Installation et configuration de OpenSSL - Historique des versions

Pfoo : /* le fichier /etc/openssl.cnf */

2022-07-22T17:53:50Z

le fichier /etc/openssl.cnf

← Version précédente		Version du 22 juillet 2022 à 19:53
Ligne 205 :		Ligne 205 :
	authorityKeyIdentifier = keyid,issuer:always		authorityKeyIdentifier = keyid,issuer:always
	basicConstraints = critical,CA:TRUE,pathlen:1		basicConstraints = critical,CA:TRUE,pathlen:1
	keyUsage = keyCertSign, cRLSign		keyUsage = critical, keyCertSign, cRLSign
	nsCertType = sslCA, emailCA		nsCertType = sslCA, emailCA
	subjectAltName = email:copy		subjectAltName = email:copy
Ligne 216 :		Ligne 216 :
	authorityKeyIdentifier = keyid,issuer:always		authorityKeyIdentifier = keyid,issuer:always
	issuerAltName = issuer:copy		issuerAltName = issuer:copy
	keyUsage = keyCertSign, cRLSign		keyUsage = critical, keyCertSign, cRLSign
	nsCertType = sslCA, emailCA		nsCertType = sslCA, emailCA
	subjectAltName = email:copy		subjectAltName = email:copy

Pfoo : /* Création de l'autorité intermédiaire */

2022-07-22T15:47:24Z

Création de l'autorité intermédiaire

← Version précédente		Version du 22 juillet 2022 à 17:47
Ligne 272 :		Ligne 272 :
	</pre>		</pre>
	Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ROOT_CA, et on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.<br>		Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ROOT_CA, et on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.<br>
	Notez qu'on génère un serial aléatoire pour le certificat intermédiaire,		Notez qu'on génère un serial aléatoire pour le certificat intermédiaire.
	<pre>		<pre>
	openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem		openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem
Ligne 281 :		Ligne 281 :
	openssl x509 -serial -noout -in core_ca.pem \| cut -d= -f2 > serial		openssl x509 -serial -noout -in core_ca.pem \| cut -d= -f2 > serial
	</pre>		</pre>

			'''Editez ensuite le fichier serial et incrémentez le''', sinon votre premier certificat aura le même serial que le certificat racine.

	Enfin, on s'assure que la clé privée de cette nouvelle autorité est elle aussi à l'abri :		Enfin, on s'assure que la clé privée de cette nouvelle autorité est elle aussi à l'abri :
	<pre>		<pre>

Pfoo : /* Génération de certificats ECDSA */

2022-07-22T14:26:24Z

Génération de certificats ECDSA

← Version précédente		Version du 22 juillet 2022 à 16:26
Ligne 358 :		Ligne 358 :

	=Génération de certificats ECDSA=		=Génération de certificats ECDSA=

			<pre>openssl ecparam -list_curves</pre>

	Les 2 courbes les plus supportées sont prime256v1 et secp384r1		Les 2 courbes les plus supportées sont prime256v1 et secp384r1

Pfoo le 22 juillet 2022 à 09:18

2022-07-22T09:18:39Z

← Version précédente		Version du 22 juillet 2022 à 11:18
Ligne 1 :		Ligne 1 :
	[[Category:serveur]]		[[Category:serveur]]
	[[Category:debian]]		[[Category:debian]]
			[[Category:security]]
	Protéger les données qui transitent au travers des différents protocoles peut parfois être primordial. Le chiffrement le plus utilisé actuellement est SSL. Le principe de SSL est basé sur l'utilisation de deux clés : une clé publique qui sert à déchiffrer et une clé privée qui sert à chiffrer (on parle de chiffrement asymétrique). La clé privée doit rester confidentielle alors que la clé publique peut-être transmise sans problème à tous le monde.		Protéger les données qui transitent au travers des différents protocoles peut parfois être primordial. Le chiffrement le plus utilisé actuellement est SSL. Le principe de SSL est basé sur l'utilisation de deux clés : une clé publique qui sert à déchiffrer et une clé privée qui sert à chiffrer (on parle de chiffrement asymétrique). La clé privée doit rester confidentielle alors que la clé publique peut-être transmise sans problème à tous le monde.
	La validité des clés publiques est assurée par une autorité de certification.		La validité des clés publiques est assurée par une autorité de certification.

Pfoo le 21 juillet 2022 à 18:07

2022-07-21T18:07:56Z

← Version précédente		Version du 21 juillet 2022 à 20:07
Ligne 25 :		Ligne 25 :

	* basicConstraints		* basicConstraints
	** <div id="pathlen"></div>pathlen : profondeur de la clé, c''est-à-dire, le nombre de ~~certificats~~ pouvant apparaître sous le certificat en question (on parle de ~~chaine~~ de certification). Cette directive est ~~capitale~~ si vous souhaitez mettre en place une ~~chaine~~ de certification avec plusieurs autorités de certification (AC~~). La dernière autorité de la chaine devrait avoir~~ une ~~profondeur~~ de 0 ~~(c'est l~~'~~autorité qui sera chargée de délivrer les~~ certificats ~~clients~~ et ~~serveurs)~~.		** <div id="pathlen"></div>pathlen : profondeur de la clé, c'est-à-dire, le nombre d'autorité de certficiation (AC) pouvant apparaître sous le certificat en question (on parle de chaîne de certification). Cette directive est importante si vous souhaitez mettre en place une chaîne de certification avec plusieurs autorités de certification. Une AC avec une pathlen de 0 ne peut qu'être utilisée pour signer des certificats utilisateurs/serveurs et pas une autre AC.
	** CA : TRUE pour une autorité, FALSE pour un certificat serveur ou client.		** CA : TRUE pour une autorité, FALSE pour un certificat serveur ou client.
	* keyUsage		* keyUsage

