Erstellen Sie Ihre eigene Zertifizierungsstelle (CA) in CentOS/RHEL

Eine Zertifizierungsstelle (CA) stellt digitale Zertifikate aus, die den Besitz eines öffentlichen Schlüssels durch das benannte Subjekt des Zertifikats bescheinigen. Vertrauenswürdige Zertifikate werden normalerweise verwendet, um sichere Verbindungen zu einem Server über das Internet herzustellen. Ein Zertifikat ist erforderlich, um den Fall zu vermeiden, dass eine böswillige Partei, die sich zufällig auf dem Weg zum Zielserver befindet, vorgibt, das Ziel zu sein. Ein solches Szenario wird allgemein als Man-in-the-Middle-Angriff bezeichnet.

Im Allgemeinen verwenden die Leute im Internet vertrauenswürdige Zertifizierungsstellen wie VeriSign, aber es gibt Fälle, in denen Sie Ihre eigene Zertifizierungsstelle benötigen, um einem Intranet oder VPN zusätzliche Sicherheit hinzuzufügen oder vielleicht nicht dafür bezahlen möchten.

Installieren Sie openssl

Zuerst beginnen wir mit der Installation des Dienstprogramms openssl. Wenn Sie CentOS / Fedora / RHEL verwenden, können Sie dies mit yum wie folgt tun:

# yum install openssl

Wenn Sie Ubuntu / Debian verwenden, können Sie apt-get wie folgt verwenden:

# apt-get install openssl

Erstellen Ihrer eigenen Zertifizierungsstelle

Um Ihre eigene Zertifizierungsstelle zu erstellen, können Sie das Skript verwenden, das mit dem Paket openssl geliefert wird. Gehen Sie dazu zuerst in ein leeres Verzeichnis und führen Sie das Skript dann wie folgt aus:
Für CentOS / Fedora / RHEL

# /usr/share/ssl/misc/CA.pl -newca

Ubuntu/Debian

# /usr/lib/ssl/misc/CA.pl -newca

Das Skript führt Sie durch alle Schritte zum Erstellen Ihrer neuen CA, es spielt keine große Rolle, was Sie in die Felder eingeben und alle Eingaben sind selbsterklärend.

Der vollständige Prozess sieht in etwa so aus:

Zertifikate erstellen

Jetzt, da Sie Ihre eigene Zertifizierungsstelle (CA) haben, können Sie digitale Zertifikate für Server in Ihrem LAN, für VPN-Clients oder für jeden Dienst erstellen, den Sie mit SSL verwenden müssen. Das bedeutet, dass Sie zwei Schritte ausführen müssen:

Zuerst müssen Sie einen privaten Schlüssel und eine Zertifikatsanforderung erstellen:

# /usr/lib/ssl/misc/CA.pl -newreq

Ihnen werden die gleichen Fragen wie bei der Newca-Option gestellt, wie unten gezeigt:

Jetzt können Sie dieses Zertifikat mit dem folgenden Befehl bei Ihrer Zertifizierungsstelle signieren:

# /usr/lib/ssl/misc/CA.pl -sign

Jetzt können Sie dieses Zertifikat für jeden beliebigen Zweck verwenden.