A legtöbb böngészőben hibaüzenet jelenik meg, amikor olyan biztonságosnak vélt (https://) weboldalt jelenít meg, aminek saját maga által aláírt tanúsítványa van, vagy olyan tanúsítványszolgáltatót használ amit nem ismer az adott böngésző.
A StarCom tanúsítványszolgáltatónál ingyenesen lehet igényelni 1 tartományra +1 altartományra érvényes tanúsítványt, amelyet a legtöbb böngésző elfogad hitelesnek. Az alábbi leírásból megtudhatja, hogy mit kell tenni egy ilyen SSL tanúsítvány beszerzéséhez egy FreeBSD-n futó Apache webkiszolgálóhoz.
A művelet a következő lépésekből áll:
- Regisztrálás és ügyféltanúsítvány létrehozása
- Privát kulcs (key) és tanúsítvány aláírási kérelem (csr) fájlok létrehozása a webkiszolgálóhoz
- Tartomány érvényesítése a StartSSL oldalon
- Tanúsítvány generálása a StartSSL oldalon
- Tanúsítvány alkalmazása a webkiszolgálón
Megjegyzés: Az StartCom által ingyenesen kibocsátott SSL tanúsítványok mindig csak 1 évig érvényesek. Ezt azt jelenti, hogy minden évben az alábbi procedúrát újra végig kell csinálni. A StartCom hetekkel a lejárat előtt értesítést küld, hogy időben meg lehessen újítani az érvényességet.
Regisztrálás és ügyfél tanúsítvány létrehozása
- Látogasson el a https://www.startssl.com/ oldalra.
- Kattintson jobbra a Sign-Up hivatkozásra.
- Töltse ki az űrlapot, majd kattintson a Continue gombra.
- Fogadja el az ellenőrző kérdést az OK gombbal.
Megjegyzés: Ha minden rendben van, akkor az imént megadott email címre érkezni fog egy ellenőrző kód, amit meg kell adni a regisztráció befejezéséhez. - Adja meg a üres mezőben a levélben érkezett ellenőrző kódot, és kattintson a Continue gombra.
- A következő lépésben generálni kell egy privát kulcsot. Válassza ki a 4096 (High grade) opciót és kattintson a Continue gombra.
- Hagyja jóvá a webhozzáférést Internet Explorer esetén, vagy a felhasználó azonosítási kérelmet Firefox esetén.
- A tanúsítvány telepítéséhez kattintson az Install gombra.
Ezzel a elkészült és telepítve lett a böngészőbe az Ön ügyfél tanúsítványa (client certificate). Erről a tanúsítványról készíteni kell egy biztonsági mentése.
Ügyfél tanúsítvány (client certificate) mentése
Internet Explorer esetén
- Kattintson az Eszközök – Internetbeállítások menüpontra.
- Az Internetbeállítások párbeszédpanelben kattintson a Tartalom panellapon a Tanúsítványok gombra.
- A Tanúsítványok párbeszédpanelben válassza ki a Személyes panellapot, keresse meg az ügyfél tanúsítványát és jelölje ki azt.
- Kattintson az Exportálás… gombra.
- Kattintson a Tanúsítványexportáló varázsló párbeszédpanelben a Tovább > gombra.
- Válassza ki az Igen, a titkos kulcs exportálását választom opciót, és kattintson a Tovább > gombra.
- Fogadja el a következő oldal beállításait, és kattintson a Tovább > gombra.
- Adjon meg egy jelszót a fájlhoz, és kattintson a Tovább > gombra.
- Adja meg a fájl nevét és válasszon ki egy ismert helyet a mentéshez, majd kattintson a Tovább > gombra.
- Kattintson a Tanúsítványexportáló varázsló párbeszédpanelben a Befejezés gombra, és fogadja a sikeres exportálásra vonatkozó üzenetet az OK gombbal.
- Zárja be a még megnyitott párbeszédpaneleket a megfelelő gombokra kattintva.
Firefox esetén
- Kattintson az Eszközök – Beállítások menüpontra.
- A Beállítások párbeszédpanelben kattintson a Haladó – Titkosítás panellapon a Tanúsítványkezelő gombra.
