Данный документ представляет собой компиляцию с некоторыми комментариями
следующих документов:
Существует несколько версий SSL протокола:
| Версия | Источник | Описание | Поддержка броузерами |
|---|---|---|---|
| SSL 2.0 | Netscape | Оригинальный протокол | Netscape 3.0,Internet Explorer 3.0 |
| SSL 3.0 | Expired Internet Draft | Revisions to prevent specific security attacks, add ciphers,and support certificate chains | Netscape 3.0, Internet Explorer 3.0 |
| TLS 2.0 | IETF Draft | Revision of SSL 3.0 | Нет |
Один из основных использование SSL - защита Web HTTP коммуникаций между клиентом и Web сервером. Этот вариант не пересекается с ипользованием небезопасного HTTP. Защищенный вариант использует URLы, которые начинаются с https а не с http, и использует другой порт (по умолчанию 443).
OpenSSL - свободная некоммерческая реализация SSL 2.0 и 3.0. Она включает реализацию открытых ключей ( public key ), которая может быть использована за пределами US. OpenSSL предлагает достаточно несложный путь для освоения SSL и является темой данного документа.
req" с ключом "-x509". Ключ "-new" задает требование генерации новой пары (приватный,публичный) ключей. В случае, если данные ключи уже есть, приватный ключ можно указать используя опцию "-key filename", опустив соответственно "-new" и "-keyout".
Сертификат записывается в cacert.pem и приватный ключ (в случае его генерации)
cakey.pem, которые располагаются (согласно указанным в opensslay.cnf переменным
certificate и private_key соответсвенно). commonName для самоподписанного сертификата не
должно соответсвовать имени домена для сервера ( поскольку Nescape использует имя домена для
сертификации серверов). "req" потребует введение пароля для приватного ключа
( private_key ) или же вы можете указать файл с паролем используя "-passin". for Ex:(смотрите пути в openssl.cnf).
/usr/local/bin/openssl req -new -x509 -keyout ${SSLDIR}/private/cakey.pem \
-out ${SSLDIR}/cacert.pem -config /usr/local/openssl/openssl.cnf
Using configuration from /usr/local/openssl/openssl.cnf
Generating a 512 bit private key
writing new private key to '../private/cakey.pem'
Enter PEM pass phrase:
Verifying password - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorperated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [US]: RU
State or Province Name (full name) [MA]: Some State
Locality Name (eg, city) [Cambridge]: some Locality
Organization Name (eg, company) [The Open Group]: None Group
Organizational Unit Name (eg, section) [Research Institute]: CT
Common Name (eg, YOUR name) [example.opengroup.org]: NONE CA
|
$SSLDIR/private и $SSLDIR, как указано
в ssleay.conf в CA default section. Они будут
использоваться для проверки сертификатов клиента подписанных созданным CA.
openssl req -new -keyout newkey.pem -out newreq.pem -days 360 Using configuration from /usr/local/etc/openssl.cnf Generating a 1024 bit RSA private key .......................+++++ .+++++ writing new private key to 'newkey.pem' Enter PEM pass phrase: Verifying password - Enter PEM pass phrase: ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [RU]: State or Province Name (full name) [Some State]: Locality Name (eg, city) [Some Locality]: Organization Name (eg, company) [Simple Org.]: Organizational Unit Name (eg, section) [Computing Dep.]: Common Name (eg, YOUR name) []:hostname.aaaa.ru Email Address []:some@some.aaaa.ru Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: |
