UiO er godkjent til å utstede sertifikater under domenenavnet uio.no.
Man trenger:
All forekomst av 'www.foo.uio.no' i teksten skal byttes ut med navnet/url'en som sertifikatet skal bindes til. Dvs. fullt domenenavn (FQDN), f.eks. www.admin.uio.no eller universitas.uio.no
Start med å lage en www.foo.uio.no.cnf fil. Typisk vil den inneholde:
[ req ] default_bits = 2048 prompt = no encrypt_key = no default_md = sha1 distinguished_name = dn utf-8 = yes [ dn ] C = NO L = Oslo O = Universitetet i Oslo OU = USIT CN = www.foo.uio.no
Det som må gjøres her er å bytte ut OU og CN. OU står for navn på organisasjonsenhet og CN står for domene navn som blir 'www.foo.uio.no' i vår tilfelle.
Hvis man skal bestille sertifikat for flere DNS-navn (aliaser) så finner man informasjonen her
Deretter lager man en RSA nøkkel og en CSR (Certificate Signing Request) ved hjelp av OpenSSL. Lagre dem et sted man finner det igjen. Man trenger ikke lage nøkkel og CSR på samme maskin som sertifikatet skal bindes til.
maskin.uio.no# /local/bin/openssl req -new -config
www.foo.uio.no.cnf -keyout www.foo.uio.no.key
-out www.foo.uio.no.csr
Generating a 2048 bit RSA private key ............+++ .+++ writing new private key to 'www.foo.uio.no.key' -----
Neste steg er å beskytte private nøkkelen. Velg en sikker pass phrase, og husk den. Den kan endres i ettertid hvis man husker den gamle. Ta en backup av filen www.foo.uio.no.key.
maskin.uio.no# /local/bin/openssl rsa -in
www.foo.uio.no.key -des3 -out
www.foo.uio.no-enc.key
Den krypterte nøkkelen vil larges i www.foo.uio.no-enc.key og den ukrypterte nøkkelen i (www.foo.uio.no.key)writing RSA key
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
Hvis man ønsker kan man se nøkkelparet i klartekst med:
maskin.uio.no# /local/bin/openssl rsa
-noout -text -in www.foo.uio.no.key
...[bøttevis av output]
Man har muligheten til å lagre den private nøkkelen i klartekst, men det frarådes på det sterkeste.
Før man gjør noe som helst bør man forsikre seg om at man har en back-up av den private nøkkelen.
Deretter fyller man ut nødvendige opplysningene på bestillingsskjema
Man trenger:
Hvis du bruker Apache2.2 fra Store flytter disse filene til
/site/opt/apache2.2/conf/ssl.crt/
/site/opt/apache2.2/conf/ssl.key/
(som er path spesifisert i den distede httpd.conf) og
gjør:
maskin.uio.no# ln -s
/site/opt/apache2.2/conf/ssl.crt/www.foo.uio.no.crt
/site/opt/apache2.2/conf/ssl.crt/server.crt
maskin.uio.no# ln -s
/site/opt/apache2.2/conf/ssl.key/www.foo.uio.no.key
/site/opt/apache2.2/conf/ssl.key/server.key
...for at Apache2.2 skal finne filene, og så det følgende for å sikre filene:
maskin.uio.no# chmod 440
/site/opt/apache2.2/conf/ssl.crt/www.foo.uio.no.crt
maskin.uio.no# chmod 400
/site/opt/apache2.2/conf/ssl.key/www.foo.uio.no.key
Legg inn i /etc/httpd.conf:
<IfDefine SSL>
ServerName www.foo.uio.no
ErrorLog /site/opt/apache2.2/logs/ssl.error_log
TransferLog /site/opt/apache2.2/logs/ssl.access_log
</IfDefine>
Start SSL-serveren med:
maskin.uio.no# /local/etc/init.d/apachectl start
Apache/2.2.4 mod_ssl/2.2.4 (Pass Phrase Dialog)
Som of your private key files are encrypted for sequrity resasons.
IN order to read them you have to provide us with the pass phrase.
Server www.foo.uio.no:443 (RSA)
Enter pass phrase:
Se forøvrig Apache2.2 egen dokumentasjon for mer informasjon.
Deretter "finner" man fram følgende:
Innholdet i din CSR skal se ut omtrent som dette:
-----BEGIN CERTIFICATE REQUEST-----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-----END
CERTIFICATE REQUEST-----
Når man skal fylle ut bestillingsskjemaet så må man sende med alt f.o.m ----BEGIN... t.o.m. END CERTICATE REQUEST-----
Gyldig levetid for et ssl-sertifikat er ett, to eller tre år. Man velger sertifikatets levetid på bestillingsskjemaet.
Sertifikatene er software spesifikke. Man må oppgi server software. For apache velger man Apache-ModSSL på bestillingsskjemaet.
Man kan endre pass-phraser på de private nøklene på denne måten:
test# /local/bin/openssl rsa -des3 -in www.foo.uio.no.key -out
www.foo.uio.no.key.newread RSA key
Enter PEM pass phrase:
writing PEM pass phrase:
Werifying password - Enter PEM pass phrase:
maskin.uio.no# mv www.foo.uio.no.key.new www.foo.uio.no.key
maskin.uio.no# /local/bin/openssl x509 -startdate -enddate -noout < www.foo.uio.no.crt
notBefore=Apr 16 12:00:51 2007 GMT
notAfter=Apr 18 16:23:16 2008 GMT