Apache ssl - Redigeerimiste ajalugu

Jim: Lisatud lingid

2019-10-01T07:01:08Z

Lisatud lingid

←Vanem redaktsioon		Redaktsioon: 1. oktoober 2019, kell 07:01
182. rida:		182. rida:

	$ openssl pkcs7 -print_certs -in servver.crt -outform DER -out serveruus.crt		$ openssl pkcs7 -print_certs -in servver.crt -outform DER -out serveruus.crt

			===Lingid===

			https://www.ssllabs.com/ssltest/analyze.html?d=zoo.tartu.ee Testida saab nt tulemust siit lingilt

			https://wiki.mozilla.org/Security/Server_Side_TLS Tänapäevase SSL/TLS kasutamise soovitused

			https://ssl-config.mozilla.org/ Ja siin on suisa generaator, mis väidetavalt teeb parima konfi

Jj – 18. aprill 2018, kell 18:10

2018-04-18T18:10:40Z

←Vanem redaktsioon		Redaktsioon: 18. aprill 2018, kell 18:10
164. rida:		164. rida:
	DocumentRoot /home/nimi		DocumentRoot /home/nimi

			SSLEngine on
	SSLSessionCache shmcb:/var/run/ssl_scache(512000)		SSLSessionCache shmcb:/var/run/ssl_scache(512000)
	SSLSessionCacheTimeout 300		SSLSessionCacheTimeout 300

Aus – 4. jaanuar 2016, kell 10:22

2016-01-04T10:22:11Z

←Vanem redaktsioon		Redaktsioon: 4. jaanuar 2016, kell 10:22
60. rida:		60. rida:
	Taotluse genereerimine		Taotluse genereerimine

	$ openssl req -new -key server.key -out server.csr		$ openssl req -new -sha256 -key server.key -out server.csr

	Taotluse loomise käigus küsitakse kasutajalt mitmeid küsimusi. Näiteks Country Name ja Locality name, milledel		Taotluse loomise käigus küsitakse kasutajalt mitmeid küsimusi. Näiteks Country Name ja Locality name, milledel

Jj: /* Sertifikaadi taotlemine */

2014-05-06T12:06:24Z

Sertifikaadi taotlemine

←Vanem redaktsioon		Redaktsioon: 6. mai 2014, kell 12:06
52. rida:		52. rida:
	Vältda tasub lühikeste võtmepikkustega (vähem kui 128 bitti) šifreid. Võtme pikkus peab olema vähemalt 2048 bitti.		Vältda tasub lühikeste võtmepikkustega (vähem kui 128 bitti) šifreid. Võtme pikkus peab olema vähemalt 2048 bitti.

	$ '''openssl genrsa -out ~~XYZ~~.key 2048'''		$ '''openssl genrsa -out server.key 2048'''
	Generating RSA private key, 2048 bit long modulus		Generating RSA private key, 2048 bit long modulus
	...................................+++		...................................+++
60. rida:		60. rida:
	Taotluse genereerimine		Taotluse genereerimine

	$ openssl req -new -key ~~XYZ~~.key -out ~~XYZ~~.csr		$ openssl req -new -key server.key -out server.csr

	Taotluse loomise käigus küsitakse kasutajalt mitmeid küsimusi. Näiteks Country Name ja Locality name, milledel		Taotluse loomise käigus küsitakse kasutajalt mitmeid küsimusi. Näiteks Country Name ja Locality name, milledel

Jim – 21. aprill 2014, kell 12:06

2014-04-21T12:06:03Z

←Vanem redaktsioon		Redaktsioon: 21. aprill 2014, kell 12:06
161. rida:		161. rida:

	<VirtualHost ip-aadress:443>		<VirtualHost ip-aadress:443>
	ServerName www.nimi.ee		ServerName www.nimi.ee
	DocumentRoot /home/nimi		DocumentRoot /home/nimi

