Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
wiki:sicherheit:startssl [2014/03/18 20:13] – [StartSSL] wikiadmin | wiki:sicherheit:startssl [2015/03/20 21:17] (aktuell) – wikiadmin | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
====== StartSSL ====== | ====== StartSSL ====== | ||
+ | |||
+ | ===== Zertifikate erzeugen ===== | ||
Aus Sicherheitsgründen sollte man seinen Privaten Schlüssel auf dem eigenen Server erzeugen. StartSSL bietet an, den privaten Key zu erzeugen, aber wer weiß, wo der Private Schlüssel dann landet und was damit gemacht wird. Denn nur mit dem privaten Schlüssel kann man neue Zertifiakte ausstellen oder fälschen (Man-in-the-Middle Attacke) | Aus Sicherheitsgründen sollte man seinen Privaten Schlüssel auf dem eigenen Server erzeugen. StartSSL bietet an, den privaten Key zu erzeugen, aber wer weiß, wo der Private Schlüssel dann landet und was damit gemacht wird. Denn nur mit dem privaten Schlüssel kann man neue Zertifiakte ausstellen oder fälschen (Man-in-the-Middle Attacke) | ||
Zeile 6: | Zeile 8: | ||
Privates Schlüsselpaar erzeugen | Privates Schlüsselpaar erzeugen | ||
< | < | ||
- | openssl genrsa -out private.key 4096 | + | openssl genrsa -out < |
</ | </ | ||
Um jetzt einen Schlüssel bei StartSSL zu bekommen, muss man ein CSR (Certificate Sign Request) erzeugen. | Um jetzt einen Schlüssel bei StartSSL zu bekommen, muss man ein CSR (Certificate Sign Request) erzeugen. | ||
< | < | ||
- | openssl req -new -key private.key -out < | + | openssl req -new -key < |
</ | </ | ||
- | es werden nach und nach Informationen über das Zertifikat angefordert. Wichtig ist hier der Common-Name. Dieser sollte der gleiche sein, wie die URL der Webseite | + | es werden nach und nach Informationen über das Zertifikat angefordert. Wichtig ist hier der Common-Name. Dieser sollte der gleiche sein, wie die URL der Webseite. |
+ | |||
+ | Zum Schluss werden weitere Einstellungen abgefragt. Hier sollte man ein Passwort hinterlegen, | ||
+ | |||
+ | Nach fertigstellung muss man den generierten csr-Code bei StartSSL eintragen. | ||
+ | |||
+ | nach ein paar Klicks auf weiter und der Eingabe der Domain und Subdomain erhält man das unterschriebene Zertifikatsfile. Dieses als '' | ||
+ | |||
+ | Zum Schluss muss man noch die private Datei entschlüsseln | ||
+ | < | ||
+ | openssl rsa -in < | ||
+ | </ | ||
<note tip> | <note tip> | ||
- | Man sollte alle Zertifikate in einem separaten | + | Man sollte alle Zertifikate in ein separates |
+ | |||
+ | |||
+ | ===== Zertifikate einbinden ===== | ||
+ | |||
+ | < | ||
+ | < | ||
+ | ServerAdmin webmaster@< | ||
+ | |||
+ | ServerName < | ||
+ | |||
+ | UseCanonicalName On | ||
+ | SSLEngine on | ||
+ | |||
+ | SSLCertificateKeyFile / | ||
+ | SSLCertificateFile / | ||
+ | SSLCertificateChainFile / | ||
+ | SSLCACertificateFile / | ||
+ | |||
+ | SSLCipherSuite HIGH | ||
+ | SSLProtocol all -SSLv2 | ||
+ | |||
+ | DocumentRoot /var/www/ | ||
+ | < | ||
+ | Options FollowSymLinks | ||
+ | AllowOverride None | ||
+ | </ | ||
+ | < | ||
+ | Options Indexes FollowSymLinks MultiViews | ||
+ | AllowOverride All | ||
+ | Order allow, | ||
+ | allow from all | ||
+ | </ | ||
+ | |||
+ | ErrorLog ${APACHE_LOG_DIR}/< | ||
+ | |||
+ | LogLevel warn | ||
+ | |||
+ | CustomLog ${APACHE_LOG_DIR}/< | ||
+ | </ | ||
+ | |||
+ | </ | ||
====== Quellen ====== | ====== Quellen ====== | ||
* [[https:// | * [[https:// | ||
* [[http:// | * [[http:// | ||
+ | * [[http:// | ||
+ | * [[https:// |