Wenn Ihre Infrastruktur winzig ist, können viele Details zum Ausführen einer Zertifizierungsstelle (z. B. CRLs und dergleichen) wahrscheinlich ignoriert werden. Stattdessen müssen Sie sich nur um das Signieren von Zertifikaten kümmern.

Es gibt eine Vielzahl von Tools, die diesen Prozess für Sie verwalten. Ich habe sogar vor vielen Jahren einen geschrieben. Aber die, die ich empfehle, wenn Sie etwas wirklich Einfaches wollen, ist easy-rsa aus dem OpenVPN-Projekt. Es ist ein sehr dünner Wrapper um das OpenSSL-Befehlszeilentool. Wenn Sie eine Menge Zertifikate verwalten und sich tatsächlich mit Widerruf und anderen Dingen befassen möchten, benötigen Sie ein viel komplexeres und funktionsreicheres Dienstprogramm. Es gibt bereits mehr als genug Vorschläge. Stattdessen bleibe ich bei den Grundlagen dessen, was Sie erreichen möchten.

Aber hier ist das grundlegende Verfahren. Ich werde es mit OpenSSL erklären, aber jedes System wird es tun.

Beginnen Sie mit der Erstellung Ihrer "Stamm" -CA - es wird ein selbstsigniertes Zertifikat sein. Es gibt verschiedene Möglichkeiten, dies zu tun. Dies ist einer. Wir machen unser 10-Jahres-Zertifikat mit einem 2048-Bit-Schlüssel. Passen Sie die Zahlen entsprechend an. Sie haben erwähnt, dass Sie sich Sorgen um den Hashing-Algorithmus gemacht haben. Deshalb habe ich -sha256 hinzugefügt, um sicherzustellen, dass er mit etwas Akzeptablem signiert ist. Ich verschlüssele den Schlüssel mit AES-256, aber das ist optional. Sie werden aufgefordert, den Zertifikatsnamen und dergleichen auszufüllen. Diese Details sind für eine Root-Zertifizierungsstelle nicht besonders wichtig.

  # Erstellen Sie zuerst den Schlüssel (verwenden Sie 4096-Bit, wenn dies das ist, was Ihr Boot schwimmt) openssl genrsa -aes256 -out root.key 2048 # Verwenden Sie dann diesen Schlüssel, um ein selbstsigniertes Zertifikat zu generieren. -New -x509 -key root.key -out root.cer -days 3652 -sha256  

Wenn Sie den Schlüssel im ersten verschlüsselt haben Schritt, müssen Sie das Passwort angeben, um es in der zweiten zu verwenden. Überprüfen Sie Ihr generiertes Zertifikat, um sicherzustellen, dass unter "Grundlegende Einschränkungen" "CA: TRUE" angezeigt wird. Das ist wirklich das einzige wichtige Element, über das Sie sich Sorgen machen müssen:

  openssl x509 -text < root.cer  

Cool. OK, jetzt unterschreiben wir ein Zertifikat. Wir brauchen einen anderen Schlüssel und diesmal eine Anfrage. Sie werden erneut nach Ihrem Namen und Ihrer Adresse gefragt. Welche Felder Sie ausfüllen und was Sie angeben, liegt bei Ihnen und Ihrer Bewerbung. Das wichtigste Feld ist jedoch der "Common Name". Hier geben Sie Ihren Hostnamen oder Anmeldenamen an oder was auch immer dieses Zertifikat bestätigen wird.

  # Neue keyopenssl erstellen genrsa -aes256 -out client1.key 2048 # Verwenden Sie diesen Schlüssel, um eine requestopenssl-Anforderung zu generieren -new -key client1.key -out client1.req # Signieren Sie diese Anforderung zum Generieren a new certopenssl x509 -req -in client1.req -out client1.cer -CA root.cer -CAkey root.key -sha256 -CAcreateserial  

Beachten Sie, dass dadurch eine Datei namens root erstellt wird. srl, um unsere Seriennummern gerade zu halten. Das Flag -CAcreateserial weist openssl an, diese Datei zu erstellen, sodass Sie sie für die erste von Ihnen signierte Anforderung und dann nie wieder angeben. Und noch einmal, Sie können sehen, wo Sie das Argument -sha256 hinzufügen müssen.

Dieser Ansatz - alles manuell zu erledigen - ist meiner Meinung nach nicht die beste Idee. Wenn Sie einen umfangreichen Vorgang ausführen, benötigen Sie wahrscheinlich ein Tool, mit dem Sie alle Ihre Zertifikate im Auge behalten können.