openssl ca -policy policy_anything -out newcert.pem -config /usr/local/etc/openssl.cnf -infiles newreq.pem Using configuration from /usr/local/etc/ssleay.cnf Enter PEM pass phrase: Check that the request matches the signature Signature ok The Subjects Distinguished Name is as follows countryName :PRINTABLE:'RU' stateOrProvinceName :PRINTABLE:'Some State' localityName :PRINTABLE:'Some Locality' organizationName :PRINTABLE:'Simple Org.' organizationalUnitName:PRINTABLE:'Computing Dep.' commonName :PRINTABLE:'aaaaa.abbn.cc' emailAddress :IA5STRING:'xz@abbn.cc' Certificate is to be certified until Mar 16 22:46:52 2000 GMT (365 days) Sign the certificate? [y/n]:y |
ln -s servercert.pem `x509 -noout -hash < servercert.pem`.0 |
crl2pkcs7 -inform PEM -outform DER -certfile $CA_cert.pem -out $CA_cert.der -nocrl |
<HTML><HEAD><TITLE>Load CA Certificate</TITLE></HEAD><BODY>
<H1>Load Certificate Authority Certificate</H1>
<FORM ACTION="http://example.some.somwere/cgi-bin/loadCAcert.pl" METHOD=post>
<TABLE>
<TR>
<TD>Netscape Browser (PEM Format):</TD>
<TD><INPUT TYPE="RADIO" NAME="FORMAT" VALUE="PEM" CHECKED></TD></TR>
<TR><TD>Microsoft Browser (DER Format):</TD>
<TD><INPUT TYPE="RADIO" NAME="FORMAT" VALUE="DER"></TD></TR>
</TABLE>
<INPUT TYPE="SUBMIT" VALUE="Load Certificate">
</FORM>
</BODY></HTML>
|
#!/usr/local/bin/perl -T
require 5.003;
use strict;
use CGI;
my $cert_dir = "/usr/local/CA/";
my $cert_file = "cacert.pem";
my $query = new CGI;
my $kind = $query->param('FORMAT');
if($kind eq 'DER') { $cert_file = "cacert.der"; }
my $cert_path = "$cert_dir/$cert_file";
open(CERT, "<$cert_path");
my $data = join '',<CERT>;
close(CERT);
print "Content-Type: application/x-x509-ca-cert\n";
print "Content-Length: ", length($data), "\n\n$data";
|
AddType application/x-x509-ca-cert .pemв
srm.conf если суффикс .pem.
Укажем серверу его ключ:
SSLCertificateKeyFile /usr/local/CA/private/serverkey.pemИ его сертификат:
SSLCertificateFile /usr/local/CA/certs/servercert.pemДалее укажем сертификат для CA и рсположения сертификатов которые могут быть использованы для аутентификации.
SSLCACertificatePath /usr/local/CA/certs/ SSLCACertificateFile /usr/local/CA/cacert.pem
SSLPassPhraseDialog. Она может принимать значения
builtin и exec:/path/to/program. В первом варианте
при старте сервер запрашивает пароль для расшифровки своего ключа, во втором
использует внешнюю программу, для получения пароля, пароль выдается ей на
stdout.
Различные клиенты, такие как Nescape Navigator/Communicator и Microsoft Internet Explorer используют различный механизм для создания клиентских сертификатов.
Процедура создания сертификата представляет собой HTML формы, которые
включают в себя вызов CGI скрипта, который вызывает процедуры SSLeay/OpenSSL
для получения сертификата.
Последовательность действий такова:
HTML форма содержит поля ( с умолчательными значениями ) для различных "distinguished name" атрибутов, которые используются в сертификате клиента, иформация, позволяющая browser сгенерить пару ключей, скрытые поля, которые зависят то типа browser, посзволяющие передать эту информацию для CGI скрипта.
