Attachment 3580 Details for Bug 23879

Die umzuwandelnde Dokumentation

ssl-zertifikate.tex (text/x-tex), 14.52 KB, created by Moritz Muehlenhoff on 2011-09-30 08:48 CEST

(hide)

Description:

Filename:

MIME Type:

Creator: Moritz Muehlenhoff

Created: 2011-09-30 08:48 CEST

Size: 14.52 KB

patch

obsolete

>
>\section{Einrichten der Root-CA}
>Die Root-CA wird bei der Installation eines DomÃ¤nencontroller Master automatisch
>eingerichtet. DafÃ¼r werden die Parameter \ucsName{ssl\_country},
>\ucsName{ssl\_state}, \ucsName{ssl\_locality}, \ucsName{ssl\_organization},
>\ucsName{ssl\_organizationalunit} und \ucsName{ssl\_email} im
>Installationsprofil benÃ¶tigt. Bei der interaktiven Installation eines DomÃ¤nencontroller
>Master erscheinen entsprechende Eingabefenster.
>
>Die Werte aus dem Installationsprofil werden wÃ¤hrend der Installation in \ucsUCR{"=Variablen} Ã¼bernommen. Bei den
>Variablennamen wird dabei der Unterstrich ''\_'' aus den Profilvariablen durch einen
>SchrÃ¤gstrich ''/'' ersetzt. Aus \ucsName{ssl\_email} wird z.B.
>\ucsName{ssl/email}.
>
>Der Common Name der UCS"=Root"=CA wird automatisch auf \ucsName{Univention
>Corporate Server Root CA} gesetzt und in der \ucsUCR{"=Variable}
>\ucsName{ssl/common} gespeichert.
>
>\ucsExclamation\ucsAttention{Wenn diesen Variablen nach der Installation
>andere Werte zugewiesen und anschlieÃend neue Zertifikate erzeugt werden,
>so ist nicht sichergestellt, dass diese Zertifikate mit dem Root"=Zertifikat
>Ã¼berprÃ¼ft werden kÃ¶nnen.}
>
>\section{Zertifikatsverwaltung mit univention-certificate}
>Zur Verwaltung der Zertifikate steht unter UCS der Befehl
>\ucsCommand{univention-certificate} zur VerfÃ¼gung, damit kÃ¶nnen neue
>Zertifikate beispielsweise angelegt oder zurÃ¼ckgezogen werden.
>
>\subsection{Anlegen von Zertifikaten}
>StandardmÃ¤Ãig werden fÃ¼r alle Rechner einer UCS"=DomÃ¤ne mit Ausnahme der Thin
>Clients und der Windows"=Rechner automatisch Zertifikate erzeugt. Beim DomÃ¤nencontroller
>Master geschieht dies bei der Installation, bei allen anderen Rechnern beim
>DomÃ¤nenbeitritt. FÃ¼r UCS-Server- und Clientsysteme ist es im Normalfall also
>nicht notwendig, Zertifikate mit \ucsCommand{univention-certificate} zu
>erzeugen.
>
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate new -name <gewÃ¼nschter Name des \
>Zertifikats> -days <GÃ¼ltigkeitsdauer in Tagen>
>\end{ucsConsoleInput}
>
>kann ein neues Zertifikat erzeugt werden. Als Name wird Ã¼blicherweise der FQDN des
>zu zertifizierenden Rechners eingesetzt. Wenn keine GÃ¼ltigkeitsdauer angeben
>wird, so wird der Vorgabewert von 730 Tagen verwendet. Der Vorgabewert kann
>durch Setzen der \ucsUCR{"=Variable}
>\ucsCommand{\ucsBCindex{ssl/default/days}} geÃ¤ndert werden.
>
>FÃ¼r jedes Zertifikat wird im Verzeichnis \ucsURL{/etc/univention/ssl/} ein
>Unterverzeichnis mit dem Namen des Zertifikats angelegt, das folgende Dateien
>enthÃ¤lt:
>
>\begin{ucsConsoleInput}
>ls -la /etc/univention/ssl/<Unterverzeichnis>/
>\end{ucsConsoleInput}
>\begin{ucsConfigFile}
>total 28
>drwxr-x---   2 root   DC Backup Hosts   4096 Apr  1 22:05 .
