Russian SSL

Поддержка работы сайтов с российскими сертификатами
Telegram: Об ЭП и УЦ
Центр сертификации ТЦИ

Verifying that a Private Key Matches a Certificate

Сверка модуля ключа сертификата с модулем приватного ключа:

# openssl x509 -noout -modulus -in fullchain.pem | openssl md5
# openssl rsa -noout -modulus -in privkey.pem | openssl md5

Они должны совпадать.

Change CA private password

openssl rsa -aes256 -in ca.key -out ca.key.new
mv ca.key.new ca.key && chmod 400 ca.key

CVE-2014-0160

Проверка на уязвимость обнаруженного бага в OpenSSL v1.0.1 Neel Mehta из Google Security (CVE-2014-0160):
Filippo: Heartbleed test
Possible: Heartbleed test

Решение CVE-2014-0160 для Ubuntu:
apt-get update && apt-get install openssl libssl1.0.0 -y

Ссылки:
CVE-2014-0160 Рабочий сплоит Последствия OpenSSL HeartBleed Рабочий эксплойт для сегодняшней уязвимости CVE-2014-0160

OpenSSL CA

Настраиваем CA

Скачиваем Makefile и openssl.cnf, кладём их в один каталог :)

Генерируем сертификат Certificate Authority (CA)

$ make init

Создание сертификата

1. Генерируем приватный RSA-ключ

$ openssl genrsa -des3 -out host.key 1024

2. Генерируем CSR (Certificate Signing Request) и снимаем пароль

$ openssl req -new -key host.key -out host.csr
$ cp host.key host.key.orig
$ openssl rsa -in host.key.orig -out host.key
$ rm host.key.orig
$ chmod 400 host.key

Common Name должен быть в fdqn-формате :)

3. Отправляем host.csr какому-то конкретному CA на подпись или подписываем своим CA

$ make

Если речь идёт о self-signed SSL-сертификате, то достаточно:

openssl x509 -req -days 365 -in host.csr -signkey host.key -out host.crt

Отзыв сертификата

$ make revoke cert=host.cert

Проверка сертификата

$ openssl s_client -connect mail.example.org:110 -starttls pop3 -showcerts
$ echo | openssl s_client -connect domain.tld:443 -servername domain.tld 2>/dev/null | openssl x509 -noout -dates

Дополнительно

Apache:

AddType application/x-x509-ca-cert .crt .cert

Fingerprint:

$ openssl x509 -noout -fingerprint -text < host.cert > host.info

Self-signed сертификат

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout host.key -out host.crt

Импорт PEM-файлов в JKS

Обновлено 2011/02/09.

Допустим, у меня уже есть подписанный SSL-сертификат. Задача: импортировать его в JKS (java key storage), чтобы потом скормить его BGBilling-у.

Cертификаты в формате x509:
SSL123_CA_Bundle.pem - промежуточный сертификат CA
stat_domain_ru_2012_02_08.crt - подписанный сертификат
stat.domain.ru.key - ключ сертификата


Затем, файл keystore.ImportKey передвигаем в /usr/local/BGBilling/.keystore, добавляем в файл data.properties:

port.https=8443

Рестартим сервер (service bgbilling restart). Проверяем:


ЗЫ. Мы использовали ImportKey.java, потому что keytool не позволяет импортировать приватный ключ в keystore.

Источники:
http://www.agentbob.info/agentbob/79-AB.html
http://www.bgbilling.ru/v5.0/doc/ch01s14.html
http://forum.bgbilling.ru/viewtopic.php?p=11851#p11851
Thawte (Installing the x.509 version of your SSL certificate in Tomcat)

OpenSSL CA

1. Создаём Certificate Authority:

Хороший мануал с Makefile-ом по созданию OpenSSL Certificate Authority Setup, с давних времен его пользую: http://sial.org/howto/openssl/ca/.
2. Заметочка про конвертирование сертификата в pcks12 для дальнейшего импорта в "Доверенные корневые центры сертификации" Windows:


3. Создание wildcard-сертификата.


В общем-то это обычное создание сертификата, wild — вместо определенного хоста надо добавить asterisk, т.е.: *.domain.tld