Maak certificaten in PEM-formaat

Inhoudsopgave

Overzicht
Voorwaarden
Genereer een SSL-certificaat in PEM-formaat
Genereer een zelfondertekend SSL-certificaat in PEM-indeling
Hoe u de inhoud van een SSL-certificaat kunt bekijken
- OpenSSL-opdracht om de certificaatgegevens op te halen
- Inspecteer DER-certificaten
Verifiëren dat tussen- en root-CA aanwezig zijn in een SSL-certificaat

Overzicht #

RELIANOID kan HTTPS-verbindingen (HTTP-profiel) beheren, dus de systeembeheerder moet zijn eigen certificaten maken (zelfondertekende certificaten) of ondertekende certificaten verkrijgen van een certificeringsinstantie. In beide gevallen moet het certificaat in PEM-formaat zijn gebouwd.

Het Secure Certificate moet zonder wachtwoord worden aangemaakt en de sleutels en CSR moeten op de te beveiligen server worden gegenereerd.

Positieve SSL is klaar voor gebruik in PEM-formaat, maar Rapid SSL moet worden geconverteerd omdat elk bestand het certificaat, de tussenliggende CA en de root-CA gescheiden bevat.

Voorwaarden #

Het pakket openssl moet worden geïnstalleerd om de sleutels op de server te genereren, in ons geval zal dat de RELIANOID instance die al geïnstalleerd zou moeten zijn.

Genereer eerst de sleutel zonder wachtwoordzin.

root@noid-ee-01:~# openssl genrsa -out host_domein_com.key 2048

Genereer vervolgens het certificaatondertekende verzoek (.csr) met behulp van de gegenereerde sleutel (.key) als invoer.

root@noid-ee-01:~# openssl req -new -key host_domain_com.key -out host_domain_com.csr

Zodra het certificaat en de tussenliggende CA-bestanden zijn afgeleverd, zorgt u ervoor dat u het rootcertificaat van de uitgever verkrijgt.
Alle gescheiden bestanden moeten de PEM-indeling hebben: servercertificaat, tussencertificaat en root-CA-certificaat. Als dit niet het geval is, converteert u het bestand met de volgende opdracht:

root@noid-ee-01:~# openssl x509 -in certFileName.csr -outform PEM -out geconverteerdCertFileName.pem

Ten slotte hebben we de privésleutel, het uitgegeven certificaat, het tussencertificaat en het root-CA-certificaat. Al deze bestandsinhoud moet worden gecombineerd om het PEM-bestand in UNIX-indeling te maken.

Genereer een SSL-certificaat in PEM-formaat #

Om een SSL-certificaat in PEM-formaat te genereren, hebt u doorgaans een privésleutel , een certificaat , een intermediair CA-certificaat (indien aanwezig) en een root-CA-certificaat nodig . Hieronder wordt uitgelegd hoe u het PEM-bestand kunt genereren:

Bereid de componenten voor #

private Key: Zorg ervoor dat u de privésleutel hebt die overeenkomt met het certificaat.
Certificaat: Verkrijg het certificaat dat is uitgegeven voor uw domein of server.
Gemiddeld CA-certificaat: Als uw certificaat is uitgegeven door een tussenliggende CA (niet rechtstreeks door de root-CA), heeft u het tussenliggende CA-certificaat nodig.
Root CA-certificaat: Mogelijk hebt u ook het root-CA-certificaat nodig, vooral als dit nog niet is opgenomen in de vertrouwensopslag van de clienttoepassingen of apparaten.

Voeg de componenten samen #

Open een teksteditor of gebruik opdrachtregelprogramma's om de privésleutel, het certificaat, het tussenliggende CA-certificaat (indien van toepassing) en het root-CA-certificaat (indien nodig) samen te voegen in één enkel PEM-bestand, zoals hieronder weergegeven.

-----BEGIN RSA PRIVATE KEY----- Private Key (zonder wachtwoordzin) -----EINDE RSA PRIVATE KEY----- -----BEGIN CERTIFICAAT----- Certificaat (CN= www.mijndomein.com) -----EIND CERTIFICAAT----- -----BEGIN CERTIFICAAT----- Gemiddeld (tussenliggende CA, indien aanwezig) -----EIND CERTIFICAAT----- -----BEGIN CERTIFICAAT----- Root (ROOT CA, die het certificaat ondertekent) -----EINDE CERTIFICAAT-----

Raadpleeg het onderstaande voorbeeld om te weten hoe een correct PEM-bestand eruit zal zien.