Stattdessen wollte ich Ihnen hier zeigen, dass die gewünschte Ausgabe - die Zertifikate, die wie gewünscht signiert wurden - nicht von den von Ihnen verwendeten Tools abhängt, sondern von den Optionen, die Sie diesen zur Verfügung stellen Werkzeuge. Die meisten Tools können eine Vielzahl von Konfigurationen ausgeben, sowohl starke als auch schwache, und es liegt an Ihnen, die Zahlen anzugeben, die Sie für angemessen halten. Veraltete Standardeinstellungen sind selbstverständlich.

Wenn Sie wirklich eine Zertifizierungsstelle sein möchten, beachten Sie die Auswirkungen auf die Sicherheit.

1. Der private Schlüssel, der zum Generieren der Stammzertifizierungsstelle für Ihr Intranet verwendet wird, sollte buchstäblich in einem Safe gesperrt sein . Der Zugriff auf diesen Safe sollte physisch überwacht werden.
2. Die Verwendung einer selbstsignierten Stammzertifizierungsstelle zwingt Ihre Benutzer, nicht nur darauf zu vertrauen, dass Sie beim sicheren Schutz von Schlüsseln die erforderliche Sorgfalt walten lassen, sondern auch einen anfangs nicht vertrauenswürdigen Stamm einzufügen können in ihre Zertifikatkette aufgenommen werden.
3. Dies unterbricht auch die OSCP-Heftfunktionalität in Bezug auf die externe Überprüfung der Zertifikatkette, weshalb Identitätsverwaltungsdienste überhaupt vorhanden sind.
ol>

Nicht wenige würden die Gründe für die Verwaltung Ihrer eigenen Zertifizierungsstelle argumentieren, wie z. Es ist für ein Unternehmens-Intranet gedacht, in dem ein Teil unserer Desktop-Builds die Root-Funktion enthält, oder für eine kleine Anzahl von Benutzern.

Dies ist zwar nicht unbedingt falsch und bietet möglicherweise einige Vorteile Negieren Sie die Überprüfungskette, für die die zertifikatbasierte Identitätsverwaltung erstellt wurde.

Wenn Sie sich für die Implementierung Ihrer eigenen Root-CA entscheiden, stellen Sie einfach sicher, dass Sie dieselben Sicherheitspraktiken befolgen wie bei allen anderen Root-Ca-Anwendungen. Als Unternehmen möchten Sie als letztes, dass jemand den privaten Schlüssel, der für Ihre Root-CA verwendet wird, kompromittiert und damit beginnt, Zertifikate für Phishing-Kampagnen gegen Ihre Kunden zu signieren.

Es stehen unzählige Best Practices-Anleitungen zur Verfügung Das NIST (Nationales Institut für Standards und Technologie) ist eine kollaborative Gruppe, die sich mit verschiedenen Standards für Computersicherheitsthemen befasst.

Empfohlene Lektüre:
Auditing (PDF)
Disaster Recovery (PDF)
Public-Key-Systeme (PDF)
Sans Institute in Bezug auf kleinere PKI-Bereitstellungen


Ok, ich sehe, Sie haben Ihre Frage genauer aktualisiert.

Zwei Dokumente zum Konfigurieren Ihrer openssl.cnf-Datei für CA-Besonderheiten:

https: / /www.openssl.org/docs/apps/ca.html

https://www.openssl.org/docs/apps/config.html

Mir ist klar, dass dies möglicherweise nicht die gewünschte Antwort ist, sondern die Umgebung und die Anforderungen aller Wenn Sie anders sind, müssen Sie einen Bereich für Ihre CA-Implementierung für eine gute Beispielkonfiguration definieren.

Es gibt keine Möglichkeit, dies einfach zu tun. Es gibt einige Tools, die Ihnen den Einstieg erleichtern können.

like:

Abgesehen von möglicherweise EJBCA ist keine von ihnen eine vollständige PKI, aber die Einrichtung ist nicht trivial.

• XCA ist klein Frontend-Tool, um eine grafische Oberfläche zum Generieren, Signieren und Widerrufen von Zertifikaten zu erhalten.
• EJBCA oder Enterprise Java Beans Certificate Authority ist eine JBOSS / Jetty-Webanwendung, die die gesamte PKI-Infrastruktur für ein Unternehmen bereitstellen kann.
• openssl ist das grundlegende Befehlszeilentool. Es kann alle Offline-Bits einer Zertifizierungsstelle ausführen, jedoch keine Überprüfung (sofort einsatzbereit). Sie können damit Ihre eigenen OCSP-Verifizierer erstellen, müssen jedoch den Online-Code dafür selbst erstellen.