>drwxr-xr-x   9 root   DC Backup Hosts   4096 Apr  1 22:05 ..
>-rw-r-x---   1 root   DC Backup Hosts   4422 Apr  1 22:05 cert.pem
>-rw-r-x---   1 root   DC Backup Hosts   3297 Apr  1 22:05 openssl.cnf
>-rw-r-x---   1 root   DC Backup Hosts    891 Apr  1 22:05 private.key
>-rw-r-x---   1 root   DC Backup Hosts    838 Apr  1 22:05 req.pem
>\end{ucsConfigFile}
>
>Die Datei \ucsURL{cert.pem} stellt das eigentliche Zertifikat dar. In
>\ucsURL{openssl.cnf} ist die Konfiguration von OpenSSL zum Zeitpunkt der
>Zertifikat"=Erstellung festgehalten. Die Datei \ucsURL{private.key} enthÃ¤lt den
>privaten SchlÃ¼ssel zu dem Zertifikat. In \ucsURL{req.pem} ist der
>ursprÃ¼ngliche Client"=Request, mit dem das Zertifikat erstellt wurde,
>dokumentiert.
>
>Im Verzeichnis \ucsURL{/etc/univention/ssl/ucsCA/certs/} wird eine Kopie des
>Zertifikats mit Seriennummer als Dateiname gespeichert und ein Link auf die
>Kopie angelegt.
>
>AuÃerdem wird das Zertifikat in der Datei
>\ucsURL{/etc/univention/ssl/ucsCA/index.txt} vermerkt und die Seriennummer in
>\ucsURL{/etc/univention/ssl/ucsCA/serial} wird erhÃ¶ht.
>
>
>\subsection{Signieren von Zertifikaten}
>Die Zertifikate werden beim Anlegen automatisch von der CA signiert.
>Die Umwandlung der UCS"=Root"=CA in eine Sub-CA und die Signierung des
>Zertifikats durch eine Ã¼bergeordnete CA wird in
>Kapitel~\ref{ssl-zertifikate:zertifizieren_der_ucs-ca} beschrieben.
>
>In Kapitel \ref{ssl-zertifikate:signieren_fremder_requests} wird die
>Signierung von Requests, die auf anderen Rechnern erstellt wurden, nÃ¤her
>erlÃ¤utert.
>
>\subsection{Erneuern des UCS"=Root"=Zertifikats}
>Das UCS"=Root"=Zertifikat sowie die Rechner"=Zertifikate kÃ¶nnen nur auf dem
>DomÃ¤nencontroller Master neu generiert werden.
>
>\begin{enumerate}
>\item ZunÃ¤chst sollte eine Sicherheitskopie von \ucsURL{/etc/univention/ssl}
>und seinen Unterverzeichnissen angelegt werden, z.B. mit
>\begin{ucsConsoleInput}
>cp -a /etc/univention/ssl /etc/univention/ssl_$(date +"%d%m%Y")
>\end{ucsConsoleInput}
>
>\item Nach der Neuerzeugung des UCS"=Root"=Zertifikats mÃ¼ssen alle
>Rechnerzertifikate der Clients erneuert
>und auf die entsprechenden Rechner kopiert werden.
>Es ist daher sinnvoll, wie in
>Abschnitt~\ref{ssl-zertifikate:auflisten_vorhandener_zertifikate}
>beschrieben, sich die Liste aller ausgestellten Zertifikate ausgeben zu
>lassen und ggf. auszudrucken.
>
>\item Ein neues Root"=Zertifikat mit einem GÃ¼ltigkeitszeitraum von 1000 Tagen
>wird durch
>\begin{ucsConsoleInput}
>cd /etc/univention/ssl/ucsCA
>openssl x509 -in CAcert.pem -out NewCAcert.pem \
>   -passin file:/etc/univention/ssl/password \
>   -days 1000 -signkey private/CAkey.pem
>\end{ucsConsoleInput}
>erzeugt (hier wurde die relative lange Befehlszeile des openssl"=Aufrufs der
>Lesbarkeit halber durch Backslash"=Zeichen auf mehrere Zeilen umgebrochen).
>Dieses kann dann durch den Befehl
>\begin{ucsConsoleInput}
>mv NewCAcert.pem CAcert.pem
>\end{ucsConsoleInput}
>an die Stelle des alten UCS"=Root"=Zertifikats verschoben werden.
>
>\item Neue Rechnerzertifikate kÃ¶nnen wie folgt erstellt werden
>\begin{ucsConsoleInput}
