Wir betreiben hier verschiedene Webserver, die nur internen Zwecken dienen, aber die Daten dennoch verschl\u00fcsselt ausliefern. Nun ist es ziemlich nervig bei jedem Aufruf diese „Diese Seite ist nicht sicher“-Warnung wegklicken zu m\u00fcssen. Au\u00dferdem besteht die Gefahr, dass die User sich daran gew\u00f6hnen, dass diese Warnmeldung kommt und die auch dann missachten, wenn echt mal Gefahr droht.<\/p>\n\n\n\n
Wir m\u00fcssen also g\u00fcltige Zertifikate f\u00fcr diese Server ausstellen, damit die SSL\/TLS verschl\u00fcsselte \u00dcbertragung per https ohne Fehlermeldung funktioniert. W\u00e4hrend das bei extern erreichbaren Webservern ja recht einfach ist, d\u00fcrfte es schwierig werden eine CA (certificate authority) zu finden, die einem ein Zertifikat f\u00fcr die Domain firma.local ausstellt.<\/p>\n\n\n\n
Wir m\u00fcssen also unsere lokale CA gr\u00fcnden, den Rechnern in der Windows-Domain beibringen dieser CA zu vertrauen und dann von unserer internen CA Zertifikate f\u00fcr diverse Server erstellen lassen und installieren.<\/p>\n\n\n\n
Klingt nach viel Arbeit – ist es leider auch – aber nicht so kompliziert wie es eigentlich klingt, fangen wir einfach mal an.<\/p>\n\n\n\n\n\n\n\n
F\u00fcr unsere CA nutze ich einen virtuellen Linux-Server unter Ubuntu 16.04 LTS, die interne Domain lautet fafa4.local. Spielt aber letztlich keine Rolle, da eine CA ja kein aktiv laufender Dienst ist, sondern nur per OpenSSL Zertifikate erzeugt werden. Es kann also jeder Rechner mit funktionierendem OpenSSL verwendet werden, egal ob Linux oder Windows.<\/p>\n\n\n\n
Zun\u00e4chst erstelle ich ein Verzeichnis, in welchem privater Schl\u00fcssel und Stamm-Zertifikat abgelegt werden und vergebe daf\u00fcr restriktive Berechtigungen.<\/p>\n\n\n
\n$ sudo mkdir -p \/root\/CA\n$ sudo chmod 700 \/root\/CA\n<\/pre><\/div>\n\n\nPrivaten Schl\u00fcssel erstellen<\/h2>\n\n\n\n
Jetzt erstelle ich in diesem Verzeichnis den privaten Schl\u00fcssel. Sicherheitshalber wird dieser mit einem guten Passwort gesch\u00fctzt.<\/p>\n\n\n
\n$ sudo openssl genrsa -aes256 -out \/root\/CA\/fafa4-ca.key 4096\nGenerating RSA private key, 4096 bit long modulus\n..............................................................................................................................................++\n........................................................++\ne is 65537 (0x10001)\nEnter pass phrase for \/root\/CA\/fafa4-ca.key:\nVerifying - Enter pass phrase for \/root\/CA\/fafa4-ca.key:\n<\/pre><\/div>\n\n\nAuch dieser bekommt passende Zugriffsrechte.<\/p>\n\n\n
\n$ sudo chmod 700 \/root\/CA\/fafa4-ca.key\n<\/pre><\/div>\n\n\nStammzertifikat erstellen<\/h2>\n\n\n\n
Das Stammzertifikat dient dazu die G\u00fcltigkeit aller f\u00fcr unsere internen Server ausgestellten Zertifikate zu best\u00e4tigen. Wie jedes Zertifikat hat es ein Datum, an dem es ung\u00fcltig wird. Ich w\u00e4hle hier bewusst ein weit in der Zukunft liegendes Datum (25 Jahre, also 2044) , aber das ist nat\u00fcrlich Geschmackssache.<\/p>\n\n\n\n
Zum Erstellen des Stammzertifikats ben\u00f6tige ich den eben erstellen privaten Schl\u00fcssel, zudem fragt openssl ein paar Informationen ab. Auch wenn diese (bis auf den Country Name) optional sind, f\u00fclle ich sie mit sinnvollen Werten.<\/p>\n\n\n
\n$ sudo openssl req -new -nodes -x509 -extensions v3_ca -days 9129 -key \/root\/CA\/fafa4-ca.key -out \/root\/CA\/fafa4-ca.pem -sha512\nEnter pass phrase for \/root\/CA\/fafa4-ca.key:\nYou are about to be asked to enter information that will be incorporated\ninto your certificate request.\nWhat you are about to enter is what is called a Distinguished Name or a DN.\nThere are quite a few fields but you can leave some blank\nFor some fields there will be a default value,\nIf you enter '.', the field will be left blank.\n-----\nCountry Name (2 letter code) [AU]:DE\nState or Province Name (full name) [Some-State]:NRW\nLocality Name (eg, city) []:Titz\nOrganization Name (eg, company) [Internet Widgits Pty Ltd]:Fafa4 - coole Firma\nOrganizational Unit Name (eg, section) []:Administration\nCommon Name (e.g. server FQDN or YOUR name) []:Fafa4 - interne CA\nEmail Address []:xxxxxxxxxx@gluecksgriff-taschen.de\n<\/pre><\/div>\n\n\nUnser \/root\/CA-Verzeichnis sieht jetzt also so aus:<\/p>\n\n\n
\n$ sudo ls -lah \/root\/CA\ninsgesamt 16K\ndrwx------ 2 root root 4,0K Jan 11 14:04 .\ndrwx------ 4 root root 4,0K Jan 11 11:49 ..\n-rwx------ 1 root root 3,3K Jan 11 12:09 fafa4-ca.key\n-rw-r--r-- 1 root root 2,2K Jan 11 14:04 fafa4-ca.pem\n<\/pre><\/div>\n\n\n