. Für den MS-Internet-
Explorer in der internationalen (Export-)Version ist die Schlüssellänge für ein Benutzerzertifikat
grundsätzlich auf 512 Bit begrenzt. Die 1024 im obigen Kommando muß dann durch 512 ersetzt
werden. Für die Netscape Navigator/Communicator (NSC) Export-Version gilt im Prinzip die