[[TableOfContents]] Afin de s'assurer la sécurité d'une communication sécurités, les participants d'une communication doivent pouvoir communiquer de façon sécurisée (chiffrée).[[BR]] Le principe d'une connexion SSL repose sur la communication avec un système de paires de clés publique/privé [[FootNote(Voir aussi WikiInformatique/ClésPgp)]].[[BR]] Dans le cadre du crans, il nous faut définir un grand nombre de certificats de sécurités (https, mail, ldap...). Pour simplifier la gestion et l'utilisation on créé tout d'abord un Certificat d'Autorité (CA) qui servira à signer tous les certificats générés. La connaissance du CA nous permet alors de faire confiance au certificat présenté s'il a été signé pas le CA. {i} Cela est indispensable pour des aplliquation telles que le LDAP. De plus pour les utilisateurs lambda (une fois le CA accepté) cela leur permet de plus avoir de warnings lors de l'utilisation des services de crans demandant du SSL. = Génération du certificat d'Autorité = La paire de clés associées à ce certificat particulier est utilisé pour certifier tous les autres certificats que les services du crans sont amenés à générer.[[BR]] On commence par creer une architecture de dossier : {{{ export $CA=/etc/ssl/CA_crans mkdir $CA $CA/certs $CA/crl $CA/newcerts $CA/private touch $CA/index.txt }}} On écrit le fichier de configuration /etc/ssl/CA_crans/openssl.cnf : {{{ ### Configuration du CA pour les signatures HOME = /etc/ssl RANDFILE = $ENV::HOME/.rnd #################################################################### [ ca ] default_ca = CA_crans #################################################################### [ CA_crans ] dir = /etc/ssl/CA_crans # Where everything is kept certs = $dir/certs # Where the issued certs are kept crl_dir = $dir/crl # Where the issued crl are kept database = $dir/index.txt # database index file. #unique_subject = no # Set to 'no' to allow creation of # several ctificates with same subject. new_certs_dir = $dir/newcerts # default place for new certs. certificate = $dir/cacert.pem # The CA certificate serial = $dir/serial # The current serial number #crlnumber = $dir/crlnumber # the current crl number # must be commented out to leave a V1 CRL crl = $dir/crl/crl.pem # The current CRL private_key = $dir/private/cakey.pem# The private key RANDFILE = $dir/private/.rand # private random number file x509_extensions = extensions # The extentions to add to the cert # Comment out the following two lines for the "traditional" # (and highly broken) format. name_opt = ca_default # Subject Name options cert_opt = ca_default # Certificate field options # Extensions to add to a CRL. Note: Netscape communicator chokes on V2 CRLs # so this is commented out by default to leave a V1 CRL. # crlnumber must also be commented out to leave a V1 CRL. # crl_extensions = crl_ext default_days = 365 # how long to certify for default_crl_days= 30 # how long before next CRL default_md = md5 # which md to use. preserve = no # keep passed DN ordering policy = policy #################################################################### # Contraintes pour permettre la signature [ policy ] countryName = match stateOrProvinceName = match organizationName = match organizationalUnitName = optional commonName = supplied emailAddress = optional #################################################################### # Extensions à ajouter [ extensions ] basicConstraints=CA:FALSE # PKIX recommendations harmless if included in all certificates. subjectKeyIdentifier=hash authorityKeyIdentifier=keyid,issuer:always nsCaRevocationUrl=http://www.crans.org/ca-crl.pem }}} Puis on demande à openssl de générer une paire de clés : {{{ openssl req -new -x509 -keyout $CA/private/cakey.pem -out $CA/cacert.pem -days 7300 }}} {i} Notre CA a une durée de validité de 20 ans. On évite ainsi d'avoir à recopier la clé publique sur tous les serveurs chaque année, et à obliger les adhérent à la mettre à jou à chaque fois. Le certificat à distribuer sera ''$CA/cacert.pem''. Il sera placé sur chaque serveur, il est de plus disponible sur [http://www.crans.org/cert_crans.crt] = Création d'une demande de certificats de sécurité SSL = == openssl == C'était la methode utilisée pour apache, les fichiers *.cnf se trouvent sur ''vert'' dans le dossier ''/etc/ssl/oldconfs'' Une fois qu'on a écrit le fichier de configuration service.cnf, on demande à openssl de créer une demande de certificat : {{{ openssl req -config service.cnf -new -nodes -keyout service.key -out service.req }}} Le premier fichier contient à la clé privée pour du certificat, le deuxième correspond à le demande de certificat. {i} Note : le certificat créé ne sera pas protégé par mot de passe, enlever le ''-nodes'' si on veut un certificat avec mot de passe. /!