[redhat 8] eigen Certification Authority

[DPLuS]

Ik wil een eigen CA-certificaat op mijn pc installeren zodat ik certificaten zelf kan ondertekenen en gebruiken zonder dat windows zeurt over het feit dat het certificaat niet van Verisign is ofzo.

Als ik het goed begrijp moet ik op mijn redhat 8 machine het volgende doen:

#cd /usr/share/ssl
#misc/CA.pl -newca
#misc/CA.pl -newreq
#misc/CA.pl -sign

Als het goed is hou je nu een bestandje over in de map demoCA met de naam cacert.pem.

Nu heb ik gelezen dat dit het public CA-certificaat is voor je server.
En dit certificaat moet dus client-side geinstalleerd worden om van die verschrikkelijke warning-vensters af te komen.

Blijkbaar moet je dit ook nog ff doen om ervoor te zorgen dat Internet Explorer het bestandje ook hapt:
#openssl x509 -in newcert.pem -outform DER -out cacert.der

Nou ja, tot hier gaat het allemaal prima, ik verhuis dat der-bestandje nog even naar mijn webserver en open het bestand via http in mijn IE6.

Prima, hij opent het DER-bestandje en vertelt dat dit een niet te vertrouwen CA-instantie is.
Ik zeg dan installeer certificaat als vertrouwde basiscertificaatinstantie, maar nu komt het: als ik mail verstuur via SMTP met SSL krijg ik nog altijd dat bericht van het certificaat kan niet vertrouwd worden....

Wat moet ik nu nog instellen of heb ik iets niet goed gedaan?

Maar dan

Moet ik bijvoorbeeld ook in Sendmail.mc ---

[Verwijderd]

Afaik kan datgeen wat jij wilt niet.

Je moet aan 3 eisen voldoen: 1) datum moet correct zijn (ie. niet expired) 2) de naam van de FQDN moet correct zijn 3) hij moet gesigned zijn. Dan kan men beslissen om jouw bedrijf te vertrouwen en krijgt men die melding niet meer.

Ik herinner me dat een kennis van me zo'n certificaat goedkoop wilde kopen op HCC 2001.

Zo'n bedrijf als VeriSign/Thawte/en_andere is er juist voor bedoelt om de integriteit te waarborgen. Onnodig imo, aangezien PGP/GPG ook gewoon werkt zonder dat commercie een rol speelt. Heel spijtig eik want zonder signed door bedrijf sta je voor schut (en het is irritant), of ze moeten flink wat geld dokken (niet elke org/individu heeft 't zo ruim).

[DPLuS]

Moet wel kunnen, lees dit maar eens:
http://www.nyetwork.org/wiki/ssl_root_ca_new
http://www.oucs.ox.ac.uk/...index.xml?style=printable
http://www.post1.com/home/ngps/m2/howto.ca.html
http://www.grennan.com/CA-HOWTO-1.html

[Verwijderd]

Een certificaat bestaat uit 2 delen een public en een private deel. Ook het root-certificaat van de CA bestaat hieruit. In explorer worden public CA delen bijgehouden van instanties als Thawte, Verisign enz. In deze lijst komt jouw 'CA' niet voor; je zult dus het public deel van de root certificaat moeten importeren om IE (en outlook) te laten weten dat het een te vertrouwen CA is. Als je dat eenmaal gedaan hebt en datum en FQDN zijn goed zul je geen last meer hebben van die melding.

[ Voor 4% gewijzigd door Verwijderd op 01-02-2003 14:20 ]

[DPLuS]

Welk bestand bevat dan dit "public" gedeelte?
Zover als ik gelezen had, hoefde ik alleen die cacert.pem te "importeren" in IE.

[Verwijderd]

Het is alweer een tijdje geleden dat ik me hierover gebogen heb.

#misc/CA.pl -newca

maakt een CA certificaat aan bestaande uit 2 'tekst'-bestanden.

Het public deel ziet er uit zoiets als:
-----BEGIN CERTIFICATE------
blabla
-----END CERTIFICATE-----

Het private deel ziet er uit als:
-----BEGIN PRIVATE KEY-----
blablabla
-----END PRIVATE KEY-----

Vevolgens maak je een certificate request aan met newreq. Ook hier krijg je 2 bestanden en alleen het public deel wordt gesigned door de CA, waardoor je uiteindelijk met 'sign' een self-signed certificaat krijgt. Deze kun je gebruiken voor SSL doeleinden (http/smtp/pop maakt niet uit)

Nu is het de bedoeling dat je het public deel van je CA-certificaat import in de CA-database van windows. IE/tools/options/content/certificates

[Verwijderd]

Ja maar wanneer anderen op _bijv_ je httpd-ssl komen zegt de browser dat het certificaat niet klopt:

Dus moet iedereen dat certificaat importeren die gebruik maakt van jouw ssl connectie als server zijnde... voor zover ik het heb begrepen..

[Verwijderd]

Verwijderd schreef op 01 February 2003 @ 15:52:
Ja maar wanneer anderen op _bijv_ je httpd-ssl komen zegt de browser dat het certificaat niet klopt: [afbeelding]

Dus moet iedereen dat certificaat importeren die gebruik maakt van jouw ssl connectie als server zijnde... voor zover ik het heb begrepen..

Yep, dat klopt. Anders zul je toch even 100 euro uit je zak moeten kloppen om bij verisign een SSL1 certificaat te halen.