Het is verplicht om het volledige PEM-bestand naar UNIX-formaat te converteren. Er is een certificaat met de naam zencert.pem of noidcert.pem beschikbaar voor testdoeleinden, dat gebruikt kan worden met HTTPS-profielclusters.

Zorg ervoor dat de volgorde van de certificaten als volgt is:

1. Uw certificaat
2. Intermediair CA-certificaat (indien van toepassing)
3. Root CA-certificaat

Sla het samengevoegde PEM-bestand op #

Sla het samengevoegde PEM-bestand op met de extensie .pem. Dit bestand bevat de privésleutel en de volledige certificaatketen.

Gebruik het PEM-bestand #

U kunt nu het PEM-bestand gebruiken in uw serverconfiguratie. Afhankelijk van uw serversoftware (bijv. Apache, Nginx, RELIANOID), moet u mogelijk het pad naar het PEM-bestand opgeven in de SSL-configuratie. Bij RELIANOID, upload gewoon het SSL-certificaat met behulp van de web-GUI en wijs toe als Ingeschakeld certificaat in elke HTTPS-farm.

Controleer de configuratie #

Nadat u uw server hebt geconfigureerd om het PEM-bestand te gebruiken, is het essentieel om de SSL/TLS-configuratie te verifiëren om ervoor te zorgen dat de certificaatketen tijdens de SSL-handshake correct aan clients wordt gepresenteerd. U kunt verschillende online SSL/TLS-testtools of opdrachtregelprogramma's zoals OpenSSL gebruiken om de configuratie te controleren en ervoor te zorgen dat de certificaatketen compleet is.

Genereer een zelfondertekend SSL-certificaat in PEM-indeling #

Om een zelfondertekend SSL-certificaat in PEM-formaat te maken vanaf de load balancer of server, voert u de volgende stappen uit:

1. Genereer de sleutel- en certificaatbestanden met een 4096-bits RSA-sleutel voor 1 jaar en zonder wachtwoordzin met behulp van de volgende opdracht:

root@noid-ee-01:~# openssl req -nodes -new -x509 -newkey rsa:4096 -keyout server.key -out server.cert -dagen 365
Een privé-RSA-sleutel genereren ...................++++ .................... .............................................. .............................................. ...................................++++ nieuwe privésleutel schrijven naar 'server.key' - ---- U wordt binnenkort gevraagd informatie in te voeren die in uw certificaataanvraag zal worden opgenomen. Wat u gaat invoeren, is een zogenaamde Distinguished Name of een DN. Er zijn nogal wat velden, maar u kunt er enkele leeg laten. Voor sommige velden is er een standaardwaarde. Als u '.' invoert, blijft het veld leeg. ----- Landnaam (tweeletterige code) [AU]: naam van de staat of provincie (volledige naam) [Sommige staten]: plaatsnaam (bijvoorbeeld stad) []: organisatienaam (bijvoorbeeld bedrijf) [Internetwidgits Pty Ltd]: Naam van de organisatie-eenheid (bijvoorbeeld sectie) []: Algemene naam (bijvoorbeeld server FQDN of UW naam) []: E-mailadres []:

Tijdens de uitvoering van dit commando wordt u gevraagd om interactief informatie in te voeren. Geef de vereiste gegevens op.

2. Voeg de sleutel en het certificaat samen tot een PEM-bestand met behulp van de volgende opdracht:

root@noid-ee-01:~# cat server.key server.cert >> server.pem

Deze opdracht combineert de sleutel en het certificaat in één PEM-bestand.

3. Uw zelfondertekende SSL-certificaat in PEM-formaat ( server.pem ) is nu klaar voor gebruik met uw proxy, webdiensten of internetdiensten.

Hoe u de inhoud van een SSL-certificaat kunt bekijken #

Om de inhoud van een SSL-certificaat te bekijken, kunt u verschillende tools en opdrachten gebruiken. Een veelgebruikte methode is het gebruik van OpenSSL, een veelzijdige opdrachtregeltool die verschillende cryptografische bewerkingen ondersteunt, waaronder certificaatinspectie. Zo kunt u de inhoud van een SSL-certificaat bekijken met OpenSSL:

OpenSSL-opdracht om de certificaatgegevens op te halen #

Open een terminal- of opdrachtpromptvenster op uw systeem.

Gebruik de volgende OpenSSL-opdracht om de inhoud van het SSL-certificaat te bekijken:

root@noid-ee-01:~# openssl x509 -in certificaat.pem -tekst -noout

Vervang certificate.pem door het pad naar uw SSL-certificaatbestand.

