Erstellen des "private key"

Zunächst ist ein "Private Key" zu generieren. Das SSL-Zertifikat ist nur zusammen mit genau diesem Key gültig. Verliert man den private key, funktioniert auch das Zertifikat nicht mehr. Der private key kann auch nicht aus dem Zertifikat generiert oder sonstwie wiederhergestellt werden. Man sollte also an sicherer Stelle ein Backup des private keys aufbewahren.

Man kann den Key auch noch zusätzlich mit einem Passwort schützen, was aber dazu führt, dass man den Webserver nicht ohne Eingabe dieses Passwortes im SSL-Modus starten kann.

Falls man ein offizielles SSL-Zertifikat hat, der private key nicht mit einem Passwort verschlüsselt und der Server gehackt wird, muss man das Zertifikat bei der Zertifizierungsstelle zurückziehen (revoke). Andernfalls könnte der Hacker das SSL-Zertifikat für eigene Zwecke missbrauchen.

Die Schlüssellänge sollte 2048 oder 4096 Bit betragen (früher waren nur 1024 Bit empfohlen).

Ist der Apache Webserver auf einem Windows System installiert, dann müssen alle folgenden Befehle von der Windows-Eingabeaufforderung (cmd) ausgeführt werden. Das openssl-Executable befindet sich i.d.R. im Apache-Verzeichnis. Ggf. muss man den absoluten Pfadnamen angeben.

$ openssl genrsa -out server.key 4096
Generating RSA private key, 4096 bit long modulus
........................................................+++
..+++
e is 65537 (0x10001)
$

Alternativ hier der Befehl für Verschlüsselung des private keys mit einem Passwort:

$ openssl genrsa -des3 -out server.key 4096
Generating RSA private key, 4096 bit long modulus
..............................................................................++++++
................................................++++++
e is 65537 (0x10001)
Enter pass phrase for server.key: ********
Verifying - Enter pass phrase for server.key: ********
$

Certificate Signing Request (CSR) anlegen

Der CSR enthält die Firmeninformationen, Domainname, Email-Adresse usw. Diese Datei sendet man dann an die Zertifizierungsstelle und erhält das Zertifikat zurück. Alternativ kann man sich aus dem CSR auch ein self-signed certificate erstellen.

Wichtig ist die Angabe der Verschlüsselung - hier muss SHA256 verwendet werden. Der Default von SHA1 ist unsicher.

Der gewünschte Domainname wird im Feld "Common Name (eg, YOUR name)" angegeben.

Die Angabe des Bundesstaates - hier NRW - ist für die Erstellung eines offiziellen Zertifikats meistens erforderlich; nicht benötigte Felder kann man durch Eingabe eines Punktes "." oder durch RETURN überspringen

$ openssl req -new -key server.key -out server.csr -sha256
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:NRW
Locality Name (eg, city) []:Brueggen
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Arne Schirmacher
Organizational Unit Name (eg, section) []:.
Common Name (eg, YOUR name) []:www.schirmacher.de
Email Address []:arne@schirmacher.de

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:.
An optional company name []:.
$

Hinweis: Unter Windows kann es erforderlich sein, die Konfigurationsdatei explizit mit -config <Pfad-auf-openssl.cnf> anzugeben.

CSR überprüfen

Mit folgendem Befehl stellt man fest, ob alle Angaben im CSR korrekt sind:

$ openssl req -noout -text -in server.csr
Certificate Request:
    Data:
        Version: 0 (0x0)
        Subject: C=DE, ST=NRW, L=Brueggen, O=Arne Schirmacher, CN=www.schirmacher.de/emailAddress=arne@schirmacher.de
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (4096 bit)
                Modulus:
                    06:d5:15:ed:f8:9a:b7:cf:8b:79:4f:fc:8d:02:0d:
                    1a:d3:26:36:d5:a8:49:07:16:62:6f:1c:da:00:73:
                    ...
                Exponent: 65537 (0x10001)
        Attributes:
            a0:00
    Signature Algorithm: sha256WithRSAEncryption
         47:7a:80:2c:bc:8a:e0:36:19:73:6e:cb:6e:0f:07:b6:74:df:
         4e:57:72:c6:0d:58:f8:73:6e:56:45:b4:fa:9b:19:77:d3:81:
         ...
$

Alternativ kann man den CSR auch z.B. online überprüfen lassen. Einfach die CSR Datei mit Copy & Paste in das Formular übertragen.

