Всякие заметочки: ssl

Показаны сообщения с ярлыком ssl. Показать все сообщения

2022/09/20

Russian SSL

Поддержка работы сайтов с российскими сертификатами
Telegram: Об ЭП и УЦ
Центр сертификации ТЦИ

2021/02/15

Qualys SSL Labs

Interesting service to test your site's SSL certificate and configuration on Qualys SSL Labs. Check it out:

https://www.ssllabs.com/ssltest/

2012/09/12

OpenSSL CA

Настраиваем CA

Скачиваем Makefile и openssl.cnf, кладём их в один каталог :)

Генерируем сертификат Certificate Authority (CA)

$ make init

Создание сертификата

1. Генерируем приватный RSA-ключ

$ openssl genrsa -des3 -out host.key 1024

2. Генерируем CSR (Certificate Signing Request) и снимаем пароль

$ openssl req -new -key host.key -out host.csr
$ cp host.key host.key.orig
$ openssl rsa -in host.key.orig -out host.key
$ rm host.key.orig
$ chmod 400 host.key

Common Name должен быть в fdqn-формате :)

3. Отправляем host.csr какому-то конкретному CA на подпись или подписываем своим CA

$ make

Если речь идёт о self-signed SSL-сертификате, то достаточно:

openssl x509 -req -days 365 -in host.csr -signkey host.key -out host.crt

Отзыв сертификата

$ make revoke cert=host.cert

Проверка сертификата

$ openssl s_client -connect mail.example.org:110 -starttls pop3 -showcerts
$ echo | openssl s_client -connect domain.tld:443 -servername domain.tld 2>/dev/null | openssl x509 -noout -dates

Дополнительно

Apache:

AddType application/x-x509-ca-cert .crt .cert

Fingerprint:

$ openssl x509 -noout -fingerprint -text < host.cert > host.info

Self-signed сертификат

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout host.key -out host.crt

2010/07/26

Обновлено 2011/02/09.

Допустим, у меня уже есть подписанный SSL-сертификат. Задача: импортировать его в JKS (java key storage), чтобы потом скормить его BGBilling-у.

Cертификаты в формате x509:
SSL123_CA_Bundle.pem - промежуточный сертификат CA
stat_domain_ru_2012_02_08.crt - подписанный сертификат
stat.domain.ru.key - ключ сертификата

Затем, файл keystore.ImportKey передвигаем в /usr/local/BGBilling/.keystore, добавляем в файл data.properties:

port.https=8443

Рестартим сервер (service bgbilling restart). Проверяем:

ЗЫ. Мы использовали ImportKey.java, потому что keytool не позволяет импортировать приватный ключ в keystore.

Источники:
http://www.agentbob.info/agentbob/79-AB.html
http://www.bgbilling.ru/v5.0/doc/ch01s14.html
http://forum.bgbilling.ru/viewtopic.php?p=11851#p11851
Thawte (Installing the x.509 version of your SSL certificate in Tomcat)