Pfoo : /* Génération de certificats ECDSA */

2022-07-21T15:17:27Z

Génération de certificats ECDSA

← Version précédente		Version du 21 juillet 2022 à 17:17
Ligne 362 :		Ligne 362 :
	<pre>openssl ecparam -name prime256v1 -out prime256v1.pem</pre>		<pre>openssl ecparam -name prime256v1 -out prime256v1.pem</pre>
	Puis à la génération de la clé, il faudra préciser :		Puis à la génération de la clé, il faudra préciser :
	<pre>-newkey ~~param~~:prime256v1.pem</pre>		<pre>-newkey ec:prime256v1.pem</pre>

Pfoo : /* Compatibilité avec la bibliothèque de certificats des distributions Linux */

2022-07-21T15:15:14Z

Compatibilité avec la bibliothèque de certificats des distributions Linux

← Version précédente		Version du 21 juillet 2022 à 17:15
Ligne 355 :		Ligne 355 :
	cd		cd
	</pre>		</pre>

			=Génération de certificats ECDSA=

			Les 2 courbes les plus supportées sont prime256v1 et secp384r1

			<pre>openssl ecparam -name prime256v1 -out prime256v1.pem</pre>
			Puis à la génération de la clé, il faudra préciser :
			<pre>-newkey param:prime256v1.pem</pre>

Pfoo : /* Création de l'autorité intermédiaire */

2022-07-21T14:27:08Z

Création de l'autorité intermédiaire

← Version précédente		Version du 21 juillet 2022 à 16:27
Ligne 276 :		Ligne 276 :
	</pre>		</pre>

	On génère le serial de core_ca		On génère le serial de core_ca dans /etc/ssl/core_ca/serial
	<pre>		<pre>
	openssl x509 -serial -noout -in core_ca.pem \| cut -d= -f2 > serial		openssl x509 -serial -noout -in core_ca.pem \| cut -d= -f2 > serial
Ligne 296 :		Ligne 296 :

	Pour que les clients (http, mail, ftp, ...) reconnaissent comme valide les certificats que vous signez avec votre AC il faut ajouter le fichier <code>/etc/ssl/root_ca/root_ca.pem</code> (et <code>/etc/ssl/core_ca/core_ca.pem</code> si votre serveur est mal configuré) à leur liste d'autorité de certification valide.		Pour que les clients (http, mail, ftp, ...) reconnaissent comme valide les certificats que vous signez avec votre AC il faut ajouter le fichier <code>/etc/ssl/root_ca/root_ca.pem</code> (et <code>/etc/ssl/core_ca/core_ca.pem</code> si votre serveur est mal configuré) à leur liste d'autorité de certification valide.
	Par exemple, pour firefox, il faut aller dans l'onglet <code>Avancé</code> de la configuration, sélectionner l'onglet <code>Chiffrement</code>, cliquer sur <code>Afficher les Certificats</code>, sélectionner l'onglet <code>Autorités</code> et cliquer sur <code>Importer</code> pour importer son certificat.

	=Générer des certificats serveurs=		=Générer des certificats serveurs=

Pfoo : /* Création de l'autorité intermédiaire */

2022-07-21T14:22:47Z

Création de l'autorité intermédiaire

← Version précédente		Version du 21 juillet 2022 à 16:22
Ligne 270 :		Ligne 270 :
	openssl req -newkey rsa:8192 -sha256 -keyout private/core_ca.key -out core_ca.req		openssl req -newkey rsa:8192 -sha256 -keyout private/core_ca.key -out core_ca.req
	</pre>		</pre>
	Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ~~CA_ROOT.~~		Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ROOT_CA, et on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.<br>
	~~Notez qu'~~on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.		Notez qu'on génère un serial aléatoire pour le certificat intermédiaire,
	<pre>		<pre>
	openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem</pre>		openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem
			</pre>

	On génère le serial de core_ca		On génère le serial de core_ca

Pfoo : /* Création de l'autorité intermédiaire */

2022-07-21T13:53:27Z

Création de l'autorité intermédiaire

← Version précédente		Version du 21 juillet 2022 à 15:53
Ligne 273 :		Ligne 273 :
	Notez qu'on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.		Notez qu'on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration.
	<pre>		<pre>
	openssl ca -extensions CORE_CA -in core_ca.req -out core_ca.pem</pre>		openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem</pre>

	On génère le serial de core_ca		On génère le serial de core_ca

Installation et configuration de OpenSSL - Historique des versions

Pfoo : /* le fichier /etc/openssl.cnf */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Génération de certificats ECDSA */

Pfoo le 22 juillet 2022 à 09:18

Pfoo le 21 juillet 2022 à 18:07

Pfoo : /* Génération de certificats ECDSA */

Pfoo : /* Compatibilité avec la bibliothèque de certificats des distributions Linux */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* le fichier /etc/openssl.cnf */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Génération de certificats ECDSA */

Pfoo : /* Génération de certificats ECDSA */

Pfoo : /* Compatibilité avec la bibliothèque de certificats des distributions Linux */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Création de l'autorité intermédiaire */

Pfoo : /* Création de l'autorité intermédiaire */