Certificat autorité : installer facilement sur Debian

Pourquoi installer un certificat d’autorité ?

Si vous avez un serveur dédié comme moi et vous auto hébergé votre site Internet, cela vous permettra de sécuriser.

Pré-requis :

Installer openssl
Création de répertoire
Configuration openssl

Installer OpenSsl

root@osn:/# apt-get install openssl

Une fois installé vous pourrez utiliser openssl vace la commande suivante :

root@osn:/#openssl

Création du répertoire où ce trouveras les certificats

Moi j’ai créé un dossier dans /home/acu/pour mettre le dossier certificate_authority qui aura des sous-dossiers :

private
certs
newcerts
crl

Pour créer le dossier :

root@osn:/#mkdir /home/acu/

Voici la deuxième commande qui créer en même temps les sous dossiers.

root@osn:/#mkdir -p certificate-authority/{private,certs,newcerts,crl}

Une fois que les dossiers sont créés, nous dans le dossier certificate_authority.

root@osn:/#cd /home/acu/certificate-authority

Nous allons créer deux fichiers dans ce dossier.

index.txt : un fichier utilisé par OpenSSL pour stocker les informations des certificats signés
serial : chaque certificat possède un serial. Ce fichier contient le serial du prochain certificat. La valeur est incrémentée automatiquement.

root@osn:/#touch index.txt

Nous commençons le serial par 01 pour que s’incrémente

root@osn:/#echo "01" > serial

Copier le fichier de configuration openssl.cnf vers un nouveau fichier que nous appelons ca_config.cnf

root@osn:/#cp /etc/ssl/openssl.cnf /home/certificate_authority/ca-config.cnf

Une fois que c’est fait ajuster le fichier de configuration ca-config.cnf dans le dossier /etc/ssl/

Changer le chemin du répertoire : dir = ./demoCA

dir = /home/acu/certificate_authority/ # Where everything is kept

Je vous conseille de changer :

certificate   = $dir/cacert.pem       # The CA certificate

certificate    = $dir/certs/ca_mondomaine.crt       # The CA certificate

private_key      _ $dir/private/ca_mondomaine.key   # The private key

Voir ci-dessous :

[ CA_default ]
dir = /home/acu/certificate_authority # Where everything is kept
certs = $dir/certs # Where the issued certs are kept crl_dir = $dir/crl # Where the issued crl are kept database = $dir/index.txt # database index file. #unique_subject = no # Set to 'no' to allow creation of  # several ctificates with same subject. new_certs_dir = $dir/newcerts # default place for new certs.
certificate = $dir/ca_mondomaine.crt # The CA certificate
serial = $dir/serial # The current serial number crlnumber = $dir/crlnumber # the current crl number  # must be commented out to leave a V1 CRL crl = $dir/crl.pem # The current CRL private_key = $dir/private/ca_mondomaine.key # The private key RANDFILE = $dir/private/.rand # private random number file
x509_extensions = usr_cert # The extentions to add to the cert
# Comment out the following two lines for the "traditional"
# (and highly broken) format. name_opt = ca_default # Subject Name options cert_opt = ca_default # Certificate field options

Passons à la configuration ca-config.cnf

Configuration du fichier /etc/ssl/ca-config.cnf

Dans ce fichier, nous allons modifier quelques paramètres qui nous aiderons pour la suite.

default_days = 3650 # how long to certify for default_crl_days= 30 # how long before next CRL default_md = default # use public key default MD preserve = no # keep passed DN ordering

[ req ]
default_bits = 2048 (vous pouvez mettre 4096)
default_keyfile = privkey.pem
distinguished_name = req_distinguished_name
attributes = req_attributes
x509_extensions = v3_ca # The extentions to add to the self signed cert

[ req_distinguished_name ]
countryName = Country Name (2 letter code)
countryName_default = FR
countryName_min = 2
countryName_max = 2

stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Franche Comte

localityName = Locality Name (eg, city)
localityName_default = Les Fins

0.organizationName = Organization Name (eg, company)
0.organizationName_default = mondomaine.com

organizationalUnitName = Organizational Unit Name (eg, section)
#organizationalUnitName_default =

commonName = Common Name (e.g. server FQDN or YOUR name)
commonName_max = 64

emailAddress = Email Address
emailAddress_max = 64

# SET-ex3 = SET extension number 3

[ req_attributes ]
challengePassword = A challenge password
challengePassword_min = 4
challengePassword_max = 20

Nous rallongeons le nombre d’année, ici c’est 10 ans. Nous cryptons en 2048 voir 4096 comme vous voulez. Nous indiquons aussi le pays FR, la région d’où nous sommes Franche-Comté, la ville pour moi Les Fins, et aussi le nom du domaine mondomaine.com.

