Sertifikaadid - Redigeerimiste ajalugu

Jim: Kustutatud lõigud, mis peaksid kuuluma kas SSH või veebiserveri pala juurde

2019-10-01T06:57:58Z

Kustutatud lõigud, mis peaksid kuuluma kas SSH või veebiserveri pala juurde

←Vanem redaktsioon		Redaktsioon: 1. oktoober 2019, kell 06:57
129. rida:		129. rida:
	ning kui selle sisestamise asemel enterit vajutada jäetakse krüpteerimine tegemata.		ning kui selle sisestamise asemel enterit vajutada jäetakse krüpteerimine tegemata.

	Üldiselt on soovitatav jätta serverite võtmed ilma täiendava krüpteerimiseta ning kasutaja sertifikaadid (nt VPN) jms jaoks krüpteerida, kuna		Üldiselt on soovitatav jätta serverite võtmed ilma täiendava krüpteerimiseta ning kasutaja sertifikaadid (nt VPN jms jaoks) krüpteerida, kuna kasutajate võtmed võivad kergemini kompromiteeruda. Serverite puhul on vaja aga sageli teenuseid automaatselt või kaugelt restartida ning sel juhul pole võimalik pidevalt võtit sisestada.
	kasutajate võtmed võivad kergemini kompromiteeruda~~, nt varastadakse läpakas ära vms~~. Serverite puhul on vaja aga sageli teenuseid automaatselt või kaugelt restartida ning sel juhul pole võimalik pidevalt
	võtit sisestada. ~~Et kontrollida, kas võtmel on kood (näitab ka õiguste probleemid, kui neid on)~~

	~~# ssh-keygen -y -f kasutaja.key~~

	~~-f annad siis faili ette, ilma selleta võtab kodukaustast .ssh/id_dsa või id_rsa, mis saadaval on.~~

	~~Kui kood on/ei ole/tahad muuta~~

	~~# ssh-keygen -p -f kasutaja.key~~

	~~===Lingid===~~

	~~https://wiki.mozilla.org/Security/Server_Side_TLS Moodsaima SSL Cipher Listi leiab~~

	~~https://mozilla.github.io/server-side-tls/ssl-config-generator/ Ja siin on suisa generaator, mis väidetavalt teeb parima konfi~~

	~~https://www.ssllabs.com/ssltest/analyze.html?d=zoo.tartu.ee Testida saab nt tulemust siit lingilt~~

Jim: CA-l 4096 bit võti ja keyUsage laiendus

2019-10-01T06:53:24Z

CA-l 4096 bit võti ja keyUsage laiendus

←Vanem redaktsioon		Redaktsioon: 1. oktoober 2019, kell 06:53
1. rida:		1. rida:
	Kõnekeeli öeldakse sertifikaadi kohta mugavalt "sert" ehk mitmuses "serdid".		Kõnekeeli öeldakse sertifikaadi kohta mugavalt "sert" ehk mitmuses "serdid".

	Juhendi kasutamiseks on vajalik [http://www.openssl.org/ OpenSSL] ver 0.9.7 või uuem.		Juhendi kasutamiseks on vajalik [http://www.openssl.org/ OpenSSL] ver 1.1.1 või uuem.

	Oletame, et meil on 2 asutust: sertifitseerimiskeskuse rollis "AS AgentuurC" ja teine asutus "OÜ Kasutaja", kes tahab oma veebi- või postiserverile sertifikaati.		Oletame, et meil on 2 asutust: sertifitseerimiskeskuse rollis "AS AgentuurC" ja teine asutus "OÜ Kasutaja", kes tahab oma veebi- või postiserverile sertifikaati.
7. rida:		7. rida:
	===CA, ehk sertifitseerimiskeskuse tekitamine===		===CA, ehk sertifitseerimiskeskuse tekitamine===

	Tekita CA võtmed ~~(2011 seisuga on soovituslik kasutada 2048-bitist RSA võtit)~~		Tekita CA võtmed

	$ openssl genrsa -des3 -out ca.key ~~2048~~		$ openssl genrsa -des3 -out ca.key 4096