Self-signed Certificate erstellen

Für Testzwecke kann man sich auch das SSL-Zertifikat selber erstellen. Der einzige Unterschied zu einem offiziellen Zertifikat ist, dass der Webbrowser feststellt, dass es nicht von einer offiziellen Zertifizierungsstelle erstellt wurde. Alle Webbrowser zeigen eine Warnung an, wenn ein solches selbsterstelltes Zertifikat verwendet wird. Die eigentliche Verschlüsselung hingegen ist voll funktionsfähig, d.h. die Zugriffe auf eine mit einem selbsterstellten Zertifikat geschützte Website können ebensowenig entschlüsselt werden wie die Zugriffe auf eine Website mit einem offiziellen SSL-Zertifikat.

Solche selbsterstellten Zertifikate sollten jedoch keinesfalls für öffentlich zugängliche Webserver verwendet werden, und zwar aus folgendem Grund: Wenn viele SSL-Webseiten selbsterstellte Zertifikate verwenden, dann wird der durchschnittliche Internet-Nutzer der Webbrowser-Warnung keine Bedeutung mehr beimessen, und es tritt ein Gewöhnungseffekt ein.

Mit folgendem Befehl wird ein self-signed certificate erstellt, das für 365 Tage gültig ist:

$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
Signature ok
subject=/C=DE/ST=NRW/L=Brueggen/O=Arne Schirmacher/CN=www.schirmacher.de/emailAddress=arne@schirmacher.de
Getting Private key
$

Offizielles SSL-Zertifikat (CRT) bestellen

Um ein "offizielles" SSL-Zertifikat zu erhalten, muss der CSR an die Zertifizierungsstelle übermittelt werden, z.B. durch Ausfüllen eines Online-Bestellformulars. Man erhält dann im allgemeinen einen Downloadlink oder eine Email mit Attachments und eine Rechnung. Nach Prüfung aller Unterlagen ist das Zertifikat erstellt und kann installiert werden.

Bei der Bestellung von SSL Zertifikaten muss man beachten, dass nicht alle Zertifikate gleich sind. Die billigen Zertifikate besagen im Grunde nicht mehr, als dass der Aussteller des Zertifikats das Zertifikat per email an den Inhaber der Domain sendet (admin@domainname.com, hostmaster@domainname.com usw.), wer auch immer das ist. Bei den teureren Zertifikaten wird schon ernsthafter geprüft (Handelsregisterauszug, Personalausweis, telefonischer Rückruf usw.), ob der Inhaber tatsächlich derjenige ist, der er vorgibt zu sein.

Ein weiterer Gesichtspunkt ist die Kompatibilität zu verschiedenen Browsern. Ein "alter" Browser erkennt die Zertifikate eines "neuen" Ausstellers nicht, was für den Endanwender im Grunde dasselbe ist wie ein selbsterstelltes oder gar kein Zertifikat. Dies ist ein Problem mit vielen Billiganbietern. Es handelt sich hierbei zwar um offizielle Zertifikate, die aber nicht mit allen Browsern ohne Fehlermeldung funktionieren. Da die alten Browser jedoch praktisch ausgestorben sind, ist dies im Grunde nicht mehr relevant

Ein billiger und guter Anbieter ist die PSW Group (https://www.psw.net/ssl-zertifikate.cfm), die zahlreiche Zertifikate verschiedener Hersteller liefert. Sollte es mal Probleme geben, bekommt man auch umgehend kompetente Beratung - ein wichtiger Pluspunkt, wenn man ein Zertifikat für den kommerziellen Einsatz benötigt.

Kostenlose SSL-Zertifikate

Die Firma StartCom Ltd. (https://www.startssl.com) liefert kostenlose Zertifikate, die 1 Jahr gültig sind. Der Bestellvorgang ist relativ umständlich, es gibt aber ein schönes Tutorial von Eric Mill: https://konklone.com/post/switch-to-https-now-for-free . Das Zertifikat an sich funktioniert einwandfrei, diese Website verwendet auch eins.