Création du certificat d’autorité

Nous devons utiliser la commande openssl qui nous permettra de signer les demandes de certificats.

root@osn:/#openssl req -new -x509 -extensions v3_ca -days 3650 -newkey rsa:4096 -keyout private/ca_mondomaine_private.key -out certs/ca_mondomaine_public.crt -config ca-config

req : traite des demandes de certificats PKCS#10
-new : génère une nouvelle demande de certificat
-x509 : génère un certificat auto-signé à la place d’une demande de certificat. Elle est utilisée typiquement pour générer des certificats de test ou le certificat auto-signé racine d’une CA.
-extensions v3_ca : génère un certificat SSL v3, en se référant à la section v3_ca du fichier de configuration d’OpenSSL
-days 3650 : durée de validité du certificat.
-newkey rsa:4096 : génération d’une clé privée RSA de 4096 bits.
-nodes : désactive le mot de passe phrase de la clé pour que Apache ne demande pas à chaque fois
-subj : permet de nommer notre requête
-keyout private/ca_mondomaine_private.key: le nom du fichier que vous lui donnez où la clé privée créée sera écrite.
-out cert/ca_mondomaine_public.crt: spécifie le nom du fichier (le certificat) de sortie que vous lui donnez où la clé publique créée sera écrite. .
-config ca-config : permet d’utiliser un fichier de configuration alternatif, à la place d’openssl.cnf.
CN : le nom de votre domaine
O : le titre de votre domaine
ST : Votre région
L : Votre ville

Vous pouvez donner un nom que vous désirer. Moi j’ai mis le domaine et si c’est privé ou public.

-keyout private/ca_mondomaine_private.key: le nom du fichier que vous lui donnez où la clé privée créée sera écrite.
-out cert/ca_mondomaine_public.crt: spécifie le nom du fichier (le certificat) de sortie que vous lui donnez où la clé publique créée sera écrite. .

Si vous mettez CN, O C et L il faut ajouter -subj

root@osn:/#openssl req -new -nodes -subj '/CN=www.mondomaine.com/O=mon nouveau domaine/C=FR/ST=Franche Comte/L=Les Fins'-x509 -extensions v3_ca -days 3650 -newkey rsa:4096 -keyout private/ca_mondomaine_private.key -out certs/ca_mondomaine_public.crt -config ca-config

Si vous ne voulez pas chiffrer la clé privée, ajoutez l’option -nodes.

Voici comment faire :

root@osn:/#openssl req -new -nodes -x509 -extensions v3_ca -days 3650 -newkey rsa:4096 -keyout private/ca_mondomaine_private.key -out certs/ca_mondomaine_public.crt -config ca-config

Revenons à nos mouton, faire la commande suivante si vous ne changez rien

root@osn:/#openssl req -new -x509 -extensions v3_ca -days 3650 -newkey rsa:4096 -keyout private/ca_mondomaine_private.key -out certs/ca_mondomaine_public.crt -config ca-config

Il va vous demander un mot de passe pour la phrase.

Noté bien le mot de passe de la phrase

Generating a 4096 bit RSA private key ......................................++ .....................................................................++ writing new private key to 'private/ca_mondomaine_private.key' Enter PEM pass phrase:lepetitdomaine
Verifying - Enter PEM pass phrase:lepetitdomaine

----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [FR]:
Country Name (2 letter code) [FR]:
State or Province Name (full name) [Franche Comte]:
Locality Name (eg, city) [Les Fins]:
Organization Name (eg, company) [mondomaine.com]:
Organizational Unit Name (eg, section) []:

Comme c’est indiqué par défaut vous taper enter

Common Name (e.g. server FQDN or YOUR name) []:ca.mondomaine.com Email Address []:admin@mondomaine.com

Normalement vous avez créée deux fichiers ca_mondomaine_private.key et ca_mondomaine.cert qui se trouve dans /home/acu/certificate_authority.

