Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

198 Kapitel 15. Betrieb des SSL-Apache
cd $(APACHE)/ssl/cacerts
chmod 640 $(APADIR)/ssl/cacerts/*
c_rehash
15.2.2 Zertifizierung durch eine CA
Bei dieser Methode wird zunächst ein Request erzeugt, welcher anschließend durch eine CA signiert
wird. Diese CA kann natürlich auch vom Betreiber des Servers realisiert werden; hierzu kann
ebenfalls das OpenSSL-Paket eingesetzt werden. Auf diese Variante der Realisierung einer CA wird
hier nicht weiter eingegangen.
Zur Erzeugung eines Requests muß zunächst ein Schlüsselpaar generiert werden. Mit folgendem
Befehl wird ein 1024 Bit-Schlüssel erzeugt (bei Bedarf ist der OpenSSL-Pfad zu ergänzen):
openssl genrsa -out serverKey.pem -rand file1:file2:... 1024
Vorher sollte allerdings die Umgebungsvariable RANDFILE gesetzt und der Zufallszahlen-Status
initialisiert worden sein. Dazu kann irgendeine Datei mit (Pseudo-)Zufallsdaten nach $(RAND-
FILE) kopiert werden. Die nach der Option -rand angegebenen Dateien dienen als zusätzliche
Zufallsdaten für die Schlüsselerzeugung.
Das genrsa-Kommando erzeugt ein unverschlüsseltes Schlüsselpaar, der Private-Key ist also von
jedem verwendbar. Ist eine Verschlüsselung des Private-Keys gewünscht, kann bei obigem Kommando
zusätzlich die Option -des3 angegeben werden.
Die Erzeugung des Requests erfolgt anschließend durch folgenden Befehl:
openssl req -new -inkey serverKey.pem -out severReq.pem
Nach Eingabe des Befehls müssen folgende Angaben gemacht werden (beispielhafte Eingaben sind
in doppelten Anführungsstrichen):
Using configuration from /usr/local/openssl/openssl.cnf
Enter PEM pass phrase:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ’.’, the field will be left blank.
-----
Country Name (2 letter code) [AU]:"DE"
State or Province Name (full name) [Some-State]:"Schleswig-Holstein"
Locality Name (eg, city) []:"Kiel"
Organization Name (eg, company) [Internet Widgits Pty Ltd]:"WWW UnLtd"
Organizational Unit Name (eg, section) []:"Abt. Web-Server"
Common Name (eg, YOUR name) []:"www.www-unltd.de"
Email Address []:"wwwadmin@www-unltd.de"
Please enter the following "extra" attributes
to be sent with your certificate request
A challenge password []:
An optional company name []: