LINUX:Création d'une CA privée (V1)

But

Dans cet article, nous allons créer une CA privée accompagnée du nécessaire pour un serveur WEB ou Mail en ce qui concerne les clés. Cette approche nous sera utile pour résoudre des problèmes liés à l'utilisation de ressources interne WEB et Mail. Reportez-vous à l'article Problèmes suite au cryptage.

Description de la procédure

Nous allons mettre en place une CA comme décrit dans l'article Cryptage SSL, à part que tout restera sur le même serveur. Notons que par serveur (ex: serverdb.home.dom), on entend la machine mais également les noms DNS (virtuels) (ex: www.home.dom, mail.home.dom). Dans notre exemple, le nom de machine est serverdb et son domaine est home.dom. Faisons également remarquer qu'une machine peut héberger des services d'autres domaines (ex: www.interne.dom, mail.interne.dom). On se restreint ici à un usage interne.

Voici les principales étapes:

• Création d'un clé privée CA
• Création d'un clé privée pour le serveur
• Création d'un certificat publique CA pour un domaine (home.dom)
• Création d'une requête de certificat publique pour le serveur
• Création sur ces bases de ce certificat publique pour le serveur
• Création de chaînes diverses pour le serveur

Nous aborderons enfin le problème de renouvellement des certificats lorsque leur période de validité est passée.

La clé privée CA sera mise dans le répertoire "/etc/pki/CA/private/". Nous allons stocker toutes ces clés dans la structure PKI dans le nouveau répertoire "/etc/pki/home/", avec les sous-répertoires "private" pour la clé privée de domaine, "certs" pour les certificats publiques, les requ^tes dans "req" et le n° de série dans "misc".

Création d'un clé privée CA

La première opération est la création d'une clé privée pour la CA "/etc/pki/CA/private/ca.key".

openssl genrsa -out /etc/pki/CA/private/ca.key -passout pass:MOTDEPASSESECRET  2048

On remarque que la clé est protégée par un mot de passe. Ce mot de passe est à adapter.

Création d'un clé privée pour le serveur

Maintenant on crée la clé privée pour le domaine, ici le serveur ("/etc/pki/home/private/localhost.key").

openssl genrsa -out /etc/pki/home/private/localhost.key 2048

Création d'un certificat publique CA

La première étape de création des certificat est la création d'un certificat publique CA pour le domaine, ici pour l'exemple "home.dom" ("/etc/pki/home/certs/ca.crt").

openssl req -new -days 3650 -x509 -out /etc/pki/home/certs/ca.crt -passin pass:MOTDEPASSESECRET  -key /etc/pki/CA/private/ca.key -subj '/CN=CA.home.dom/emailAddress=pdupont@gmail.com/OU=Dupont/O=Home/L=Namur/ST=Belgique/C=BE'

On remarque que pour accéder à la clé privée CA, il faut donner le mot de passe.

On remarque aussi qu'au lieu de répondre aux questions d'identification du propriétaire, ils se trouvent en paramètres; mais on aurait pu répondre aux questions. Seul le "Common Name" change. Il est important que ce nom soit différent de celui du serveur ou du site virtuel.

Création d'une requête de certificat publique pour le serveur

Maintenant vient la phase de création du certificat publique pour le serveur ou du site. On commence par faire une requête pour obtenir le certificat ("/etc/pki/home/req/localhost.csr").

openssl req -new -key /etc/pki/home/private/localhost.key -out /etc/pki/home/req/localhost.csr -subj '/CN=serverdb.home.dom/emailAddress=pdupont@gmail.com/OU=Dupont/O=Home/L=Namur/ST=Belgique/C=BE'

Comme ci-dessus, les informations de propriété sont ajoutées en option. Ici le "Common Name" est celui du serveur (ou du site si c'était par exemple, "www.home.dom")

Création du certificat publique pour le serveur

Vient l'étape finale, la création du certificat publique du serveur ou du site ("/etc/pki/home/certs/localhost.crt".

openssl x509 -req -days 3650 -in /etc/pki/home/req/localhost.csr -out /etc/pki/home/certs/localhost.crt -passinpass:MOTDEPASSESECRET -CA /etc/pki/home/certs/ca.crt -CAkey /etc/pki/CA/private/ca.key -CAcreateserial -CAserial /etc/pki/home/misc/ca.srl

On voit que sa validation est renforcée par la CA (clés privée et publique), d'où l'ajout du mot de passe.

Cette opération se fait sur base des informations contenues dans la requête ("/etc/pki/home/req/localhost.csr").

Pour la première utilisation, il y a initialisation du n° de série. Par la suite, lors du renouvellement ou de la création d'un certificat pour le même domaine, ce fichier sera incrémenté. Chaque certificat publique aura un n° de série différent, ce qui peut être utile lors de la révocation d'un certificat qui n'a plus de raison d'être ou piraté ("/etc/pki/home/misc/ca.srl").

---

->retour aux certificats