Горькие уроки судьбы адресованы низшему началу человека (Авессалом Подводный).

Как создать Самозаверяющий SSL-сертификат в Linux

Главное меню » Операционная система Linux » Как создать Самозаверяющий SSL-сертификат в Linux

08.11.2018

Об SSL каждый думает сегодня. Бесплатный сертификат Let’s Encrypt становится чрезвычайно распространенным явлением, нет никаких причин для тех, кто не использует SSL – не говоря уже о преимуществах ранжирования поиска, и тот факт, что браузеры будут доверять вашему сайту.

Однако вы также можете создать свой собственный САМОЗАВЕРЯЮЩИЙ SSL сертификаты для частного использования на своем сервере. Одна из главных причин сделать это -шифрование. В то время как ваш личный сертификат ничего не будет означать для браузеров, и посетители все равно получат предупреждение, если они посетят ваш сайт напрямую, вы можете по крайней мере быть уверены, что вы защищены от атак “man-in-the-middle”. Самозаверяющий сертификат – это хороший первый шаг, когда вы просто тестируете что-то на своем сервере, и, возможно, даже не имеете доменного имени.

Вот пошаговая процедура создания САМОЗАВЕРЯЮЩЕГО SSL-сертификата в Linux.

Шаг 1: создайте пару ключей RSA

Первым шагом является использование пакета “openssl” на Linux/CentOS для создания пары ключей RSA. Для этого убедитесь, что у вас установлен пакет. Если нет, установите его:

sudo yum install openssl

Скорее всего, у вас уже есть в вашей системе. Если это так, создайте ключ/пару с помощью следующей команды:

openssl genrsa -des3 -passout pass:x -out keypair.key 2048

Эта команда использует 2048-битное шифрование и выводит файл под названием “keypair.key”.

Ключ будет сгенерирован и помещен в текущий каталог.

Шаг 2: Извлеките закрытый ключ в папку “httpd”

Папка “/etc/httpd”, где система хранит все важные материалы, связанные с SSL. Итак, во-первых, давайте создадим новую папку для хранения всех файлов, относящихся к нашему закрытому ключу:

sudo mkdir /etc/httpd/httpscertificate

Мы назвали папку “httpscertificate” и будет ссылаться на него для всех других примеров командной строки.

Чтобы извлечь закрытый ключ из только что созданного файла keypair, введите следующую команду:

openssl rsa -passin pass:x -in keypair.key -out /etc/httpd/httpscertificate/012.345.678.90.key

Замените в разделе bold на IP-адрес вашего сервера. Или, если вы можете получить доступ к сайту с доменным именем, Вы также можете использовать его.

Это создаст файл “key” в папке, которую мы только что создали. И когда это будет сделано, мы можем удалить исходный файл пары ключей:

rm keypair.key

Шаг 3: создание “Certificate Signing Request” или файла CSR

С помощью ключа мы можем создать специальный файл “csr”, который мы можем подписать или отправить в “центр сертификации”. Это в стандартизированном формате. Чтобы создать его, введите следующую команду:

openssl req -new -key /etc/httpd/httpscertificate/012.345.678.90.key -out /etc/httpd/httpscertificate/012.345.678.90.csr

Опять же, заменить элементы в bold на IP-адрес или имя домена, которое вы установили на Шаге 2. При выполнении этой команды инструмент запросит у вас кучу личной информации.

CA может использовать эти детали, чтобы проверить, что вы действительно тот, кто вы есть на самом деле. Заполните как можно больше информации.

Как только вы закончите вводить эти данные, инструмент закроет свою работу и разместит файл “csr” в каталоге, который мы создали для этой цели.

Шаг 4: создание сертификата “.crt”

С помощью CSR мы можем создать файл окончательного сертификата следующим образом:

openssl x509 -req -days 365 -in /etc/httpd/httpscertificate/012.345.678.90.csr -signkey /etc/httpd/httpscertificate/012.345.678.90.key -out /etc/httpd/httpscertificate/012.345.678.90.crt

Это создает файл “crt” вместе со всеми остальными.

Теперь мы должны сказать Apache, где эти файлы.

Шаг 5: Настройка Apache для использования файлов

Для начала необходимо установить пакет “mod_ssl” с командой:

sudo yum install mod_ssl

После того, как это будет сделано, место файла “ssl.conf ” внутри папки /etc/httpd/conf.d/. Нам нужно изменить этот файл по умолчанию:

sudo vi /etc/httpd/conf.d/ssl.conf

Теперь прокрутите вниз, пока не найдете строки, начинающиеся с:

SSLCertificateFile
SSL CertificateKeyFile

Измените пути по умолчанию с путями к файлу сертификата и файлу ключа соответственно, как показано здесь:

Сохраните изменения. Теперь просто перезапустите Apache:

sudo apachectl restart

Все. Вы закончили! После перезапуска Apache будет настроен на разрешение SSL-подключений.

При следующем подключении к IP-адресу через HTTPS вас предупредят, что это не доверенный сертификат.

Все в порядке. Мы знаем это, так как мы подписали его сами! Просто продолжайте, и это приведет вас к окончательному сайту.

Здесь вы можете видеть, что используется сертификат, который мы создали. Это не очень полезно для тех, кто посещает ваш сайт, так как они не могут проверить вашу личность. Но вы знаете, что он безопасный, и более того, что он зашифрован.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Просмотров поста: 73