>eval $(univention-config-registry shell)
>cd /etc/univention/ssl
>for i in *.$domainname; do
>   univention-certificate renew -name $i -days 1000;
>done
>\end{ucsConsoleInput}
>
>\item Die neuen Rechnerzertifikate mÃ¼ssen dann auf die jeweiligen Rechnersysteme kopiert
>werden (hier am Beispielrechner ucs-slave):
>\begin{ucsConsoleInput}
>eval $(univention-config-registry shell)
>cd /etc/univention/ssl/
>scp ucsCA/CAcert.pem root@ucs-slave:/etc/univention/ssl/ucsCA/
>rsync -av ucs-slave.$domainname root@ucs-slave:/etc/univention/ssl/
>\end{ucsConsoleInput}
>Dieser Schritt ist auf DomÃ¤nencontroller=Backup"=Systemen nicht erforderlich, da dies wie
>oben beschrieben automatisch regelmÃ¤Ãig per cron erfolgt.
>
>\item Auf Rechnern, auf denen der Cyrus"=Mailserver lÃ¤uft, sind zusÃ¤tzlich die Dateien
>\ucsURL{cert.pem} und \ucsURL{private.key} nach \ucsURL{/var/lib/cyrus/} zu kopieren:
>\begin{ucsConsoleInput}
>cp /etc/univention/ssl/$(hostname -f)/cert.pem /var/lib/cyrus
>cp /etc/univention/ssl/$(hostname -f)/private.key /var/lib/cyrus/
>\end{ucsConsoleInput}
>
>\item Alle Dienste, die SSL"=VerschlÃ¼sselung benutzen, mÃ¼ssen neu gestartet werden.
>Alternativ kann auch ein Neustart des Systems durchgefÃ¼hrt werden.
>\end{enumerate}
>
>\subsection{Erneuern von Zertifikaten}
>\label{ssl-zertifikate:Erneuern-von-Rechnerzertifikaten}
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate renew -name <Name des Zertifikats> \
>-days <GÃ¼ltigkeitsdauer in Tagen>
>\end{ucsConsoleInput}
>
>kann ein einzelnes Zertifikat erneuert werden. Die GÃ¼ltigkeitsdauer wird ab dem
>aktuellen Datum gerechnet, nicht ab dem bisherigen Ablaufdatum des
>Zertifikats. Wenn keine GÃ¼ltigkeitsdauer angeben wird, so wird der Vorgabewert
>von 730 Tagen verwendet. Der Name des Zertifikats ist so anzugeben, wie er in
>der Liste der vorhandenen Zertifikate (siehe
>Kapitel~\ref{ssl-zertifikate:auflisten_vorhandener_zertifikate}) erscheint. 
>
>
>\subsection{ZurÃ¼ckrufen von Zertifikaten}
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate revoke -name <Name des Zertifikats>
>\end{ucsConsoleInput}
>
>wird ein Zertifikat zurÃ¼ckgerufen, d.h. es bleibt gespeichert, ist aber nicht
>mehr gÃ¼ltig. Wenn ein neues Zertifikat mit demselben Namen erzeugt wird, wird
>das Verzeichnis des alten Zertifikats in \ucsURL{/etc/univention/ssl} allerdings
>Ã¼berschrieben. Nur die Datei \ucsURL{/etc/univention/ssl/ucsCA/certs/<Nummer
>des Zertifikats>.pem} bleibt erhalten.
>
>
>\subsection{Ausgeben von Zertifikat"=Informationen}
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate dump -name <Name des Zertifikats>
>\end{ucsConsoleInput}
>
>werden die Informationen, die in einem Zertifikat (also in der Datei
>\ucsURL{/etc/univention/ssl/<Zertifikat-Unterverzeichnis>/cert.pem})
>gespeichert sind, ausgegeben.
>
>\ucsAttention{Die Ausgabe des oben angegebenen Befehls enthÃ¤lt unter anderem
>die folgenden Zeilen. Sie geben lediglich die GÃ¼ltigkeitsdauer an und sagen
>nichts darÃ¼ber aus, ob das Zertifikat tatsÃ¤chlich gÃ¼ltig ist. Die GÃ¼ltigkeit
>ist, wie in Kapitel~\ref{ssl-zertifikate:Ã¼berprÃ¼fen_des-Zertifikat-status}