	Allkirjasta CA sertifikaat iseendaga		Allkirjasta CA sertifikaat iseendaga

	$ openssl req -new -x509 ~~-sha256~~ -days ~~1095~~ -key ca.key -out ca.crt		$ openssl req -new -x509 -days 3650 -key ca.key -out ca.crt -addext "keyUsage=critical,cRLSign,keyCertSign"
	EE		EE
	.		.
30. rida:		30. rida:
	Tekita sertifikaadi allakirjutamise päring ja saada see (.csr fail) CA-le		Tekita sertifikaadi allakirjutamise päring ja saada see (.csr fail) CA-le

	$ openssl req -new ~~-sha256~~ -key kasutaja.key -out kasutaja.csr		$ openssl req -new -key kasutaja.key -out kasutaja.csr
	EE		EE
	.		.
43. rida:		43. rida:
	$ openssl req -text -noout -in kasutaja.csr		$ openssl req -text -noout -in kasutaja.csr
	...		...
	$ openssl x509 -req ~~-sha256~~ -days 1095 -CA ca.crt -CAkey ca.key -CAcreateserial \		$ openssl x509 -req -days 1095 -CA ca.crt -CAkey ca.key -CAcreateserial \
	-out kasutaja.crt -in kasutaja.csr		-out kasutaja.crt -in kasutaja.csr

Jj – 1. november 2018, kell 13:00

2018-11-01T13:00:28Z

←Vanem redaktsioon		Redaktsioon: 1. november 2018, kell 13:00
140. rida:		140. rida:

	# ssh-keygen -p -f kasutaja.key		# ssh-keygen -p -f kasutaja.key


	===Lingid===		===Lingid===

Jj – 1. november 2018, kell 13:00

2018-11-01T13:00:10Z

←Vanem redaktsioon		Redaktsioon: 1. november 2018, kell 13:00
144. rida:		144. rida:
	===Lingid===		===Lingid===

	~~Moodsaima SSL Cipher Listi leiab~~		https://wiki.mozilla.org/Security/Server_Side_TLS Moodsaima SSL Cipher Listi leiab
	https://wiki.mozilla.org/Security/Server_Side_TLS

	https://mozilla.github.io/server-side-tls/ssl-config-generator/		https://mozilla.github.io/server-side-tls/ssl-config-generator/ Ja siin on suisa generaator, mis väidetavalt teeb parima konfi
	ja siin on suisa generaator, mis väidetavalt teeb parima konfi

	~~Testida saab nt tulemust siit lingilt~~		https://www.ssllabs.com/ssltest/analyze.html?d=zoo.tartu.ee Testida saab nt tulemust siit lingilt
	https://www.ssllabs.com/ssltest/analyze.html?d=~~events~~.~~triathlon~~.de

Jj – 1. november 2018, kell 12:59

2018-11-01T12:59:28Z

←Vanem redaktsioon		Redaktsioon: 1. november 2018, kell 12:59
140. rida:		140. rida:

	# ssh-keygen -p -f kasutaja.key		# ssh-keygen -p -f kasutaja.key


			===Lingid===

			Moodsaima SSL Cipher Listi leiab
			https://wiki.mozilla.org/Security/Server_Side_TLS

			https://mozilla.github.io/server-side-tls/ssl-config-generator/
			ja siin on suisa generaator, mis väidetavalt teeb parima konfi

			Testida saab nt tulemust siit lingilt
			https://www.ssllabs.com/ssltest/analyze.html?d=events.triathlon.de

Jim – 23. juuni 2018, kell 10:58

2018-06-23T10:58:39Z

←Vanem redaktsioon		Redaktsioon: 23. juuni 2018, kell 10:58
129. rida:		129. rida:
	ning kui selle sisestamise asemel enterit vajutada jäetakse krüpteerimine tegemata.		ning kui selle sisestamise asemel enterit vajutada jäetakse krüpteerimine tegemata.

