N.a.v. mijn vorige topics:
[rml][ outlook express 6 & SSL] Secure POP3 irri-notice[/rml]
[rml][ redhat 8] eigen Certification Authority[/rml]
nu mijn volgende vraag:
Ik heb nu dus mijn eigen CA-certificaat, geconverteerd naar een DER-bestand en dit bestand geimporteerd naar mijn eigen pc.
So far, so good.
Maar nu is het probleem dat ondanks dat ik mijn eigen root-ca-certificaat op mijn pc geinstalleerd heb, Outlook Express (bij smtp + pop3 over ssl) en Internet Explorer (bij https) toch blijven zeuren dat de certificaten niet vertrouwd kunnen worden.
Zover ik het begrijp na het lezen van verschillende howto's, moet ik nu ook nieuwe certificaten maken voor apache en sendmail, aangezien ze nu nog gebruik maken van de standaard geinstalleerde certificaten.
De certificaten die Apache gebruikt zijn:
Kortweg: apache gebruikt server.crt en server.key.
stukje van ssl.conf:
-----------------------------------------------------------------
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
#SSLCACertificateFile /etc/httpd/conf/ssl.crt/ca-bundle.crt
--------------------------------------------------------------------
Moet het certificaat dat ik zelf gegenereerd heb als CA nu niet in de plaats komen van die server.key?
Zo ja, welk bestand moet ik dan precies gebruiken en naar welk output formaat moet ik het dan converteren?
En die server.crt, welk bestand moet ik daarvoor gebruiken?
En in redhat staat ook standaard dit bestand:
/usr/share/ssl/cert.pem , dit is een symlink naar ./certs/ca-bundle.crt,
ik heb gezien dat dit bestand alle public certs van Certificate Authorities bevat, maar 2 dingen: A) wat moet ik met dit bestand doen? 2) Waar dient het precies voor?
Kan ik deze optie gewoon uncommenten in ssl.conf?: #SSLCACertificateFile /etc/httpd/conf/ssl.crt/ca-bundle.crt
Of moet ik in dit bestand misschien mijn eigen CA ook toevoegen?
OK, tot zover de apache vraagjes, nu sendmail:
Ik gebruik dus smtp en pop3 over ssl.
En ook al heb ik mijn eigen root-ca cert geimporteerd, outlook blijft zeuren over de onbetrouwbaarheid van mijn certificaat, dus ik vermoed dat ik nog wat certificaten moet wijzigen van sendmail.
O.a.: in een howto werd uitgelegd dat er een bestand "sendmail.pem" moet staan in /usr/share/ssl/certs.
Want in sendmail.mc moesten deze regels ook toegevoegd worden:
define(`confCACERT_PATH',`/usr/share/ssl/certs')
define(`confCACERT',`/usr/share/ssl/certs/ca-bundle.crt')
define(`confSERVER_CERT',`/usr/share/ssl/certs/sendmail.pem')
define(`confSERVER_KEY',`/usr/share/ssl/certs/sendmail.pem')
Sendmail.pem kon je aanmaken met #make sendmail.pem
Maar nu vermoed ik dat dit bestand niet helemaal gerelateerd is aan mijn eigen CA-certificaat.
Moet ik dit bestand sendmail.pem misschien nog signen met mijn eigen server key ofzo?
En waarom staat deze regel er eigenlijk in:
define(`confCACERT',`/usr/share/ssl/certs/ca-bundle.crt')
Wat moet sendmail met dit bestand? En waarom moet deze optie hier wel gedefinieerd worden en in ssl.conf (van apache) niet?
Nog iets over het pop3 certificaat:
Ik meende eerst dat stunnel gebruikt werd om deze ssl verbinding af te werken.
Maar volgens mij zit ik fout, kijk maar eens naar pop3s in /etc/xinetd.d:
Zoals je ziet wordt /usr/sbin/ipop3d gewoon gestart als er een verbinding binnenkomt op poort 995 (pop3s).
En zover ik het kon overzien gebruikt pop3 dit certificaat:
/usr/share/ssl/certs/ipop3d.pem
Moet dit certificaat nu ook vervangen worden door mijn eigen gegenereerde server certificate?
Al met al komt het erop neer dat ik bepaalde services op mijn eigen pc wil gebruiken zonder iedere keer die warnings en notices te krijgen over de betrouwbaarheid van de certificaten.
Ik heb al een hoop documentatie gevonden, maar nergens staat het ECHT DUIDELIJK uitgelegd, vooral over wat te doen met de certificaten van apache, sendmail enz, nadat je je eigen CA hebt aangemaakt.
Vandaar dat dit ook een beetje een rommelige post is (excuseer:))
[rml][ outlook express 6 & SSL] Secure POP3 irri-notice[/rml]
[rml][ redhat 8] eigen Certification Authority[/rml]
nu mijn volgende vraag:
Ik heb nu dus mijn eigen CA-certificaat, geconverteerd naar een DER-bestand en dit bestand geimporteerd naar mijn eigen pc.
So far, so good.
