Manual de gestió del certificat de servidor de 2048 bits, a l'apache HTTP Server

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Manual de gestió del certificat de servidor de 2048 bits, a l'apache HTTP Server"

Pedro de la Fuente Muñoz
hace 6 años
Vistas:

1 Manual de gestió del certificat de servidor de 2048 bits, a Ref.: D1150 Versió: 1.0 Pàgina 1 de 8

2 Control documental Estat formal Elaborat per: Data de creació 25/11/2010 Àrea Tècnica - CATCert Control de versions Data: 25/11/2010 Descripció: Creació del document. Nivell accés informació Títol Fitxer Control de còpies pública Manual de gestió del certificat de servidor de 2048 bits, a _Gestio_Certs2048bits_CDS_Apache.pdf Només les còpies disponibles al web de CATCert garanteixen l actualització dels documents. Tota còpia impresa o desada en ubicacions diferents es consideraran còpies no controlades. Drets d autor Aquesta obra està subjecta a una llicència Reconeixement-No comercial-sense obres derivades 2.5 Espanya de Creative Commons. Per veure'n una còpia, visiteu o envieu una carta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA. Ref.: D1150 Versió: 1.0 Pàgina 2 de 8

3 Índex 1. Objecte Generació del.csr Instal lació de les claus públiques Instal lació de les arrels del certificat de servidor Instal lació del certificat... 8 Ref.: D1150 Versió: 1.0 Pàgina 3 de 8

4 1. Objecte L objectiu del present document és descriure les instruccions necessàries per tal de portar a terme les tasques relatives a la gestió d un CDS (Certificat de Dispositiu Segur) de 2048 bits, al servidor web Apache: - Generar una sol licitud de CDS (CSR: Certificate Signing Request). - Instal lar el CDS al servidor. - Instal lar les claus públiques de les entitats de certificació al servidor. - Instal lar les arrels del certificat del servidor per presentar-se en l explorador de l usuari final sense necessitat d instal lar-les prèviament. El servidor Apache disposa d un fitxer de configuració des del que es gestionen les comunicacions entre els usuaris del servei i el propi servidor. Aquest fitxer, anomenat http.conf, conté tota una sèrie de directives de MOD_SSL que permeten dur a terme aquesta gestió. Ref.: D1150 Versió: 1.0 Pàgina 4 de 8

5 2. Generació del.csr Per generar una clau privada i la sol licitud d un Certificat de Dispositiu Servidor (CDS) de 2048 bits en un servidor Apache, cal seguir els passos següents des de la línia de comandes: openssl req nodes newkey rsa:2048 -keyout nomserver.key out server.csr Això crea dos arxius: l arxiu nomserver.key conté una clau privada, que cal protegir de forma curosa, i fer-ne una còpia de seguretat. Després li demanarà escriure les dades que constaran al CSR: el que se n diu un nom distingit (Distinguished Name) o DN. Les dades que demanarà son: Country Name (2 letter code) [ ]: (Codi del país - 2 lletres) State or Province Name [ ]: (Província) Locality Name [ ]: (Ciutat) Organization Name [ ]: (Entitat) Organizational Unit Name [ ]: (Departament) Common Name* [ ]: (domini o subdomini pel que se sol licita el certificat. Assegureuvos de que tot és correcte i que conté un domini principal o subdomini -ex. seguretat.catcert.net, Address [ ]: (adreça de correu-e) Finalment li demanarà les següents dades: Challenge password [ ]: (Contrasenya) Optional company name [ ]: (Nom alternatiu de l organització) Si a algun dels camps hi posa '.' aquest quedarà en blanc. Poden deixar-se en blanc els camps Address i Optional company name. Amb això ja haureu generat el fitxer CSR. Guardeu en un fitxer.csr tot el contingut comprès entre: -----BEGIN CERTIFICATE REQUEST----- fins a -----END CERTIFICATE REQUEST----- Ref.: D1150 Versió: 1.0 Pàgina 5 de 8

