צור אישורים בפורמט PEM

תוכן העניינים

סקירה כללית
דרישות
צור אישור SSL בפורמט PEM
צור תעודת SSL בחתימה עצמית בפורמט PEM
כיצד לראות את התוכן של תעודת SSL
- פקודת OpenSSL לקבלת פרטי האישור
- בדיקת תעודות DER
אימות אישור ביניים ושורש קיים בתעודת SSL

סקירה כללית #

RELIANOID מסוגל לנהל חיבורי HTTPS (פרופיל HTTP), כך שמנהל המערכת חייב ליצור אישורים משלו (אישורים בחתימה עצמית) או לרכוש אישורים חתומים על ידי רשות אישורים, בשני המקרים האישור חייב להיות בנוי בפורמט PEM.

את תעודת האישור יש ליצור ללא סיסמה ואת המפתחות ואת אחריות חברתית חייב להיות שנוצר בשרת להיות מאובטח.

חיוביים SSL מוכנים ללכת בפורמט PEM אבל SSL מהיר צריך להיות מומר כמו כל קובץ מכיל את cert, CA ביניים מופרד השורש.

דרישות #

יש להתקין את החבילה openssl על מנת ליצור את המפתחות בשרת, במקרה שלנו יהיה RELIANOID מופע שאמור להיות מותקן כבר.

ראשית, צור את המפתח ללא משפט-סיסמה.

root@noid-ee-01:~# openssl genrsa -out host_domain_com.key 2048

לאחר מכן, צור את הבקשה חתום על אישור (.csr) באמצעות המקש שנוצר (.key) כקלט.

root@noid-ee-01:~# openssl req -new -key host_domain_com.key -out host_domain_com.csr

לאחר האישור ואת קבצי CA ביניים מועברים, להבטיח לקבל את תעודת השורש המנפיק.
כל הקבצים המופרדים צריכים להיות בפורמט PEM: תעודת שרת, תעודת ביניים ואישור CA שורש. אם לא, המירו את הקובץ בפקודה הבאה:

root@noid-ee-01:~# openssl x509 -in certFileName.csr -outform PEM -out convertedCertFileName.pem

לבסוף, יש לנו את המפתח הפרטי, האישור שהונפק, תעודת הביניים ותעודת CA השורש. יש לשלב את כל תוכן הקובץ כדי ליצור את קובץ ה- PEM בפורמט UNIX.

צור אישור SSL בפורמט PEM #

כדי ליצור תעודת SSL בפורמט PEM, בדרך כלל תזדקק למפתח פרטי , תעודה , תעודת CA ביניים (אם קיימת) ותעודת CA שורש . כך תוכל ליצור את קובץ ה-PEM:

הכן את הרכיבים #

מפתח פרטי: ודא שיש לך את המפתח הפרטי המתאים לאישור.
תעודה: השג את האישור שהונפק עבור הדומיין או השרת שלך.
תעודת CA ביניים: אם האישור שלך הונפק על ידי CA ביניים (לא ישירות על ידי CA הבסיס), תזדקק לאישור CA הביניים.
אישור CA שורש: ייתכן שתזדקק גם לאישור CA השורש, במיוחד אם הוא עדיין לא כלול בחנות האמון של יישומי הלקוח או המכשירים.

שרשרת את הרכיבים #

פתח עורך טקסט או השתמש בכלי שורת פקודה כדי לשרשר את המפתח הפרטי, האישור, אישור CA הביניים (אם רלוונטי) ואישור CA השורש (אם יש צורך) לקובץ PEM יחיד, כפי שהוא מוצג להלן.

-----BEGIN RSA PRIVATE KEY----- מפתח פרטי (ללא ביטוי סיסמה) -----END RSA PRIVATE KEY----- -----BEGIN CERTIFICATE----- אישור (CN= www.mydomain.com) -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- בינוני (CA ביניים, אם קיים) -----END CERTIFICAT----- -----BEGIN CERTIFICATE----- שורש (ROOT CA, אשר חותם על האישור) -----END CERTIFICATE-----

עיין בדוגמה למטה כדי לדעת איך ייראה קובץ PEM נכון.

חובה להמיר את קובץ ה-PEM כולו לפורמט UNIX. קיים אישור בשם zencert.pem או noidcert.pem למטרות בדיקה על מנת שניתן יהיה להשתמש בו עם חוות פרופילי HTTPS.