<HTML><HEAD><TITLE>Create Client Certificate</TITLE></HEAD><BODY> <CENTER><H1>Create Client Certificate</H1></CENTER> <FORM NAME="GenerateForm" ACTION="http://example.osf.org/cgi-bin/ns_key.pl"> <TABLE> <TR><TD>Common Name:</TD><TD> <INPUT TYPE="TEXT" NAME="commonName" VALUE="Client Certificate" SIZE=64> </TD></TR> <TR><TD>email:</TD><TD> <INPUT TYPE="TEXT" NAME="emailAddress" VALUE="f.hirsch@opengroup.org" SIZE=40> </TD></TR> <TR><TD>Organization:</TD><TD> <INPUT TYPE="TEXT" NAME="organizationName" VALUE="The Open Group"> </TD></TR> <TR><TD>Organizational Unit:</TD><TD> <INPUT TYPE="TEXT" NAME="organizationalUnitName" VALUE="Research Institute"> </TD></TR> <TR><TD>Locality (City):</TD><TD> <INPUT TYPE="TEXT" NAME="localityName" VALUE="Cambridge"> </TD></TR> <TR><TD>State:</TD><TD> <INPUT TYPE="TEXT" NAME="stateOrProvinceName" VALUE="MA"> </TD></TR> <TR><TD>Country:</TD><TD> <INPUT TYPE="TEXT" NAME="countryName" VALUE="US" SIZE="2"> </TD></TR> </TABLE> <!-- ' keygen is Netscape specific and will be ignored in ' internet explorer --> <KEYGEN NAME="SPKAC" CHALLENGE="challengePassword"> <INPUT TYPE="SUBMIT" NAME="SUBMIT"> </FORM> <P><HR></BODY></HTML> |
#!/usr/local/bin/perl
require 5.003;
use strict;
use CGI;
use File::CounterFile; # module to maintain certificate request counter
my $doc_dir = $ENV{'DOCUMENT_ROOT'}; # apache specific location for storage
unless($doc_dir) {
print "<HTML><HEAD><TITLE>Failure</TITLE></HEAD>";
print "<BODY>DOCUMENT_ROOT not defined</BODY></HTML>";
exit(0);
}
my $base_dir = $doc_dir;
$base_dir =~ s/\/htdocs//;
my $SSLDIR = '/usr/local/ssl'; # define where SSLeay files are located
my $CA = "$SSLDIR/bin/ca";
my $CONFIG = "/usr/local/etc/ssleay.cnf";
my $CAPASS = "caKEY";
my $query = new CGI; # get a handle on the form data
my $key = $query->param('SPKAC'); # this will fail if not Netscape browser
unless($key) { fail("No Key provided $key. Netscape required"); }
my $counter = new File::CounterFile("$base_dir/.counter", 1);
unless($counter) { fail("Could not create counter: $!"); }
my $count = $counter->inc();
my $certs_dir = "$base_dir/certs";
my $req_file = "$certs_dir/cert$count.req"; # certificate request filename
my $result_file = "$certs_dir/cert$count.result"; # certificate filename
# Explicitly list form fields we must have for certificate creation to work.
my @req_names = ('commonName', 'emailAddress', 'organizationName',
'organizationalUnitName', 'localityName', 'stateOrProvinceName',
'countryName', 'SPKAC');
# build the request file
open(REQ, ">$req_file") or fail("Could not create request $req_file: $!");
my $name;
foreach $name (@req_names) {
my $value = $query->param("$name");
$value =~ tr/\n//d;
print REQ "$name = $value\n";
}
close(REQ);
# make sure we actually created a request file
unless(-f $req_file) { fail("request missing: $req_file"); }
unless(-e $CA) { fail("command missing"); } # ensure that ca command will run
# command for processing certificate request, without password
my $cmd = "$CA -config $CONFIG -spkac $req_file -out $result_file -days 360";
my $rc = system("$cmd -key $CAPASS 2>errs");
if($rc != 0) { fail("$cmd<P>rc = $rc", "errs"); }
open(CERT, "<$result_file") or fail("Could not open $result_file<P>$!");
# send the client certificate to the browser
print "Content-Type: application/x-x509-user-cert\n";
my $result = join '', <CERT>;
close CERT;
my $len = length($result);
print "Content-Length: $len\n\n";
print $result;
exit(0);
sub fail {
my($msg, $errs) = @_;
print $query->header;
print $query->start_html(-title => "Certificate Request Failure");
print "<H2>Certificate request failed</H2>$msg<P>";
if($errs) {
if(open(ERR, "<errs")) {
while(<ERR>) {
print "$_<BR>";
}
close ERR;
}
}
print $query->dump();
print $query->end_html();
exit(0);
}
|
CGI скрипт создает файл, содержащий значения для "distinguished name", переданных формой и специальный SPKAC значение для "Signed Public Key And Challenge (SPKAC)" созданное Navigator/Communicator.
SSLeay/OpenSSL caкоманда вызывается, используя данный файл в качестве аргумента.(Смотри ns-ca.doc в документации к SSLeay/OpenSSL)
$SSLDIR/bin/ca -spkac $req_file -out $result_file -days 360 -key $CAPASS \
2>errs
|
| req | основное применение - генерирование и обработка запросов на получение сертификата (certifcate requests) в формате PKCS#10, а так же получение самоподписанных сертификатов для корневого CA.
|
||||