ssl-cert
Dieser Artikel wurde fĂĽr die folgenden Ubuntu-Versionen getestet:
Dieser Artikel ist mit keiner aktuell unterstĂĽtzten Ubuntu-Version getestet! Bitte teste diesen Artikel fĂĽr eine Ubuntu-Version, welche aktuell unterstĂĽtzt wird. Dazu sind die Hinweise zum Testen von Artikeln zu beachten.
Zum Verständnis dieses Artikels sind folgende Seiten hilfreich:
Möchte man die verschlüsselten Protokolle wie HTTPS, IMAPS oder POP3S nutzen, so benötigt man ein SSL-Zertifikat einer CA (Certification Authority). Eigentlich muss solch ein Zertifikat von Firmen oder Organisationen ausgestellt werden, die dafür autorisiert sind. Doch für Testzwecke oder die private Nutzung reicht oft auch ein selbstsigniertes Zertifikat. Dieses wird durch den Befehl ssl-cert auf dem Rechner erstellt. Allerdings kann der praktische Einsatz durch kleinere Probleme getrübt sein.
Installation¶
Durch die Installation [1] des folgenden Pakets wird das Zertifikat sofort erzeugt:
ssl-cert
Befehl zum Installieren der Pakete:
sudo apt-get install ssl-cert
Nutzung¶
Man kann diesen Vorgang auch später durch folgenden Befehl wiederholen [2][3]:
sudo make-ssl-cert generate-default-snakeoil
Die dadurch generierten Dateien werden sofort in die SSL-SchlĂĽssel aufgenommen:
| SSL-Zertifikat | /etc/ssl/certs/ssl-cert-snakeoil.pem |
| SSL-SchlĂĽssel | /etc/ssl/private/ssl-cert-snakeoil.key |
und können dort beispielsweise von Serveranwendungen genutzt werden.
SSL-Zertifikate erneuern¶
Sollte sich der Rechnername ändern oder das Zertifikat ablaufen, so kann man durch den Befehl:
sudo make-ssl-cert generate-default-snakeoil --force-overwrite
ein neues Zertifikat erzeugen. Damit das neue Zertifikat verwendet wird, mĂĽssen die entsprechenden Dienste neu gestartet werden.
Problembehebung¶
Wenn ein Zertifikat ĂĽber die obigen Schritte erneuert wurde (force-overwrite), ist darauf zu achten, dass im Zertifikat der richtige Rechnername eingetragen wird. ssl-cert setzt diesen als CommonName des Zertifikates ein. Der Name kann im laufenden Betrieb mittels des Befehls:
sudo hostname NEUER_NAME
geändert (die Datei /etc/hostname wird nur beim Systemstart gelesen) oder einfach nur mit hostname ausgelesen werden.
Danach wird versucht, diesen Hostname aufzulösen (mittels /etc/hosts, DNS, etc). Wenn ssl-cert den Namen nicht auflösen kann, bekommt man eine Fehlermeldung, dass der Hostname kein gültiger FQDN ist.
Links¶
intern¶
TLS-Zertifikate - Ăśbersichtsseite zu TLS
certbot - Zertifikate von Let’s Encrypt mittels certbot erhalten
Howto/getssl - kostenlose Let's Encrypt-Zertifikate ĂĽber getssl erhalten
CA - eine eigene Certification Authority betreiben
CAcert - Community, die kostenlose SSL-Zertifikate ausstellt
extern¶
SSL - Wikipedia-Artikel zu SSL/TLS