	SSLSessionCache shmcb:/var/run/ssl_scache(512000)		SSLSessionCache shmcb:/var/run/ssl_scache(512000)
	SSLSessionCacheTimeout 300		SSLSessionCacheTimeout 300
	SSLProtocol All -SSLv2		SSLProtocol All -SSLv2
	SSLCipherSuite ~~RC4-SHA:HIGH:MEDIUM:!ADH~~		SSLCipherSuite <<ciphers>>
	SSLCertificateFile /kataloog/arvuti.nimi.crt		SSLCertificateFile /kataloog/arvuti.nimi.crt
	SSLCertificateKeyFile /kataloog/arvuti.nimi.key		SSLCertificateKeyFile /kataloog/arvuti.nimi.key
174. rida:		174. rida:
	# Apache ver 2.2.24+:		# Apache ver 2.2.24+:
	SSLCompression Off		SSLCompression Off

	</VirtualHost>		</VirtualHost>

	~~Erinevate namebased virtualhostide juures saab sertifikaate kasutada~~		Siin tuleb <<ciphers>> asendada šifriloeteluga, mis annab antud serverile vajaliku turvataseme. Soovitusi selleks leiab näiteks Mozilla veebilehelt https://wiki.mozilla.org/Security/Server_Side_TLS
	~~vaid siis kui sertifikaat Subject Alternative Name abil on defineeritud kõik domeenid sertifikaati!~~

	~~http~~://~~www~~.~~onlamp~~.~~com/pub/a~~/~~apache~~/~~2005/02/17/apacheckbk.html~~


	~~Lisaks:~~ pkcs formaadis sert tuleb enne kasutama hakkamist ümber konvertida		NB! pkcs formaadis sert tuleb enne kasutama hakkamist ümber konvertida

	$ openssl pkcs7 -print_certs -in servver.crt -outform DER -out serveruus.crt		$ openssl pkcs7 -print_certs -in servver.crt -outform DER -out serveruus.crt

Jj – 11. märts 2014, kell 10:21

2014-03-11T10:21:22Z

←Vanem redaktsioon		Redaktsioon: 11. märts 2014, kell 10:21
71. rida:		71. rida:

	Seda laiendust on soovitav kasutada juhul kui ühte sertifikaati on tarvis kasutada mitme domeeni jaoks. Ühele sertifikaadile saab taotlusvormi täitmisel lisada mitu domeeninime. (sertifikaaditaotlus genereerida ühele domeeninimele, ent taotluse esitamisel lisada juurde täiendavad domeeninimed)		Seda laiendust on soovitav kasutada juhul kui ühte sertifikaati on tarvis kasutada mitme domeeni jaoks. Ühele sertifikaadile saab taotlusvormi täitmisel lisada mitu domeeninime. (sertifikaaditaotlus genereerida ühele domeeninimele, ent taotluse esitamisel lisada juurde täiendavad domeeninimed)

			PS: Kui sisestad challenge passwordi küsiakse seda iga kord kui apache stardib või server teeb reboodi.

	'''Kas taotleda tasub ka wildcard sertifikaate?'''		'''Kas taotleda tasub ka wildcard sertifikaate?'''

Jj: /* Apache seadistus */

2013-12-02T11:17:52Z

Apache seadistus

←Vanem redaktsioon		Redaktsioon: 2. detsember 2013, kell 11:17
115. rida:		115. rida:
	# /usr/local/etc/rc.d/apache22.sh start		# /usr/local/etc/rc.d/apache22.sh start

	Kontrollime käsuga sockstat, kas kuulab?		Kontrollime käsuga sockstat, kas apache kuulab 443 pordil?