Voici les deux photos

ca_mondomaine_private.key c’est la clé privée

ca_mondomaine.cert c’est la clé public

Création d’une demande certificat signé (CSR)

Un CSR est un message qui, une fois soumis au CA, permet de générer un certificat. Nous allons aborder la génération du CSR à travers deux exemples : l’un destiné à un certificat pour serveur, l’autre pour un utilisateur.

Ici le certificat sera utilisé par un service comme Apache ou autres, il ne doit pas être protégé par unmot de passe “pass phrase“.

root@osn:/#openssl req -new -nodes -newkey rsa:2048 -keyout private/secuserver.key -out secuserver.csr -config ca-config.cnf

-nodes : pas de mot de passe pass phrase

Generating a 2048 bit RSA private key ........+++ ..+++ writing new private key to 'private/secuserver.key' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [FR]:

Faites entrer comme c’est mis par défaut dans le fichier ca-config.cnf

State or Province Name (full name) [Franche Comte]:

Faites entrer comme c’est mis par défaut dans le fichier ca-config.cnf

Locality Name (eg, city) [Les Fins]:

Faites entrer comme c’est mis par défaut dans le fichier ca-config.cnf

Organization Name (eg, company) [mondomaine.com]:

Ne rien mettre

Organizational Unit Name (eg, section) []:

Faites entrer comme c’est mis par défaut dans le fichier ca-config.cnf

Common Name (e.g. server FQDN or YOUR name) []:mondomaine.com

Ajouter votre adresse mail

Email Address []:admin@mondomaine.com

Cette partie est une option qui n’est pas obligatoire.

Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:

Maintenant nous allons faire la même chose mais nous allons protéger par un mot de passe pass phrase car ça va être utiliser par des personnes et non par des robots.

root@osn:/#openssl req -new -newkey rsa:2048 -keyout private/secu_mondomaine.key -out secu_mondomaine.csr -config ca-config.cnf

Mettez un mot de passe pass phrase

Generating a 2048 bit RSA private key .............................................................................................+++ ........+++ writing new private key to 'private/secu_mondomaine.key' Enter PEM pass phrase: Verifying - Enter PEM pass phrase:

Répondez aux questions demandées, c’est la même chose que plus haut.

----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [FR]: State or Province Name (full name) [Franche Comte]: Locality Name (eg, city) [Les Fins]: Organization Name (eg, company) [mondomaine.com]: Organizational Unit Name (eg, section) []: Common Name (e.g. server FQDN or YOUR name) []:secu-mondomaine Email Address []:admin@mondomaine.com

Cette partie est une option qui n’est pas obligatoire.

Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:

Création d’un certificat signé

Utilisons nos CSR pour générer nos certificats.

root@osn:/#openssl ca -config ca-config.cnf -policy policy_anything -out certs/webserver.crt -infiles webserver.csr

ca : application CA minimale qui peut être utilisée pour signer des demandes de certificats.
-config ca-config : possibilité d’utilisé dans un autre fichier de celui d’origine d’openssl.cnf
-policy policy_anything : cette option définit la « politique » de la CA à utiliser. Il s’agit d’une section du fichier de configuration spécifiant les champs qui sont obligatoires ou qui doivent correspondre au certificat de la CA.
-out certs/webserver.crt : spécifie le nom du fichier (le certificat) de sortie.
-infiles webserver.csr : le ou les fichiers CSR à utiliser.

1 Commentaire

Alain sur 8 septembre 2016 à 17 h 26 min

Bonjour,

La page fonctionne bien : http://www.osnetworking.com/debian-installer-certificat-autorite-facilement/

Merci

Certificat autorité : installer facilement sur Debian

Pourquoi installer un certificat d’autorité ?

Pré-requis :

Installer OpenSsl

Création du répertoire où ce trouveras les certificats

Configuration du fichier /etc/ssl/ca-config.cnf

Création du certificat d’autorité

Création d’une demande certificat signé (CSR)

Création d’un certificat signé

1 Commentaire

J’aime ça :

1 Commentaire

Équipe Tutoriels Publications

Certificat autorité : installer facilement sur Debian

Pourquoi installer un certificat d’autorité ?

Pré-requis :

Installer OpenSsl

Création du répertoire où ce trouveras les certificats

Configuration du fichier /etc/ssl/ca-config.cnf

Création du certificat d’autorité

Création d’une demande certificat signé (CSR)

Création d’un certificat signé

1 Commentaire

Partager :

J’aime ça :