ודא שסדר התעודות הוא כדלקמן:

1. התעודה שלך
2. אישור CA ביניים (אם רלוונטי)
3. אישור CA שורש

שמור קובץ PEM מקושר #

שמור את קובץ ה-PEM המשורשר עם סיומת .pem. קובץ זה יכיל את המפתח הפרטי ואת כל שרשרת האישורים.

השתמש בקובץ PEM #

כעת תוכל להשתמש בקובץ PEM בתצורת השרת שלך. בהתאם לתוכנת השרת שלך (למשל, Apache, Nginx, RELIANOID), ייתכן שיהיה עליך לציין את הנתיב לקובץ PEM בתצורת SSL. בְּ RELIANOID, פשוט העלה את אישור ה-SSL באמצעות ה-GUI האינטרנט והקצה אותו כ אישור מופעל בכל חוות HTTPS.

אמת את התצורה #

לאחר הגדרת השרת שלך לשימוש בקובץ PEM, חיוני לאמת את תצורת SSL/TLS כדי להבטיח ששרשרת האישורים מוצגת כהלכה ללקוחות במהלך לחיצת היד של SSL. אתה יכול להשתמש בכלי בדיקת SSL/TLS שונים באינטרנט או בכלי שירות שורת פקודה כמו OpenSSL כדי לבדוק את התצורה ולהבטיח ששרשרת האישורים הושלמה.

צור תעודת SSL בחתימה עצמית בפורמט PEM #

כדי ליצור אישור SSL חתום בפורמט PEM ממאזן העומס או מהשרת, בצע את השלבים הבאים:

1. צור את קבצי המפתח והאישור עם מפתח RSA של 4096 סיביות למשך שנה אחת וללא סיסמה באמצעות הפקודה הבאה:

root@noid-ee-01:~# openssl req -nodes -new -x509 -newkey rsa:4096 -keyout server.key -out server.cert -days 365
יצירת מפתח פרטי RSA .....................++++ ........................... ................................................................ ................................................................ ...................................++++ כתיבת מפתח פרטי חדש ל-'server.key' - ---- אתה עומד להתבקש להזין מידע שישולב בבקשת האישור שלך. מה שאתה עומד להזין הוא מה שנקרא שם מובחן או DN. יש לא מעט שדות אבל אתה יכול להשאיר חלק ריקים עבור חלק מהשדות יהיה ערך ברירת מחדל, אם תזין '.', השדה יישאר ריק. ----- שם מדינה (קוד 2 אותיות) [AU]: שם מדינה או מחוז (שם מלא) [מדינה מסויימת]: שם היישוב (למשל, עיר) []: שם הארגון (למשל, חברה) [אינטרנט ווידג'טים Pty Ltd]: שם היחידה הארגונית (למשל, סעיף) []: שם נפוץ (למשל שרת FQDN או השם שלך) []: כתובת דואר אלקטרוני []:

במהלך ביצוע פקודה זו, תתבקש להזין מידע באופן אינטראקטיבי. אנא ספק את הפרטים הנדרשים.

2. שרשר את המפתח והאישור לקובץ PEM באמצעות הפקודה הבאה:

root@noid-ee-01:~# cat server.key server.cert >> server.pem

פקודה זו משלבת את המפתח והתעודה לקובץ PEM יחיד.

3. תעודת ה-SSL החתומה שלך בפורמט PEM ( server.pem ) מוכנה כעת לשימוש עם הפרוקסי, שירותי האינטרנט או שירותי האינטרנט שלך.

כיצד לראות את התוכן של תעודת SSL #

לצפייה בתוכן של תעודת SSL, ניתן להשתמש בכלים ופקודות שונות. שיטה נפוצה אחת היא שימוש ב-OpenSSL, כלי שורת פקודה רב תכליתי התומך בפעולות קריפטוגרפיות שונות, כולל בדיקת אישורים. כך תוכל להציג את התוכן של תעודת SSL באמצעות OpenSSL:

פקודת OpenSSL לקבלת פרטי האישור #

פתח מסוף או חלון שורת פקודה במערכת שלך.

השתמש בפקודת OpenSSL הבאה כדי להציג את התוכן של תעודת SSL:

root@noid-ee-01:~# openssl x509 -in certificate.pem -text -noout

החלף את certificate.pem בנתיב לקובץ אישור ה-SSL שלך.

