Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

196 Kapitel 15. Betrieb des SSL-Apache
Zuordnung von mehreren IP-Nummern zum Netzwerk-Interface bzw. durch die Verwendung von
mehreren Ports.
Erfolgt der Einsatz der virtuellen SSL-Server mittels unterschiedlicher IP-Nummern, werden diese
IP-basiert genannt. Zu der Verwendung von anderen Port-Nummern als 443 für einen SSL-Server
ist anzumerken, daß die meisten Ports unterhalb von 1024 für andere Dienste vergeben sind. Zudem
muß die Port-Nummer dann in der gewünschten URL mit angegeben werden, was aus Anwendersicht
nicht sehr komfortabel ist. Virtuelle SSL-Server sind also möglich, sollten aber IP-basiert sein.
15.2 Erzeugen eines Server-Zertifikats
In diesem Abschnitt werden zwei Möglichkeiten vorgestellt, ein Server-Zertifikat zu erzeugen. Die
erste Möglichkeit verwendet die vom Mod-SSL-Paket zur Verfügung gestellten Hilfsmittel. Es wird
ein Server-Test-Zertifikat erzeugt, welches durch eine Test-CA signiert wurde. Die zweite Variante
beschreibt die Erzeugung eines Requests mit anschließender Zertifizierung durch eine reale CA.
Beide Varianten verwenden das openssl-Binary des SSL-Pakets OpenSSL. Da der SSL-Apache
ohne kompiliertes OpenSSL-Paket nicht zu übersetzen wäre, sollte dieses Binary vorhanden sein.
15.2.1 Erzeugen eines Zertifikats durch make certificate
In diesem Abschnitt beschriebene Mod-SSL-Direktiven (siehe Dokumentation des Mod-SSL-
Pakets):
SSLCertificateFile
SSLCertificateKeyFile
SSLCACertificateFile
SSLCACertificatePath
Nachdem der Apache übersetzt wurde, kann durch Aufruf von make certificate im
Apache-Quell-Verzeichnis ein Server-Zertifikat mit zugehörigem 1024-Bit-Schlüssel erstellt werden.
In einzelnen Schritten („STEP 1-4“) werden die Angaben zur Erzeugung einer Server-
Zertifikatanforderung (Serverrequest) abgefragt. Die Fragen sind sehr ausführlich und sollten keine
Probleme bereiten. U.a. werden Angaben zu Land, Bundesstaat usw. abgefragt. Wichtig ist die Angabe
Common Name: Hier ist unbedingt der Server-Name anzugeben, also z.B. www.name.de.
Andernfalls werden Browser eine Warnung ausgeben, daß der Server möglicherweise nicht derjenige
ist, als der er sich ausgibt.
Im letzten Schritt („STEP 4“) wird nach einer Passphrase gefragt, mittels der der Private-Key des
Servers geschützt werden soll. Diese Passphrase wird bei jedem Starten des Servers abgefragt, um
den Private-Key entsperren zu können. (Diskussionen über Vor- und Nachteile eines verschlüsselten
Server-Keys tauchen immer mal wieder auf, und auch hier wird keine „letzte“ Antwort gegeben.