	# sockstat \| grep 443		# sockstat \| grep 443

Jj: /* Self-signed serfitikaadi loomine */

2013-12-02T11:16:03Z

Self-signed serfitikaadi loomine

←Vanem redaktsioon		Redaktsioon: 2. detsember 2013, kell 11:16
89. rida:		89. rida:
	$ openssl x509 -req -days 300 -in server.csr -signkey server.key -out server.crt		$ openssl x509 -req -days 300 -in server.csr -signkey server.key -out server.crt
	$ openssl rsa -in server.key -out server.key		$ openssl rsa -in server.key -out server.key

			Võimalus on luua ka päris oma isiklik sertifitseerimiskeskus sellest pikemalt http://kuutorvaja.eenet.ee/wiki/Sertifikaadid

	===Apache seadistus===		===Apache seadistus===

Jj – 2. detsember 2013, kell 11:13

2013-12-02T11:13:52Z

←Vanem redaktsioon		Redaktsioon: 2. detsember 2013, kell 11:13
49. rida:		49. rida:
	===Sertifikaadi taotlemine===		===Sertifikaadi taotlemine===

	Enne kuslil sertifikaaditeenuse pakkuja juures vormi täitmist tuleb oma arvutis genereerida avaliku/salajase võtme paar ja taotlus. ~~OpenSSL-i abil näiteks:~~		Enne kuslil sertifikaaditeenuse pakkuja juures vormi täitmist tuleb oma arvutis genereerida avaliku/salajase võtme paar ja taotlus.
			Vältda tasub lühikeste võtmepikkustega (vähem kui 128 bitti) šifreid. Võtme pikkus peab olema vähemalt 2048 bitti.

	$ '''openssl genrsa -out XYZ.key 2048'''		$ '''openssl genrsa -out XYZ.key 2048'''
70. rida:		71. rida:

	Seda laiendust on soovitav kasutada juhul kui ühte sertifikaati on tarvis kasutada mitme domeeni jaoks. Ühele sertifikaadile saab taotlusvormi täitmisel lisada mitu domeeninime. (sertifikaaditaotlus genereerida ühele domeeninimele, ent taotluse esitamisel lisada juurde täiendavad domeeninimed)		Seda laiendust on soovitav kasutada juhul kui ühte sertifikaati on tarvis kasutada mitme domeeni jaoks. Ühele sertifikaadile saab taotlusvormi täitmisel lisada mitu domeeninime. (sertifikaaditaotlus genereerida ühele domeeninimele, ent taotluse esitamisel lisada juurde täiendavad domeeninimed)

	~~Ebaturvalist SSLv2 on mõistlik vältida, samuti lühikeste võtmepikkustega (vähem kui 128 bitti) šifreid. Võtme pikkus peab olema vähemalt 2048 bitti.~~

	'''Kas taotleda tasub ka wildcard sertifikaate?'''		'''Kas taotleda tasub ka wildcard sertifikaate?'''
152. rida:		151. rida:

	Turvalisuse tõstmiseks saab alates Apache 2.2.24 versioonist välja lülitada ka SSL pakkimise: SSLCompression Off.		Turvalisuse tõstmiseks saab alates Apache 2.2.24 versioonist välja lülitada ka SSL pakkimise: SSLCompression Off.
			Ebaturvalist SSLv2 on mõistlik samuti vältida.

	Listen 443		Listen 443

Jj: /* Self-signed serfitikaadi loomine */

2013-12-02T11:11:40Z

Self-signed serfitikaadi loomine

←Vanem redaktsioon		Redaktsioon: 2. detsember 2013, kell 11:11
85. rida:		85. rida:
	Juhul kui me kas rahalistel või isiklikel põhjustel ei soovi endale ametlikku sertifikaati		Juhul kui me kas rahalistel või isiklikel põhjustel ei soovi endale ametlikku sertifikaati
	vaid soovime lihtsalt nt enda isikliku serveri ja lauaarvuti vahelist liiklust selleabil krüoteerida vms saame loodud taotluse ka ise signeerida.		vaid soovime lihtsalt nt enda isikliku serveri ja lauaarvuti vahelist liiklust selleabil krüoteerida vms saame loodud taotluse ka ise signeerida.

	~~Loome apache ssl ajutise self-signed sertifikaadi mis ei nõuaks parooli.~~

	Võtame juba ülal äratoodud käskudega loodud taotluse ja allkirjastame selle ise ära		Võtame juba ülal äratoodud käskudega loodud taotluse ja allkirjastame selle ise ära