Ceci est le guide définitif pour créer des certificats sécurisés, à la fois pour les serveurs et les clients, en utilisant OpenSSL.
Sous Windows, il est recommandé d'utiliser Chocolatey pour installer OpenSSL et ses dépendances. La ligne de commande est simplement `choco install openssl`.
Générer une requête de signature de certificat (CSR) – Serveur
Générer une requête de signature de certificat (CSR) – Client
Traiter une demande de signature de certificat (CSR) sur l'autorité de certification (CA) racine
Générer la clé privée de l'AC racine en utilisant la ligne de commande suivante :
openssl ecparam -name prime256v1 -genkey -noout -out ca.key. Chaque certificat doit avoir une clé privée correspondante.Générer le Certificat CA Racine (Autorité de Certification) en utilisant la ligne de commande suivante :
openssl req -new -x509 -sha256 -key ca.key -out ca.crt.Entrer les informations concernant l'autorité de certification (le certificat sera généré dans le fichier ca.crt):
Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:CA Locality Name (eg, city) []:Toontown Organization Name (eg, company) [Internet Widgits Pty Ltd]:Acme inc. Organizational Unit Name (eg, section) []:Security Common Name (e.g. server FQDN or your name) []:acme.com Email Address []:security@acme.com
Notez que le certificat doit être installé sur le serveur et sur tous les clients pour valider la légitimité des certificats émis. Certains navigateurs ont également des particularités qui sont décrites dans la rubrique.
Ces étapes sont généralement effectuées sur chaque serveur ou dispositif pour lequel vous avez l'intention de demander un certificat. Installer OpenSSL s'il n'est pas présent. L'alternative est de déployer en toute sécurité la clé privée sur le serveur de destination en même temps que le certificat. Il est recommandé d'utiliser cette dernière approche uniquement si vous devez adhérer aux déploiements automatisés pour suivre les pratiques CloudOps/DevOps.
Générer la clé privée du certificat serveur en utilisant la ligne de commande suivante :
openssl ecparam -name prime256v1 -genkey -noout -out server.key(clé privée de 256 bits dans le fichier server.key). Chaque certificat doit avoir une clé privée correspondante.Générer la Demande de signature de certificat (CSR) du serveur en utilisant la ligne de commande suivante :
openssl req -new -sha256 -key server.key -out server.csr. Cette demande sera traitée ensuite sur le serveur AC racine.Entrer les informations concernant le certificat du serveur (le FQDN exact utilisé par le serveur doit être spécifié). Par exemple :
Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:CA Locality Name (eg, city) []:Toontown Organization Name (eg, company) [Internet Widgits Pty Ltd]:Acme inc. Organizational Unit Name (eg, section) []:Security Common Name (e.g. server FQDN or your name) []:vault.acme.com Email Address []:security@acme.comEntrer un mot de passe dans l'invite, utiliser un gestionnaire de mots de passe ainsi qu'un générateur de mots de passe fort est essentiel.
Transférer le fichier server.csr à l'AC racine.
Traiter la demande en suivant les instructions ci-dessous.
Déployer le certificat.
Suivre la même procédure que pour le certificat serveur, mais il faut adapter deux attributs des informations saisies à vos besoins, à savoir le Nom Commun et l'Adresse Email.
Common Name (e.g. server FQDN or your name) []:John Doe
Email Address []:JohnDoe@acme.com
Traiter le CSR en générant un certificat.
Le générer en utilisant la ligne de commande suivante, où le server.csr a été généré sur le serveur :
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 1000 -sha256
Cela entraîne la génération du certificat dans le fichier server.crt. Vous devez le déployer sur le serveur où vous avez généré le CSR.
Donnez-nous vos commentaires