- A Tanúsítványkezelő párbeszédpanelben válassza ki a Saját tanúsítványok panellapot, keresse meg az ügyfél tanúsítványát (StartCom alatt szerepel) és jelölje ki azt.
- Kattintson az Mentés… gombra.
- Az Elmentendő fájl neve párbeszédpanelben adja meg a fájl nevét és válasszon ki egy ismert helyet a mentéshez, majd kattintson a Mentés gombra.
- Adjon meg egy jelszót a fájlhoz, és kattintson az OK gombra.
- Fogadja el a sikeres mentésre vonatkozó üzenetet az OK gombbal.
- Zárja be a még megnyitott párbeszédpaneleket a megfelelő gombokra kattintva.
Megjegyzés: A létrehozott fájlt mentse el egy biztonsági helyre (CD-ROM-ra ,USB eszközre vagy smart card-ra). Utána törölje a számítógépéről.
Privát kulcs (key) és tanúsítvány aláírási kérelem (csr) fájlok létrehozása a webkiszolgálóhoz
Ezeket a fájlokat a StartCom oldalán is végre lehet hajtani, de itt a kiszolgálón való generálás leírása található meg. A példában az example.com helyére a saját tartomány nevét kell megadni.
Generáljon egy 4096 bites kulcsot (legalább 2048 bit szükséges):
[sourcecode language=”text” highlight=””]# openssl genrsa -des3 -out example.com.key.pass 4096[/sourcecode]
Meg kell adni egy jelszót, nem válasszon bonyolultat, mert a következő lépésben úgyis el lesz távolítva.
Jelszó eltávolítása:
[sourcecode language=”text” highlight=””]# openssl rsa -in example.com.key.pass -out example.com.key[/sourcecode]
Tanúsítvány aláírási kérelem (certificate signing request) fájl létrehozása:
[sourcecode language=”text” highlight=””]# openssl req -new -key example.com.key -out example.com.csr[/sourcecode]
Válaszoljon értelemszerűen a következő kérdésekre:
[sourcecode language=”text” highlight=””]Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:
Email Address []:
Please enter the following ‘extra’ attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:[/sourcecode]
Ezzel elkészültek a szükséges fájlok.
Tartomány érvényesítése a StartSSL oldalon
Első lépésben érvényesíteni kell a weboldalat a Validation Wizard segítségével. Ebből fog kiderülni a StartCom számára, hogy Ön a weboldal tulajdonosa. Ehhez egy levélváltásra lesz szükség.
- Látogasson el a https://www.startssl.com/ oldalra.
- Ha már végrehajtotta a regisztrálást, akkor kattintson az Authenticate hivatkozásra. Ellenkező esetben kattintson a Sign-In hivatkozásra és hajtsa végre a regisztrációt a fentiek szerint.
- Ha megjelenik a Windows rendszerbiztonság ablak a tanúsítvány megerősítéséhez (Internet Explorer), akkor fogadja el az OK gombbal.
- Keresse meg a Validations Wizard oldalát (általában felül a harmadik panelfül).
- Válassza ki a Domain Name Validation típust és kattintson a Continue gombra.
- Adja meg a tartománynevet (pl. http://example.com), és kattintson a Continue gombra.
- Válasszon email címet az ellenőrzéshez (pl. postmaster@example.com), és kattintson a Continue gombra.
Megjegyzés: a StartCom most egy levélben elküld egy ellenőrző kódot az imént a kiválasztott email címre. - Adja meg a Verification Code mezőben az ellenőrző kódot, majd kattintson a Continue gombra.
- Végül kattintson Finish gombra.
Sikeres végrehajtás után 30 napja van arra, hogy tanúsítvány készítsen az érvényesített tartományhoz.
Tanúsítvány generálása a StartSSL oldalon
Következő lépésben tanúsítványt kell generálni a Certificates Wizard segítségével.
- Látogasson el a https://www.startssl.com/ oldalra.
- Ha már végrehajtotta a regisztrálást, akkor kattintson az Authenticate hivatkozásra. Ellenkező esetben kattintson a Sign-In hivatkozásra és hajtsa végre a regisztrációt a fentiek szerint.
- Ha megjelenik a Windows rendszerbiztonság ablak a tanúsítvány megerősítéséhez (Internet Explorer), akkor fogadja el az OK gombbal.
