Você está na página 1de 3

Objectivo

Paraestabelecerumaligaoseguraedeconfiananecessriogerarcertificadosqueatestema identidadedoservidor.Essescertificadossogeralmenteemitidosporentidadescertificadoras (CertificateAuthority)independentesedeconfianareconhecida.Noentanto,paraumautilizaomais caseiraeeconmica,possvelcriarumcertificado"autoassinado".

Instalao
root@server:~# aptitude install openssl ca-certificates

Geraodoscertificados
AgeraodeumcertificadoSSLrequerosseguintespassos:primeirogeradaumachaveprivada;em seguidaestausadaparagerarumpedidodecertificao(CertificateSigningRequest(CSR)).O pedidodecertificaoentoenviadoparaaentidadecertificadora(CertificateAuthority(CA))que devolveocertificadoassinado.Esteltimopassopodeserfeitopeloprprio,gerandoassimum certificadoautoassinado(SelfsignedCertificate). Criarumadirectoriadetrabalho:
root@server:~# mkdir certs root@server:~# cd certs root@server:~/certs#

Chaveprivada
Gerarachaveprivada(PrivateKey)encriptada:
root@server:~/certs# openssl genrsa -des3 -out server.key 2048 Generating RSA private key, 2048 bit long modulus .................+++ ................+++ e is 65537 (0x10001) Enter pass phrase for server.key: Verifying - Enter pass phrase for server.key:

Chaveprivadasempassword
Achaveprivadaestencriptadaeprotegidaporumapassword,oqueimplicaqueseescrevaa passwordcadavezqueumservionecessitadachave.Comosoluo,possvelgerarumaversoda chavesemaprotecodapassword:
root@server:~/certs# openssl rsa -in server.key -out server.key.insecure Enter pass phrase for server.key: writing RSA key

Estachavesempassword,deveserguardadacomespecialcuidadoe,nomeadamente,sdeveser acessvelpeloutilizadorroot:
root@server:~/certs# chmod 600 server.key.insecure

Pedidodecertificao
Geraropedidodecertificao(CertificateSigningRequest),nocampoCommonNamedeverser indicadoonomedoservidorparaoqualestasergeradoocertificado.Casosepretendaum certificadoparavriosservidoresnomesmodomniopodeseusarasintaxe*.home.lan:
root@server:~/certs# openssl req -new -key server.key -out server.csr Enter pass phrase for server.key: You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----Country Name (2 letter code) [AU]:PT State or Province Name (full name) [Some-State]:Portugal Locality Name (eg, city) []: Organization Name (eg, company) [Internet Widgits Pty Ltd]:Home Lan Organizational Unit Name (eg, section) []: Common Name (eg, YOUR name) []:*.home.lan Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:

Certificadoautoassinado
Opedidodecertificadodeveriaserenviadoparaaentidadecertificadora,quedevolveriaocertificado assinado.Nestecaso,serusadoparacriarumcertificadoautoassinado(SelfSignedCertificate), vlidopor365dias:
root@server:~/certs# openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt Signature ok subject=/C=PT/ST=Portugal/O=Home Lan/CN=*.home.lan Getting Private key Enter pass phrase for server.key:

Oprocessodecriaodoscertificadosestconcludo.Nofinalforamgeradososseguintesficheiros: Ficheiro Descrio server.key Achaveprivada server.key.insecure Achaveprivadasempassword server.csr Opedidodeassinaturadocertificao

server.crt Ocertificadoautoassinado. Ocertificadoautoassinadovlidopor365dias.Noentanto,estepodeserrenovadoemqualquer altura,bastandoparatalregenerarocertificadoautoassinado.

Instalaodachaveprivadaecertificadoautoassinado
Finalmente,copiaraschavesprivadaspara/etc/ssl/privateeocertificadopara/etc/ssl/certs:
root@server:~/certs# cp server.key server.key.insecure /etc/ssl/private/ root@server:~/certs# cp server.crt /etc/ssl/certs/

Ocertificadoautoassinadoestprontoausar. Sendoocertificadoautoassinado,ouseja,noestandoassinadoporumaentidadecertificada,asua utilizaodarsempreorigemaumavisoporpartedaaplicaocliente: