Une autorité de certification (CA) émet des certificats numériques qui certifient la propriété d'une clé publique par le sujet nommé du certificat. Les certificats de confiance sont généralement utilisés pour établir des connexions sécurisées à un serveur via Internet. Un certificat est requis afin d'éviter le cas où une partie malveillante qui se trouve sur le chemin vers le serveur cible prétend être la cible. Un tel scénario est communément appelé une attaque de l'homme du milieu.
En général, les gens utilisent des CA de confiance sur Internet, comme VeriSign, mais il y a des cas où vous avez besoin de votre propre CA, comme pour ajouter une sécurité supplémentaire à un intranet ou un VPN ou peut-être que vous ne voulez pas en payer un.
Installer openssl
Nous allons d'abord commencer par installer l'utilitaire openssl, si vous utilisez CentOS / Fedora / RHEL, vous pouvez le faire en utilisant yum comme ceci :
# yum install opensslSi vous utilisez Ubuntu/Debian, vous pouvez utiliser apt-get comme ceci :
# apt-get install opensslCréer votre propre autorité de certification
Pour créer votre propre CA vous pouvez utiliser le script fourni avec le package openssl, pour cela allez d'abord dans un répertoire vide puis exécutez le script comme ceci :
Pour CentOS / Fedora / RHEL
# /usr/share/ssl/misc/CA.pl -newcaUbuntu / Debian
# /usr/lib/ssl/misc/CA.pl -newcaLe script vous guidera à travers toutes les étapes de création de votre nouvelle autorité de certification, peu importe ce que vous entrez dans les champs et toutes les entrées sont explicites.
Le processus complet ressemblera à ceci :
Créer des certificats
Maintenant que vous avez votre propre autorité de certification (CA), vous pouvez créer des certificats numériques pour les serveurs de votre réseau local, pour les clients VPN ou pour tout service que vous devez utiliser avec SSL. Cela signifie que vous devez suivre deux étapes :
Vous devrez d'abord créer une clé privée et une demande de certificat :
# /usr/lib/ssl/misc/CA.pl -newreqLes mêmes questions que dans l'option newca vous seront posées, comme indiqué ci-dessous :
Vous pouvez maintenant signer ce certificat avec votre autorité de certification à l'aide de la commande suivante :
# /usr/lib/ssl/misc/CA.pl -sign
Vous pouvez maintenant utiliser ce certificat à toutes les fins que vous souhaitez.