Einige Anbieter stellen ebenfalls kostenlose Zertifikate aus, die aber nur 30 oder 90 Tage gültig sind. Ideal für Testzwecke.

Autorisierung des Zertifikats

Ein domainvalidiertes Zertifikat wird bestätigt, indem die Autorisierungsstelle eine Email an eine Email-Adresse sendet, die in der Domain-Registrierung hinterlegt ist (z.B. hostmaster@domainname.de). Der Empfänger muss dann durch einen Klick auf einen Link das Zertifikat genehmigen.

Die Bestätigung durch einen per Email versendeten Link kann ein Problem werden, wenn es sich um eine größere Organisation handelt. Dazu muss man ja erstmal wissen, wo genau diese Email landet.

Bestellt man bei der PSW Group das etwas teurere "Comodo Silber" Zertifikat, kann man das Zertifikat auch selber bestätigen, muss sich aber vertraglich gegenüber der Autorisierungsstelle verpflichten, seinerseits für den korrekten Einsatz des Zertifikats zu sorgen.

Alternativ kann man auch das Hash Key Verfahren einsetzen (ist z.B. bei dem PositiveSSL Zertifikat möglich). Hierbei versendet die Autorisierungsstelle an den Auftraggeber eine kleine Textdatei mit einer Prüfsumme, der diese Datei dann auf genau dem Webserver ablegen muss, für den das Zertifikat ausgestellt werden soll. Durch Zugriff auf die entsprechende URL prüft dann die Autorisierungsstelle, dass der Auftraggeber Admin-Zugang zu dem Webserver hat. Ist das der Fall, wird wohl alles seine Richtigkeit haben.

Installation des SSL-Zertifikats

Das SSL-Zertifikat wird installiert, indem im Webserver der private Key, das von der Zertifizierungsstelle erstellte Zertifikat und das sogenannte Intermediate Zertifikat  installiert wird. Letzteres wird gelegentlich vergessen, was dazu führt, dass das Zertifikat von den meisten Browsern, aber nicht von allen erkannt wird.

Im Laufe der Zeit hat sich herausgestellt, dass auch eine SSL-Implementierung fehlerhaft oder angreifbar sein kann. Es ist daher ratsam, den Apache Webserver so zu konfigurieren, dass nur die sicheren SSL-Verfahren eingesetzt werden. Die Standard apache2 Konfiguration ist in dieser Hinsicht jedoch nicht optimal.

Hier ist eine bessere SSL Konfiguration:

<IfModule mod_ssl.c>
<VirtualHost *:443>

  #   ...
  #   diverse Standard Anweisungen ausgelassen
 
  #   SSL Engine Switch:
  #   Enable/Disable SSL for this virtual host.
  SSLEngine on  
 
  # die folgenden Anweisungen aktivieren die zur Zeit (Anfang 2015) sicheren SSL Funktionen
  # von Zeit zu Zeit prüfen und anpassen.
  SSLHonorCipherOrder     On
  SSLCipherSuite          HIGH:MEDIUM:!aNULL:!MD5:!RC4

  # Pfade auf SSL Zertifikat, Key und Zwischenzertifikat
 
  SSLCertificateFile      "/etc/apache2/ssl/www_schirmacher_de.crt"
  SSLCertificateKeyFile   "/etc/apache2/ssl/www_schirmacher_de.key"
  SSLCertificateChainFile "/etc/apache2/ssl/www_schirmacher_de.cabundle"
  SSLCACertificatePath    "/etc/ssl/certs"

  #   ...
  #   diverse Default Anweisungen ausgelassen

</VirtualHost>
</IfModule> 

SSL Website prüfen

Nach der Installation sollte man die Webseite von einem der einschlägigen Prüfdienste, z.B. Qualys SSL Labs überprüfen lassen. So lassen sich Fehler wie fehlende Zwischenzertifikate, unsichere Verschlüsselungen und dergleichen herausfinden.

Hier das Ergebnis der Überprüfung dieser Website: https://www.ssllabs.com/ssltest/analyze.html?d=www.schirmacher.de

Related articles

• Page:
  Configure Apache Tomcat SSL
• Page:
  Apache SSL Zertifikat erstellen
• Page:
  chroot Umgebung für Apache und Tomcat
• Page:
  Redirect Page with PHP and mod_rewrite