6 3. Instal lació de les claus públiques Indicar el fitxer on s emmagatzemen les Autoritats de Certificació en les quals es confia. Aquesta directiva del fitxer de configuració http.conf s utilitza per verificar si es confia en l emissor del certificat del client. SSLCACertificateFile /usr/local/apache/conf/ssl.crt/ssl.crt Per carregar una nova EC en la qual es confiarà, el procediment és el següent: Ubicar el certificat en el directori esmentat en format PEM. Per convertir un certificat a format PEM, cal executar la següent instrucció, des de línea de comandes: openssl x509 inform der in nomfitxer out nomfitxer.pem on nomfitxer és el fitxer que conté el certificat en format binari. Un cop hem convertit el certificat a format PEM, l editarem amb un editor de text, i copiarem el seu contingut al final del fitxer /usr/local/apache/conf/ssl.crt/ (començant en una nova línea). Desem els canvis del fitxer ssl.crt. Ref.: D1150 Versió: 1.0 Pàgina 6 de 8

7 4. Instal lació de les arrels del certificat de servidor Indicar el fitxer on s emmagatzemen les Autoritats de Certificació intermèdies, les quals han generat el nostre certificat de servidor CDS (és a dir, de les quals penja/depèn el CDS). Per exemple, un CDS generat a partir de EC-SAFP, el fitxer contindrà les arrels intermèdies EC-SAFP i EC-GENCAT. Aquesta directiva del fitxer de configuració http.conf s utilitza per adjuntar a l explorador del client les arrels intermèdies del certificat de servidor CDS i així evitar que les hagin de descarregar expressament, per tal d evitar que l explorador informi del possible perill per accedir a aquesta web. SSLCertificateChainFile /usr/local/apache/conf/server-ca.crt/serverca.crt Per carregar una nova EC, el procediment és el següent: Ubicar el certificat en el directori esmentat en format PEM. Per convertir un certificat a format PEM, cal executar la següent instrucció, des de línea de comandes: openssl x509 inform der in nomfitxer out nomfitxer.pem on nomfitxer és el fitxer que conté el certificat en format binari. Un cop hem convertit el certificat a format PEM, l editarem amb un editor de text, i copiarem el seu contingut al final del fitxer /usr/local/apache/conf/serverca.crt/server-ca.crt (començant en una nova línea). Guardem els canvis del fitxer server-ca.crt. Per exemple, en el cas d un CDS emès per EC-SAFP, hi hauran els certificats EC-SAFP i EC-GENCAT, per a que quan aparegui la seu en el navegador del usuari, aquesta ja dugui explícitament les seves arrels EC-SAFP i EC-GENCAT. Ref.: D1150 Versió: 1.0 Pàgina 7 de 8

8 5. Instal lació del certificat 1. Localitzar la configuració SSL dins http.conf <IfDefine SSL>... </IfDefine SSL> 2. Comprovar si el protocol SSL està habilitat SSL SSLEngine on 3. Comprovar el certificat de servidor i la seva clau privada SSLCertificateFile /usr/local/apache/conf/ssl.crt/certificatserv.crt SSLCertificateKeyFile /usr/local/apache/conf/ssl.key/clausserv.key Ref.: D1150 Versió: 1.0 Pàgina 8 de 8

Documentos relacionados

SOLICITUD, INSTALACIÓN y CONFIGURACIÓN DE UN CERTIFICADO DE SERVIDOR SEGURO EN APACHE MEDIANTE OPENSSL

SOLICITUD, INSTALACIÓN y CONFIGURACIÓN DE UN AC CAMERFIRMA - NIF: A 82743287 USO: INTERNO Página 1 de 7 CONTROL DE ACTUALIZACIONES EX-TEC-EHG2004-005 SOLICITUD E INSTALACIÓN DE UN APACHE MEDIANTE OPENSSL