WWW server se SSL - Historie editací

Milan.Kerslager: /* Kontrola certifikátu a privátního klíče */ fix

2021-12-01T12:59:27Z

‎Kontrola certifikátu a privátního klíče: fix

2021-12-01T12:58:47Z

‎Kontrola certifikátu a privátního klíče: modulus

2017-05-16T18:46:01Z

‎Kontrola spojení: Kontrola certifikátu

2015-01-26T21:08:02Z

‎Kontrola spojení: fix

2015-01-13T22:30:02Z

‎Self-signed certifikáty: Certifikát podepsaný sám sebou

2015-01-13T22:26:48Z

SHA256

2015-01-13T22:17:07Z

‎Kontrola certifikátu: odstranění heslové fráze

2015-01-13T22:10:35Z

‎Kontrola certifikátu: fix

2015-01-13T22:07:35Z

‎Kontrola certifikátu: certificate chain

2015-01-13T21:56:55Z

‎Kontrola certifikátu: upřesnění

@@ Řádka 97: / Řádka 97: @@
 Odstranění heslové fráze z privátního klíče:
-  openssl rsa -in private-with-passphrase.key -out private-without-pass.key
+  openssl rsa -in private-with-passphrase.key -out private-without-passphrase.key
 == Kontrola spojení ==

@@ Řádka 80: / Řádka 80: @@
    openssl verify -CAfile /etc/pki/tls/certs/ca-bundle.pem /etc/pki/tls/certs/signed-certificate.crt
-Kontrola správnosti a konzistence privátního klíče (též funkčnosti heslové fráze chránící klíč):
+Kontrola konzistence privátního klíče (též případné funkčnosti heslové fráze chránící klíč):
   openssl rsa -check -noout -in /etc/pki/tls/private/localhost.key
 Výpis otisku certifikátu, který bude zobrazen v prohlížeči:

← Starší verze		Verze z 16. 5. 2017, 18:46
Řádka 103:		Řádka 103:
	openssl s_client -ign_eof -crlf -connect 127.0.0.1:443		openssl s_client -ign_eof -crlf -connect 127.0.0.1:443

		+	=== Kontrola certifikátu ===
		+	Po navázání spojení (viz výše) uložte do souboru <code>cert.txt</code> certifikát (včetně značek -----BEGIN CERTIFICATE----- a -----END CERTIFICATE-----) a proveďte níže uvedený příkaz. Ve výpisu zkontrolujte, zda je certifikát vydán pro danou doménu, jeho platnost a další náležitosti.
		+
		+	openssl x509 -text -noout -in cert.txt

	[[Kategorie:Síťové služby v Linuxu]]		[[Kategorie:Síťové služby v Linuxu]]

@@ Řádka 96: / Řádka 96: @@
 == Kontrola spojení ==
 HTTP spojení lze otestovat pomocí nástroje <code>openssl</code>, který zajistí zakódování a dekódování provozu mezi klientem a serverem. V následujícím příkladu se připojujeme k lokálně spuštěnému webovému serveru na port HTTPS (443). Po navázání spojení je možné používat klasické HTTP příkazy, jako se to dělá při kontrole HTTP spojení nástrojem <code>telnet</code>.
   openssl s_client -ign_eof -crlf -connect 127.0.0.1:443
 [[Kategorie:Síťové služby v Linuxu]]

@@ Řádka 15: / Řádka 15: @@
 == Self-signed certifikáty ==
-Součástí balíčku '''mod_ssl''' jsou univerzální self-signed certifikáty (tj. certifikát podepsaný sám sebou, viz [[enw:Self-signed certificate|Self-signed certificate]]). S jejich pomocí můžete okamžitě HTTPS používat, ale nebude možné ověřit, zda doopravdy komunikujete se správným serverem. K tomu si musíte vygenerovat certifikáty vlastní nebo si certifikát nechat vytvořit u certifikační autority.
+Po instalaci balíčku '''mod_ssl''' jsou vygenerovány univerzální self-signed certifikáty (tj. certifikát podepsaný sám sebou, viz [[csw:Certifikát podepsaný sám sebou|Certifikát podepsaný sám sebou]]). S jejich pomocí můžete okamžitě HTTPS používat, ale nebude možné ověřit, zda doopravdy komunikujete se správným serverem. K tomu si musíte vygenerovat certifikáty vlastní nebo si veřejný klíč nechat podepsat u certifikační autority.
 Uživatel bude muset ve svém prohlížeči v případě ověřování self-signed certifikátu použít kontrolu SHA1 výtahu (miniatury, fingerprintu). Odkazy na umístění univerzálního certifikátu a klíče jsou uloženy v souboru <code>/etc/httpd/conf.d/ssl.conf</code>.

@@ Řádka 5: / Řádka 5: @@
 Při zabezpečeném připojení k serveru nejprve server nabídne svůj certifikát a je na uživateli, aby ověřil jeho důvěryhodnost. Uživatel například může:
-# zatelefonovat majiteli a ověřit otisk SHA1 nebo MD5
+# zatelefonovat majiteli a ověřit otisk (SHA256, SHA1 nebo MD5)
 # spolehnout se na důvěryhodnost Certifikační autority, která je v něm podepsána

@@ Řádka 66: / Řádka 66: @@
 Od této chvíle by mělo jít používat HTTPS spojení s vaším WWW serverem.
-== Kontrola certifikátu ==
+== Kontrola certifikátu a privátního klíče ==
 Certifikáty, které webový server Apache používá, je možné snadno vypsat příkazem:
@@ Řádka 89: / Řádka 89: @@
   openssl x509 -fingerprint -sha1 -noout -in /etc/pki/tls/certs/localhost.crt
   openssl x509 -fingerprint -md5 -noout -in /etc/pki/tls/certs/localhost.crt
 == Kontrola spojení ==

@@ Řádka 78: / Řádka 78: @@
 Pokud kontrolujeme certifikát vydaný certifikační autoritou, je obvykle potřeba dodat ještě řetězec certifikátů (certificate chain je v souboru <code>ca-bundle.pem</code>):
-   openssl verify -CAfile ca-bundle.pem /etc/pki/tls/certs/signed-certificate.crt
+   openssl verify -CAfile /etc/pki/tls/certs/ca-bundle.pem /etc/pki/tls/certs/signed-certificate.crt
 Kontrola správnosti a konzistence privátního klíče (též funkčnosti heslové fráze chránící klíč):

@@ Řádka 73: / Řádka 73: @@
 Údaje ve vypsaných souborech zkontrolujeme:
-  openssl verify /etc/pki/tls/certs/localhostt.crt
+  openssl verify /etc/pki/tls/certs/localhost.crt
-  openssl x509 -text -noout -in /etc/pki/tls/certs/localhostt.crt
+  openssl x509 -text -noout -in /etc/pki/tls/certs/localhost.crt
 Kontrola správnosti a konzistence privátního klíče (též funkčnosti heslové fráze chránící klíč):