Maar nu is het probleem dat ondanks dat ik mijn eigen root-ca-certificaat op mijn pc geinstalleerd heb, Outlook Express (bij smtp + pop3 over ssl) en Internet Explorer (bij https) toch blijven zeuren dat de certificaten niet vertrouwd kunnen worden.
Zover ik het begrijp na het lezen van verschillende howto's, moet ik nu ook nieuwe certificaten maken voor apache en sendmail, aangezien ze nu nog gebruik maken van de standaard geinstalleerde certificaten.
De certificaten die Apache gebruikt zijn:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
| [root@anaconda conf]# pwd /etc/httpd/conf [root@anaconda conf]# tree . |-- Makefile -> ../../../usr/share/ssl/certs/Makefile |-- httpd.conf |-- magic |-- ssl.crl | `-- Makefile.crl |-- ssl.crt | |-- Makefile.crt | `-- server.crt |-- ssl.csr |-- ssl.key | `-- server.key `-- ssl.prm 5 directories, 7 files |
Kortweg: apache gebruikt server.crt en server.key.
stukje van ssl.conf:
-----------------------------------------------------------------
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
#SSLCACertificateFile /etc/httpd/conf/ssl.crt/ca-bundle.crt
--------------------------------------------------------------------
Moet het certificaat dat ik zelf gegenereerd heb als CA nu niet in de plaats komen van die server.key?
Zo ja, welk bestand moet ik dan precies gebruiken en naar welk output formaat moet ik het dan converteren?
En die server.crt, welk bestand moet ik daarvoor gebruiken?
En in redhat staat ook standaard dit bestand:
/usr/share/ssl/cert.pem , dit is een symlink naar ./certs/ca-bundle.crt,
ik heb gezien dat dit bestand alle public certs van Certificate Authorities bevat, maar 2 dingen: A) wat moet ik met dit bestand doen? 2) Waar dient het precies voor?
Kan ik deze optie gewoon uncommenten in ssl.conf?: #SSLCACertificateFile /etc/httpd/conf/ssl.crt/ca-bundle.crt
Of moet ik in dit bestand misschien mijn eigen CA ook toevoegen?
OK, tot zover de apache vraagjes, nu sendmail:
Ik gebruik dus smtp en pop3 over ssl.
En ook al heb ik mijn eigen root-ca cert geimporteerd, outlook blijft zeuren over de onbetrouwbaarheid van mijn certificaat, dus ik vermoed dat ik nog wat certificaten moet wijzigen van sendmail.
O.a.: in een howto werd uitgelegd dat er een bestand "sendmail.pem" moet staan in /usr/share/ssl/certs.
Want in sendmail.mc moesten deze regels ook toegevoegd worden:
define(`confCACERT_PATH',`/usr/share/ssl/certs')
define(`confCACERT',`/usr/share/ssl/certs/ca-bundle.crt')
define(`confSERVER_CERT',`/usr/share/ssl/certs/sendmail.pem')
define(`confSERVER_KEY',`/usr/share/ssl/certs/sendmail.pem')
Sendmail.pem kon je aanmaken met #make sendmail.pem
Maar nu vermoed ik dat dit bestand niet helemaal gerelateerd is aan mijn eigen CA-certificaat.
Moet ik dit bestand sendmail.pem misschien nog signen met mijn eigen server key ofzo?
En waarom staat deze regel er eigenlijk in:
define(`confCACERT',`/usr/share/ssl/certs/ca-bundle.crt')
Wat moet sendmail met dit bestand? En waarom moet deze optie hier wel gedefinieerd worden en in ssl.conf (van apache) niet?
Nog iets over het pop3 certificaat:
Ik meende eerst dat stunnel gebruikt werd om deze ssl verbinding af te werken.
Maar volgens mij zit ik fout, kijk maar eens naar pop3s in /etc/xinetd.d:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| [root@anaconda xinetd.d]# cat pop3s
# default: off
# description: The POP3S service allows remote users to access their mail \
# using an POP3 client with SSL support such as fetchmail.
service pop3s
{
disable = no
socket_type = stream
wait = no
user = root
server = /usr/sbin/ipop3d
log_on_success += HOST DURATION
log_on_failure += HOST
} |
Zoals je ziet wordt /usr/sbin/ipop3d gewoon gestart als er een verbinding binnenkomt op poort 995 (pop3s).
En zover ik het kon overzien gebruikt pop3 dit certificaat:
/usr/share/ssl/certs/ipop3d.pem
Moet dit certificaat nu ook vervangen worden door mijn eigen gegenereerde server certificate?
Al met al komt het erop neer dat ik bepaalde services op mijn eigen pc wil gebruiken zonder iedere keer die warnings en notices te krijgen over de betrouwbaarheid van de certificaten.
Ik heb al een hoop documentatie gevonden, maar nergens staat het ECHT DUIDELIJK uitgelegd, vooral over wat te doen met de certificaten van apache, sendmail enz, nadat je je eigen CA hebt aangemaakt.
Vandaar dat dit ook een beetje een rommelige post is (excuseer:))