	Üldiselt on ~~võiks olla parim selline lahendus, kus~~ serverite võtmed on ilma täiendava krüpteerimiseta ning kasutaja sertifikaadid (nt VPN) jms jaoks ~~on krüpteeritud~~, kuna		Üldiselt on soovitatav jätta serverite võtmed ilma täiendava krüpteerimiseta ning kasutaja sertifikaadid (nt VPN) jms jaoks krüpteerida, kuna
	kasutajate võtmed võivad kergemini kompromiteeruda, nt varastadakse läpakas ära vms. Serverite puhul on vaja aga sageli teenuseid automaatselt või kaugelt restartida ning sel juhul pole võimalik pidevalt		kasutajate võtmed võivad kergemini kompromiteeruda, nt varastadakse läpakas ära vms. Serverite puhul on vaja aga sageli teenuseid automaatselt või kaugelt restartida ning sel juhul pole võimalik pidevalt
	võtit sisestada. Et kontrollida, kas võtmel on kood (näitab ka õiguste probleemid, kui neid on)		võtit sisestada. Et kontrollida, kas võtmel on kood (näitab ka õiguste probleemid, kui neid on)

Aus: /* Sertifikaadi tühistamine */

2018-06-05T06:15:04Z

Sertifikaadi tühistamine

←Vanem redaktsioon		Redaktsioon: 5. juuni 2018, kell 06:15
106. rida:		106. rida:
	emailAddress = optional		emailAddress = optional

	Näiteks OpenVPNi puhul tuleb tekkinud ca.~~crl~~ lisada configuratsiooni järgnevalt		Näiteks OpenVPNi puhul tuleb tekkinud crl.pem lisada configuratsiooni järgnevalt

	crl-verfiy crl.pem		crl-verfiy crl.pem

Jj – 23. oktoober 2015, kell 10:01

2015-10-23T10:01:23Z

←Vanem redaktsioon		Redaktsioon: 23. oktoober 2015, kell 10:01
109. rida:		109. rida:

	crl-verfiy crl.pem		crl-verfiy crl.pem

			Selle faili sisu vaatamiseks on käsk

			$ openssl crl -in crl.pem -noout -text

	===Iseallkirjastatud sertifikaat===		===Iseallkirjastatud sertifikaat===

Jj: /* Sertifikaadi tühistamine */

2015-10-05T11:41:00Z

Sertifikaadi tühistamine

←Vanem redaktsioon		Redaktsioon: 5. oktoober 2015, kell 11:41
73. rida:		73. rida:
	$ openssl ca -gencrl -out "crl.pem" -config ca.conf		$ openssl ca -gencrl -out "crl.pem" -config ca.conf

	Mis tekitab crl.pem faili mida meil vaja. ~~Configuratsioon~~ ise võiks olla järgnev		Mis tekitab crl.pem faili mida meil vaja. Configuratsioonifail ca.conf ise võiks olla järgnev

	~~config~~

	[ ca ]		[ ca ]

Jj – 5. oktoober 2015, kell 11:40

2015-10-05T11:40:39Z

←Vanem redaktsioon		Redaktsioon: 5. oktoober 2015, kell 11:40
62. rida:		62. rida:

	$ openssl x509 -noout -text -in kasutaja.crt		$ openssl x509 -noout -text -in kasutaja.crt

			===Sertifikaadi tühistamine===

			Vaja on tühistada üks kasutajasertifikaat

			$ openssl ca -config ca.conf -revoke taotlused/kasutaja.crt

			Mis tekitab index.txt faili kirje (seal on näha R tähte õige rea ees, mis tähendab revoked)

			$ openssl ca -gencrl -out "crl.pem" -config ca.conf

			Mis tekitab crl.pem faili mida meil vaja. Configuratsioon ise võiks olla järgnev

			config

			[ ca ]
			default_ca = CA_default # The default ca section

			[ CA_default ]
			dir = ./ # top dir
			database = index.txt # index file.
			new_certs_dir = newcerts # new certs dir

			certificate = ca.crt # The CA cert
			private_key = ca.key # CA private key

			default_days = 1024 # how long to certify for
			default_crl_days= 30 # how long before next CRL
			default_md = md5 # md to use

			policy = policy_any # default policy
			email_in_dn = no # Don't add the email into cert DN

			name_opt = ca_default # Subject name display option
			cert_opt = ca_default # Certificate display option
			copy_extensions = none # Don't copy extensions from request

			[ policy_any ]
			countryName = supplied
			stateOrProvinceName = optional
			organizationName = optional
			organizationalUnitName = optional
			commonName = supplied
			emailAddress = optional

			Näiteks OpenVPNi puhul tuleb tekkinud ca.crl lisada configuratsiooni järgnevalt

			crl-verfiy crl.pem

	===Iseallkirjastatud sertifikaat===		===Iseallkirjastatud sertifikaat===