[CERT] Générer un certificat autosigné

[Junky]

Bonjour,

Suite a notre discution sur IRC cette parem, voici un moyen de généré un certificat autosigné. (dans un deuxième tps, je mettrai la procédure pour généré un certificat signé par une authorité)

Cas d'utilisation:

Typiquement pour des outils internes (Puppet), des serveurs de test (donc Apache), un serveur VPN à usage interne (en notant bien le fingerprint du certificat, vu que non authentifiable), etc.

Pas glop pour de la prod, ce n'est pas accepté d'office, et ça n'apporte aucune authentification de l'hôte distant, seulement un cryptage du flux.
Procédure de génération

Exemple pour la création d'un certificat pour le domaine mon.domaine.org

D'abord on se place dans un dossier situé dans un endroit sécurisé (le certificat généré, et surtout sa clé, sont confidentiels) :

Code :

# mkdir /home/moi/dossier_secure/
# cd /home/moi/dossier_secure/

On génère ensuite une requête de certificat :

Code :

# openssl req -config /etc/ssl/openssl.cnf -new -out mon.domaine.org.csr
Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Paris
Locality Name (eg, city) []:Paris
Organization Name (eg, company) [Internet Widgits Pty Ltd]:votre boite
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:mon.domaine.org (ici on entre le domaine exact pour lequel on créé le certificat, c'est le seul point vraiment important)
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []: (ici on ne met rien)
An optional company name []:

Puis une clé secrète :

Code :

# openssl rsa -in privkey.pem -out mon.domaine.org.key

Et enfin on génère le certificat autosigné, valable pour 10 ans :

Code :

# openssl x509 -in mon.domaine.org.csr -out mon.domaine.org.crt -req -signkey mon.domaine.org.key -days 3650

Le certificat utilisable est donc mon.domaine.org.crt, et sa clé est mon.domaine.org.key.

Le fichier mon.domaine.org.csr peut être conservé pour renouveller ultérieurement le certificat, avec la même clé si on le désire, en répétant simplement la dernière commande.

Junky

P'tit truc pour extraire les infos d'un certif:

Code :

openssl x509 -text -in cert.pem