Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

ServerAdmin wwwadm@name.de
ErrorLog logs/443error.log
CustomLog logs/443access.log \
"%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
SSLVerifyClient none
SSLEngine on
SSLProtocol all -SSLv2
# SSL Cipher Suite: Ueber diese Direktive kann festgelegt werden,
# welche Krypto-Algorithmen und in welcher Prioritaet diese verwendet
# werden.
SSLCipherSuite ALL:!ADH:!SSLv2:!eNULL:RC4+RSA:+HIGH:+MEDIUM:+LOW:+EXP
SSLCertificateFile /usr/local/apache/ssl/serverCert.pem
SSLCertificateKeyFile /usr/local/apache/ssl/serverKey.pem
# SSLCertificateChainFile /usr/local/apache/ssl/cacerts/cachain.pem
SSLCACertificatePath /usr/local/apache/ssl/cacerts
# SSLCACertificateFile /usr/local/apache/ssl/CAcerts.pem
SSLCARevocationPath /usr/local/apache/ssl/crls
# SSLCARevocationFile /usr/local/apache/ssl/crls.pem
# Nach "deny from all" in der "Directory /"-Anweisung wird hier
# wieder der Zugriff gestattet.
allow from all
order deny,allow
deny from all
# Auf Dateien in diesem Verzeichnis sollen nur Clients mit
# gueltigem Zertifikat zugreifen koennen. Das erfordert u.U.
# ein erneutes SSL-Handshake ("Renegotiation"), da eine SSL-Session
# besteht, der Client aber noch nicht authentifiziert wurde.
SSLVerifyClient require
SSLVerifyDepth 5
SSLOptions +ExportCertData +StrictRequire +OptRenegotiate
# Verfeinerte Zugriffssteuerung ueber Zertifikat-Attribute.
# Hat nur indirekt etwas mit der x509-basierten Zugriffskontrolle
# zutun, da nicht nur die Gueltigkeit des Client-Zertifkats
# Vorraussetzung ist, sondern das Zertifikat gewisse
# (DN-)Eigenschaften besitzen muss.
# Vom Prinzip her eher mit einer Passwort-gesteuerten
# Zugriffskontrolle vergleichbar.
SSLRequire %{SSL_CLIENT_S_DN_C} eq "DE" \
255