Wenn Sie nur nach der richtigen openssl-Konfiguration suchen. XCA kann Ihnen bei der Generierung helfen. (Es verfügt über eine OpenSL-Konfigurations-Exportfunktion

Einige gute Hintergrundinformationen finden Sie in meiner Präsentation Erstellen und Betreiben Ihres eigenen Zertifikatsverwaltungszentrums für Mittelmäßigkeit . Der Kern der Präsentation ist, dass das, was am meisten benötigt wird, nicht eine Liste der auszuführenden Befehle ist, sondern ein tiefes Verständnis aller verschiedenen Steuerelemente, die für den Betrieb einer kommerziellen Zertifizierungsstelle erforderlich sind, wie sie miteinander interagieren und welche genauen Auswirkungen das Entfernen hat einer von ihnen, die kumulative Auswirkung des Entfernens mehrerer von ihnen und die mildernden Kontrollen, die erforderlich sind, um die verringerte Sicherheit zu kompensieren.

Aus diesem Grund gibt es keine "kanonische Antwort zum Einrichten einer einfachen Zertifizierungsstelle". Entweder gehen Sie den gesamten ISO-Weg, beginnend mit einer Schlüsselsignaturpartei, doppelten Stammzertifikaten mit Luftspalt und Tresor, mehreren Zwischenunterzeichnern, Widerrufsservern usw. usw., oder Sie müssen einen Kompromiss auf der Grundlage des einzigartigen Kosten-Nutzen-Verhältnisses entwickeln Risikoprofil, das das Unternehmen zu akzeptieren bereit ist. Jeder, der über ausreichende Fähigkeiten und Erfahrung verfügt, um diese Bewertung per Definition vorzunehmen, benötigt keinen Spickzettel. Sie können die richtige Befehlssyntax analysieren, basierend auf einem tiefen Verständnis der auszuführenden Geschäftsfunktion und der Sicherheitsprimitive, die zur Implementierung dieser Anforderung verwendet werden.

In der Präsentation finden sich Geschichten aus echten Engagements von Geschäften, die diesen Weg gegangen sind und es schrecklich falsch verstanden haben. In einigen Fällen ergab meine Einschätzung, dass absolut nichts, was ich mit Ihrer Middleware-Sicherheit tun kann, möglicherweise die inhärenten Schwächen der internen Zertifizierungsstelle überwinden kann. Jeder in den USA sollte erkennen, dass er wahrscheinlich Dienstleistungen von mindestens einem der Anbieter kauft, auf die sich die Präsentation bezieht. Dies sind Banken, Kreditgenossenschaften, Krankenversicherer, Einzelhändler und mehr.

Damit die Empfehlungen "korrekt" sind, muss der Antwortende wichtige Annahmen über Ihre akzeptablen Risikoprofile treffen und Sie müssen wichtige Annahmen darüber treffen, inwieweit Ihre und ihre Risikovorstellungen aufeinander abgestimmt und synchron sind Sehr Vorschlag ist auf den ersten Blick riskant. In den meisten Fällen hat die Beurteilung der Eignung der angebotenen Tutorials mehr mit der Präsentation zu tun als mit dem effektiven Sicherheitsniveau, das sich aus der Einhaltung ihrer Verfahren ergibt. Wenn es gut organisiert und klar artikuliert ist, ist dies VIEL wichtiger als ob es effektiv ist. Wir wählen den kanonischen Spickzettel aus, der für uns am besten aussieht.

Aus diesen Gründen glaube ich nicht, dass ein glaubwürdiger Experte "korrektes und aktuelles openssl" liefern würde. cnf -Dateien ", sondern bieten bestenfalls einen Bewertungsprozess, um die Anforderungen und das akzeptable Risiko vollständiger zu bewerten. Da Sie das Geschäft auf das Ergebnis setzen, würde dies kein glaubwürdiger Experte außerhalb des Schutzes eines Vertrags tun. Alle Empfehlungen, die Sie erhalten, müssen fast per Definition von einem in glaubwürdigen Experten stammen. Viel Glück.

Befolgen Sie diese Anweisungen, um eine Windows-basierte Zertifizierungsstelle zu konfigurieren. Beachten Sie beim Ausstellen von Client-Zertifikaten, dass SHA2-Hashes unter XP nicht unterstützt werden.

Die einfache Antwort lautet:

1. AD installieren
2. Installieren Sie eine Unternehmenszertifizierungsstelle auf dem Domänencontroller.
3. Bearbeiten Sie die Zertifikatvorlage, um Endbenutzerzertifikate auszustellen (legen Sie die Berechtigung für Benutzer fest, sich selbst zu registrieren oder eine Webseite aufzurufen)
4. Stellen Sie den öffentlichen Schlüssel des Stammzertifikats auf allen Servern bereit, die Benutzer validieren.
5. Wenn sich die Benutzer in AD befinden, aktivieren Sie die automatische Registrierung mithilfe des Gruppenrichtlinienobjekts