>beschrieben, zu prÃ¼fen.} 
>
>\begin{ucsConfigFile}
>Validity
>Not Before: <Datum>
>Not After: <Datum>
>\end{ucsConfigFile}
>
>
>\subsection{ÃberprÃ¼fen des Zertifikat"=Status}
>\label{ssl-zertifikate:Ã¼berprÃ¼fen_des-Zertifikat-status}
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate check -name <Name des Zertifikats>
>\end{ucsConsoleInput}
>
>wird geprÃ¼ft, ob das angegebene Zertifikat gÃ¼ltig oder ungÃ¼ltig (also
>zurÃ¼ckgerufen oder abgelaufen) ist.
>
>
>\subsection{Auflisten vorhandener Zertifikate}
>\label{ssl-zertifikate:auflisten_vorhandener_zertifikate}
>Mit dem Befehl
>
>\begin{ucsConsoleInput}
>univention-certificate list
>\end{ucsConsoleInput}
>
>wird eine Liste aller vorhandenen, gÃ¼ltigen Zertifikate ausgegeben.
>
>
>\section{Zertifizieren der UCS-CA durch eine Ã¼bergeordnete CA}
>\label{ssl-zertifikate:zertifizieren_der_ucs-ca}
>Die in UCS integrierte CA kann durch eine andere CA zertifiziert werden.
>Dadurch wird die UCS-CA, die standardmÃ¤Ãig eine Root-CA ist, in eine Sub-CA
>umgewandelt.
>
>Dabei kann folgendermaÃen vorgegangen werden:
>\begin{enumerate}
>\item ZunÃ¤chst sollte eine Sicherheitskopie von \ucsURL{/etc/univention/ssl} und
>seinen Unterverzeichnissen angelegt werden.
>
>\item Nach der Installation des DomÃ¤nencontroller Master liegt die
>  Signierungsanfrage (Request) unter
>\ucsURL{/etc/univention/ssl/ucsCA/CAreq.pem}. Diese Anfrage muss mit der
>Ã¼bergeordneten CA unterschrieben werden.  Durch die Signatur wird aus der
>Anfrage ein Zertifikat.
>
>\item Falls das UCS"=Zertifikat und das Zertifikat der Ã¼bergeordneten CA nicht
>im PEM"=Format vorliegen, so muss dies umgewandelt werden. Im folgenden
>Beispiel wird ein Zertifikat im DER-Format umgewandelt:
>
>\begin{ucsConsoleInput}
>openssl x509 -inform der -outform pem -in MpublicCA.der \
>-out MPublicCA.pem
>\end{ucsConsoleInput}
>
>\item Das UCS"=Zertifikat muss an zwei Stellen gespeichert werden
>(\ucsURL{/etc/univention/ssl/ucsCA/CAcert.pem} und eine Kopie in
>\ucsURL{/etc/univention/ssl/ucsCA/certs/00.pem}):
>
>\begin{ucsConsoleInput}
>cd /etc/univention/ssl
>cp <Pfad>/CAcert.pem ucsCA/CAcert.pem
>cp ucsCA/CAcert.pem ucsCA/newcerts/00.pem
>source /usr/share/univention-ssl/make-certificates.sh
>move_cert ucsCA/newcerts/00.pem
>\end{ucsConsoleInput}
>
>Der letzte Befehl verschiebt das Zertifikat aus dem Verzeichnis
>\ucsURL{/etc/univention/ssl/ucsCA/newcerts/} in das Verzeichnis
>\ucsURL{/etc/univention/ssl/ucsCA/certs/} und legt dort einen Link auf das
>Zertifikat an.
>
>\item Das Zertifikat kann nun auf dem Webserver abgelegt werden:
>
>\begin{ucsConsoleInput}
>cd /etc/univention/ssl
>openssl x509 -in ucsCA/CAcert.pem -out \
>/var/www/ucs-root-ca.crt
>\end{ucsConsoleInput}
>
>\item Das CA"=Zertifikat der Ã¼bergeordneten CA muss ebenfalls auf dem DomÃ¤nencontroller Master
>gespeichert werden:
>
>\begin{ucsConsoleInput}
>mkdir -p /etc/univention/ssl/mca/
>cp <Pfad>/MPublicCA.pem /etc/univention/ssl/mca/
>\end{ucsConsoleInput}
>
>\item Nun kann die Zertifikatskette erzeugt werden:
>
>\begin{ucsConsoleInput}
>cd /etc/univention/ssl
>cat mca/MPublicCA.pem >> ucsCA/CAcert.pem