- Keresse meg a Certificates Wizard oldalát (általában felül a harmadik panelfül).
- Válassza ki a Web Server SSL/TLS Certificate opciót a Certificate Target mezőben, majd kattintson a Continue gombra.
- A Generate Private Key oldalon kattintson a Skip gombra, mivel ezt már korábban megtette.
- Másolja be a tanúsítvány aláírási kérelem fájl (example.com.csr) tartalmát a beviteli mezőbe, és kattintson a Continue gombra.
- Kattintson a Certificate Request Received oldalon a Continue gombra.
- Az Add domains oldalon válassza ki a tartományt (example.com) a tanúsítványhoz, és kattintson a Continue gombra.
- A következő oldalon meg kell adnia egy altartományt az alaptartományhoz (pl. www.example.com). Végül kattintson a Continue gombra.
- A Ready Processing Certificate oldal tájékoztatja, hogy minden szükséges információt összegyűjtött a tanúsítvány elkészítéséhez. Kattintson a Continue gombra.
- A Save Certificate oldalon megjelenik egy szövegdobozban a tanúsítvány. Másolja ki a tartalmát és mentse el egy example.com.crt nevű fájlba.
- A szövegdoboz alatt található két hivatkozás, melyek segítségével lementhető az intermediate (sub.class1.server.ca.cer) és a root CA (ca.cer) tanúsítvány is. Kattintson mindkettőre a jobb egérgombbal (Cél mentése másként…) és mentse le őket egy ismert helyre.
- Végezetül kattintson a Finish gombra.
Ezzel befejeződött a tanúsítvány generálása.
Tanúsítvány alkalmazása a webkiszolgálón
A FreeBSD rendszeren a SSL kulcs rendszerint az /etc/ssl/apache könyvtárban található. Ezért az összes szükséges fájlt ebbe a mappába kell helyezni.
Másolja át az /etc/ssl/apache könyvtárba a következő fájlokat: example.com.key, example.com.crt, sub.class1.server.ca.cer, ca.cer.
Tegye biztonságossá a SSL tanúsítvány fájljait:
[sourcecode language=”text” highlight=””]# chmod 400 /etc/ssl/apache/*[/sourcecode]
Ezután keresse meg az Apache konfigurációs fájlját (/usr/local/etc/apache22/extra/httpd-ssl.conf), és állítsa be a következő paramétereket:
[sourcecode language=”text” highlight=”8,15,24,33″]# Server Certificate:
# Point SSLCertificateFile at a PEM encoded certificate. If
# the certificate is encrypted, then you will be prompted for a
# pass phrase. Note that a kill -HUP will prompt again. Keep
# in mind that if you have both an RSA and a DSA certificate you
# can configure both in parallel (to also allow the use of DSA
# ciphers, etc.)
SSLCertificateFile "/etc/ssl/apache/example.com.crt"
# Server Private Key:
# If the key is not combined with the certificate, use this
# directive to point at the key file. Keep in mind that if
# you’ve both a RSA and a DSA private key you can configure
# both in parallel (to also allow the use of DSA ciphers, etc.)
SSLCertificateKeyFile "/etc/ssl/apache/example.com.key"
# Server Certificate Chain:
# Point SSLCertificateChainFile at a file containing the
# concatenation of PEM encoded CA certificates which form the
# certificate chain for the server certificate. Alternatively
# the referenced file can be the same as SSLCertificateFile
# when the CA certificates are directly appended to the server
# certificate for convinience.
SSLCertificateChainFile "/etc/ssl/apache/sub.class1.server.ca.cer"
# Certificate Authority (CA):
# Set the CA certificate verification path where to find CA
# certificates for client authentication or alternatively one
# huge file containing all of them (file must be PEM encoded)
# Note: Inside SSLCACertificatePath you need hash symlinks
# to point to the certificate files. Use the provided
# Makefile to update the hash symlinks after changes.
SSLCACertificateFile "/etc/ssl/apache/ca.cer"[/sourcecode]
Indítsa újra az Apache webkiszolgálót:
[sourcecode language=”text” highlight=””]# /usr/local/etc/rc.d/apache22 restart[/sourcecode]
Ezután a https://example.com oldal már hibaüzenet nélkül fog megnyílni a böngészőben.