אם האישור שלך הוא בפורמט PEM, פקודה זו תציג מידע מפורט על האישור, כולל:

מנפיק
נושא
תקופת תוקף (תאריכי התחלה וסיום)
מידע מפתח ציבורי
הרחבות תעודות
אלגוריתם חתימה
טביעות אצבע (SHA-1, SHA-256 וכו')

לאחר שתפעיל את הפקודה, OpenSSL יוציא את הייצוג הטקסטואלי של תוכן האישור. סקור את המידע המוצג כדי לאמת את פרטי האישור, כגון המנפיק, הנושא, תאריכי התוקף ומטא נתונים רלוונטיים אחרים.

בדיקת תעודות DER #

אם האישור שלך הוא בפורמט DER במקום PEM, אתה יכול להשתמש באפשרות -inform der כדי לציין את פורמט הקלט:

root@noid-ee-01:~# openssl x509 -inform der -in certificate.pem -text -noout

אתה יכול גם לשמור את הפלט לקובץ לניתוח או תיעוד נוסף באמצעות הפניית המעטפת מחדש (>):

root@noid-ee-01:~# openssl x509 -in certificate.pem -text -noout > certificate_details.txt

פקודה זו תשמור את פרטי האישור בקובץ בשם certificate_details.txt.

על ידי שימוש בכלי שורת הפקודה OpenSSL, אתה יכול בקלות לבדוק את התוכן של תעודת SSL ולאמת את פרטיו, כדי לעזור לך להבטיח את האבטחה והתקפות של חיבורי ה-SSL/TLS שלך.

אימות אישור ביניים ושורש קיים בתעודת SSL #

אימות אם תעודות CA ביניים ובסיס נמצאות בתעודת SSL כוללת בדיקה של שרשרת האישורים. כך תוכל לעשות זאת:

השתמש ב-OpenSSL או בכלי אחר כדי להציג את הפרטים של אישור ה-SSL. הפעל את הפקודה הבאה:

root@noid-ee-01:~# openssl crl2pkcs7 -nocrl -certfile certificate.pem | openssl pkcs7 -print_certs -noout 
subject=CN = mydomain.com issuer=C = US, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1

בדוגמה לעיל, רק התעודה קיימת.

root@noid-ee-01:~# openssl crl2pkcs7 -nocrl -certfile certificate.pem | openssl pkcs7 -print_certs -noout 
subject=CN = mydomain.com issuer=C = US, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1 subject=C = US, O = "DigiCert, Inc.", CN = RapidSSL Global TLS RSA4096 SHA256 2022 CA1 issuer=C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA

בדוגמה לעיל, גם התעודה וגם ה-Bideline קיימים.

החלף את certificate.pem בנתיב לקובץ אישור ה-SSL שלך.

כמו כן, השתמש ב-OpenSSL כדי להציג את שרשרת האישורים שמוצגת על ידי שרת ה-SSL במהלך לחיצת היד. הפעל את הפקודה הבאה:

root@noid-ee-01:~# openssl s_client -connect mydomain.com:443 -showcerts

החלף את mydomain.com בשם הדומיין של השרת התומך ב-SSL שאליו ברצונך להתחבר.

חפש את הסעיפים שכותרתם שרשרת תעודות או שרשרת תעודות (PEER). זה יציג את האישורים המוצגים על ידי השרת, החל מתעודת הישות הקצה וכלה באישור CA השורש.

אמת אישורי CA ביניים ותעודות שורש על ידי בחינת כל אישור בשרשרת כדי לוודא אם קיימים אישורי CA הביניים והשורש.
תעודת CA ביניים: חפש בשרשרת תעודה שתואמת למנפיק תעודת הקצה אך קודמת לה.
אישור CA שורש: ודא שהאישור האחרון בשרשרת הוא אישור CA השורש.

לחלופין, אתה יכול להשתמש בכלי אימות SSL מקוונים הבודקים אוטומטית את שרשרת האישורים ומוודאים אם קיימים אישורי CA ביניים ובסיסיים. כלים כמו בדיקת SSL Server של SSL Labs או כלי אבחון התקנת SSL של DigiCert יכולים לספק מידע מפורט על שרשרת האישורים.

על ידי ביצוע שלבים אלה, תוכל לוודא אם אישורי CA ביניים ובסיסיים קיימים באישור SSL ולהבטיח את השלמות והאבטחה של חיבורי ה-SSL/TLS שלך.