Als uw certificaat de PEM-indeling heeft, geeft deze opdracht gedetailleerde informatie over het certificaat weer, waaronder:

Emittent
Onderwerp
Geldigheidsperiode (begin- en einddatum)
Informatie over openbare sleutels
Certificaatextensies
Handtekeningalgoritme
Vingerafdrukken (SHA-1, SHA-256, enz.)

Zodra u de opdracht uitvoert, zal OpenSSL de tekstuele weergave van de inhoud van het certificaat uitvoeren. Bekijk de weergegeven informatie om de details van het certificaat te verifiëren, zoals de uitgever, het onderwerp, de geldigheidsdata en andere relevante metagegevens.

Inspecteer DER-certificaten #

Als uw certificaat het DER-formaat heeft in plaats van PEM, kunt u de optie -inform der gebruiken om het invoerformaat op te geven:

root@noid-ee-01:~# openssl x509 -inform der -in certificaat.pem -text -noout

U kunt de uitvoer ook opslaan in een bestand voor verdere analyse of documentatie door gebruik te maken van de shell-omleiding (>):

root@noid-ee-01:~# openssl x509 -in certificaat.pem -text -noout > certificaat_details.txt

Met deze opdracht worden de certificaatgegevens opgeslagen in een bestand met de naam certificaat_details.txt.

Door het opdrachtregelprogramma OpenSSL te gebruiken, kunt u eenvoudig de inhoud van een SSL-certificaat inspecteren en de details ervan verifiëren, zodat u de veiligheid en geldigheid van uw SSL/TLS-verbindingen kunt garanderen.

Verifiëren dat tussen- en root-CA aanwezig zijn in een SSL-certificaat #

Om te verifiëren of tussenliggende en root-CA-certificaten aanwezig zijn in een SSL-certificaat, wordt de certificaatketen onderzocht. Hier ziet u hoe u het kunt doen:

Gebruik OpenSSL of een andere tool om de details van het SSL-certificaat te bekijken. Voer de volgende opdracht uit:

root@noid-ee-01:~# openssl crl2pkcs7 -nocrl -certfile certificaat.pem | openssl pkcs7 -print_certs -noout 
subject=CN = mijndomein.com uitgever=C = VS, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1

In het bovenstaande voorbeeld is alleen het certificaat aanwezig.

root@noid-ee-01:~# openssl crl2pkcs7 -nocrl -certfile certificaat.pem | openssl pkcs7 -print_certs -noout 
subject=CN = mijndomein.com uitgever=C = VS, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1 subject=C = VS, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1 uitgever=C = VS, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA

In het bovenstaande voorbeeld zijn zowel het certificaat als de Intermediate aanwezig.

Vervang certificaat.pem door het pad naar uw SSL-certificaatbestand.

Gebruik OpenSSL ook om de certificaatketen te bekijken die door de SSL-server wordt gepresenteerd tijdens de handshake. Voer de volgende opdracht uit:

root@noid-ee-01:~# openssl s_client -connect mijndomein.com:443 -showcerts

Vervang mijndomein.com door de domeinnaam van de SSL-server waarmee u verbinding wilt maken.

Zoek naar de secties met het label Certificaatketen of Certificaatketen (PEER). Dit toont de certificaten die door de server worden gepresenteerd, beginnend bij het eindentiteitscertificaat en eindigend met het root-CA-certificaat.

Verifieer tussenliggende en root-CA-certificaten door elk certificaat in de keten te onderzoeken om te verifiëren of zowel de tussenliggende als de root-CA-certificaten aanwezig zijn.
Gemiddeld CA-certificaat: Zoek naar een certificaat in de keten dat overeenkomt met de uitgever van het eindentiteitscertificaat, maar eraan voorafgaat.
Root CA-certificaat: Controleer of het laatste certificaat in de keten het root-CA-certificaat is.

Als alternatief kunt u online SSL-validatietools gebruiken die automatisch de certificaatketen controleren en verifiëren of tussenliggende en root-CA-certificaten aanwezig zijn. Tools zoals de SSL Server Test van SSL Labs of de SSL Installation Diagnostics Tool van DigiCert kunnen gedetailleerde informatie geven over de certificaatketen.

Door deze stappen te volgen, kunt u verifiëren of er tussen- en root-CA-certificaten aanwezig zijn in een SSL-certificaat en kunt u de integriteit en veiligheid van uw SSL/TLS-verbindingen garanderen.