>\end{ucsConsoleInput}
>
>\item Der Webserver muss nun so eingerichtet werden, dass dieser die Chain-Datei zusammen mit
>seinem Zertifikat an die Clients schickt. Dazu muss die folgende Zeile
>
>\begin{ucsConfigFile}
>SSLCertificateChainFile /etc/univention/ssl/CAChain.pem
>\end{ucsConfigFile}
>
>in die Datei
>\ucsURL{/etc/univention/templates/files/etc/apache2/mods-available/ssl.conf}
>eingefÃ¼gt werden. Die Einstellungen kÃ¶nnen mit dem Befehl 
>
>\begin{ucsConsoleInput}
>univention-config-registry commit \
>/etc/apache2/mods-available/ssl.conf
>\end{ucsConsoleInput}
>
>Ã¼bernommen werden, danach muss der Webserver neu gestartet werden:
>
>\begin{ucsConsoleInput}
>/etc/init.d/apache2 restart
>\end{ucsConsoleInput}
>
>\item Das CA"=Zertifikat der Ã¼bergeordneten CA muss auf den Clients importiert
>werden, damit die Clients entsprechend andere Zertifikate Ã¼berprÃ¼fen kÃ¶nnen,
>die von der UCS-CA unterschrieben wurden.
>
>\item Folgende Browser"=Einstellungen sind auf den Clients vorzunehmen:
>\begin{itemize}
>\item Im Browser Firefox sind keine speziellen Einstellungen erforderlich.
>\item Bei Microsoft Internet Explorer schalten Sie die TLS 1.0"=UnterstÃ¼tzung ein
>Ã¼ber \ucsMenuEntry{Extras \ucsRightArrow{} Internetoptionen \ucsRightArrow{}
>Erweitert \ucsRightArrow{} Sicherheit}.
>\item Der Browser Konqueror unterstÃ¼tzt derzeit keine Zertifikatsketten.
>\end{itemize}
>\end{enumerate}
>
>
>\section{Signieren fremder Requests durch die UCS-CA}
>\label{ssl-zertifikate:signieren_fremder_requests}
>Mit dem folgenden Befehl kann eine Signierungsanfrage (Request), der auf einem
>anderen Rechner erstellt wurde, mit der UCS-CA signiert werden:
>
>\begin{ucsConsoleInput}
>openssl ca -batch -config /etc/univention/ssl/openssl.cnf \
>-in <Request> -out <Zertifikat> -passin pass`cat \
>/etc/univention/ssl/password`
>\end{ucsConsoleInput}
>
>Dabei ist \emph{<Request>} durch den Dateinamen mit Pfad, unter dem die
>eingegangene Anfrage  gespeichert ist (Bsp.
>\ucsURL{/etc/univention/ssl/fqdn/req.pem}), zu ersetzen. Die Anfrage sollte im
>PEM"=Format vorliegen oder muss ggf. umgewandelt werden. Die Umwandlung kÃ¶nnte
>mit folgendem Befehl durchgefÃ¼hrt werden:
>
>\begin{ucsConsoleInput}
>openssl x509 -inform der -outform pem -in request.der -out \
>req.pem
>\end{ucsConsoleInput}
>
>Dabei ist \emph{<Zertifikat>} durch den Dateinamen mit Pfad, unter dem das
>fertige Zertifikat gespeichert werden soll (Bsp.
>\ucsURL{/etc/univention/ssl/fqdn/cert.pem}), zu ersetzen. Das Verzeichnis
>ist vorher anzulegen, falls es nicht existiert.
>
>StandardmÃ¤Ãig wird unter UCS von allen Zertifikaten eine Kopie unter
>\ucsURL{/etc/univention/ssl/ucsCA/certs} gespeichert. DafÃ¼r ist der Befehl
>
>\begin{ucsConsoleInput}
>move_cert /etc/univention/ssl/ucsCA/newcerts/*
>\end{ucsConsoleInput}
>
>auszufÃ¼hren.
>
>% Diese Zeilen bitte am Ende des Dokuments stehenlassen und 
>% nicht entfernen - sie helfen bei der Arbeit mit vi und emacs.
>% vim:tw=78:ts=8:nocindent:noautoindent
>% Local Variables:
>% fill-column: 78
>% End:

Actions: View

Attachments on bug 23879: 3580