\ '''TRES IMPORTANT''' : Le Common Name associé à cette paire de clés doit être le nom complet du serveur ou du virtual host (www.crans.org par exemple) ou a défaut son IP. {i} Certains services peuvent avoir plusieurs noms associés à une même IP (virtualhost dans apache par exemple), pour ceux ci il faut générer un certificat avec un cn égal à la regexp qui va bien. Ce certificat devra également contenir un champ subjectAltName avec les enregistrements DNS correspondants. Exemple pour www.crans.org et perso.crans.org : cn = (www|perso).crans.org et il faut ajouter dans openssl.cnf les lignes suivantes : {{{ subjectAltName = @ALIASES [ALIASES] DNS.1 = www.crans.org DNS.2 = perso.crans.org }}} == JetDirect (l'imprimante) == Sur l'interface Web de l'imprimante, aller dans : ''Réseau'' / ''Autorisation'' / ''Certificats'' / ''Configurer'' / ''Créer la demande de certificat'' Rentrer les paramètres suivants : * nom commun : (138.231.144.17|laserjet.adm.crans.org) * organisation : CRANS * Unité d'organisation : * Ville / localité : Cachan * Département : France * Pays : FR Télécharger la demande de certificat, et copiez la sur vert dans /etc/ssl/laserjet.req = Signature d'une demande de certificat = openssl ca -config /etc/ssl/CA_crans/openssl.cnf -out service.pem -in service.req Le certificat à signer est celui de ''service.req'' et le certificat signé sera alors dans ''service.pem'' Il sera proposé de commiter ce certificat à dans la base. En cas d'acceptation le certificat signé sera également stoqué dans ''/etc/ssl/CA_crans/newcerts/xx.pem'' xx étant le numéro du certificat. Le commit permet ainsi de ranger nos certificats au même endroit. = Utilisation des certificats = /!\ Dans tous les cas les clefs privées ne doivent '''jamais''' être lisible par tous, penser à donner les bon droits lors de la configuration. == JetDirect (l'imprimante) == La première étape à faire est de mettre à jour le firware (même s'il est déja à jour). Sans cette opération elle ne veut pas du certificat. * télécharger le firmware [http://www.hp.com/go/wja_firmware] pour le modèle ''J7934A'' * sur l'interface web, aller dans ''Réseau'' ''Autres paramètres'' ''Mise à niv. du microlog'' * donner le fichier dld télécharger et attendre la mise à jour Après cette formalitée remplie, on peut aller dans ''Réseau'' / ''Autorisation'' / ''Certificats'' / ''Configurer'' / ''Installer le certificat'' et installer le fichier .pem donnée par le CA. == Apache == Ajouter les directives de configuration suivantes à ''httpd.conf'' : {{{ SSLCACertificateFile SSLCertificateFile }}} == LDAP == Il faut mettre les directives de configuration suivantes dans ''/etc/ldap/slapd.conf'' {{{ TLSCertificateFile TLSCertificateKeyFile TLSCACertificateFile }}} Sur le client il faut mettre dans ''/etc/ldap/lapd.conf'' : {{{ TLS_CACERT }}} == Pour le wifi == * À lire pour commencer : http://www.tldp.org/HOWTO/SSL-Certificates-HOWTO/x341.html = Certificats présents sur les machines du crans = /!\ Cette section est peut être obsolète Pour toutes nos machines les certificats sont rangés dans ''/etc/ssl''. Le répertoire ''certs'' contient le certificat proprement dit et le répertoire ''private'' les clefs. Le fichier du certificat et celui de sa clef ont le même nom. Le CA (clef publique) est stoquée dans ''/etc/ssl/certs/CAcrans.pem'', la partie privée est stoquée sur vert dans ''/etc/ssl/demoCA''. (!) Commande utile pour avoir les propriétés d'un certificat : {{{ openssl x509 -text -in }}} = Liens = * http://www.tldp.org/HOWTO/SSL-Certificates-HOWTO/ * http://www.hsc.fr/ressources/breves/ssl_virtualhosts.html.fr ---- ["CatégorieCrans/PageNonTerminée"]