Για να στήσετε έναν ασφαλή διακομιστή χρησιμοποιώντας κρυπτογράφηση δημόσιου-κλειδιού, στις περισσότερες περιπτώσεις, στέλνετε το αίτημα πιστοποιητικού (συμπεριλαμβανομένου και του δημόσιου κλειδιού σας), απόδειξη την ταυτότητας της εταιρίας σας, και πληρωμή σε μια ΑΠ. Η ΑΠ επαληθεύει το αίτημα πιστοποιητικού και την ταυτότητά σας, και μετά σας στέλνει ένα πιστοποιητικό για τον ασφαλή διακομιστή σας. Εναλλακτικά, μπορείτε να δημιουργήσετε το δικό σας υπογεγραμμένο από εσάς πιστοποιητικό.

Συνεχίζοντας το παράδειγμα HTTPS, ένα πιστοποιητικό υπογεγραμμένο από ΑΠ παρέχει δύο σημαντικές δυνατότητες που ένα πιστοποιητικό υπογεγραμμένο από εσάς δεν παρέχει:

Οι περισσότεροι φυλλομετρητές Ιστού, και υπολογιστές, οι οποίοι υποστηρίζουν SSL έχουν λίστα ΑΠ των οποίων τα πιστοποιητικά αποδέχονται αυτόματα. Εάν ένας φυλλομετρητής αντιμετωπίσει ένα πιστοποιητικό του οποίου η εξουσιοδοτημένη ΑΠ δεν είναι στη λίστα, ο φυλλομετρητής ζητάει από τον χρήστη να δεχθεί ή να απορρίψει την σύνδεση. Επίσης, άλλες εφαρμογές μπορούν να παράγουν ένα μήνυμα σφάλματος όταν χρησιμοποιούν ένα πιστοποιητικό υπογεγραμμένο από εσάς.

Η διαδικασία του να πάρετε ένα πιστοποιητικό από μια ΑΠ είναι σχετικά εύκολο. Μια γρήγορη επισκόπηση είναι όπως ακολούθως:

Είτε πάρετε ένα πιστοποιητικό από μια ΑΠ είτε παράγετε το δικό σας υπογεγραμμένο από εσάς, το πρώτο βήμα είναι η παραγωγή κλειδιού.

Εάν το πιστοποιητικό θα χρησιμοποιηθεί σε δαίμονες υπηρεσιών, όπως τα Apache, Postfix, Dovecot, κλπ, ένα κλειδί χωρίς κωδική φράση είναι συνήθως κατάλληλο. Η μη χρησιμοποίηση κωδικής φράσης επιτρέπει στις υπηρεσίες να εκκινούν χωρίς χειροκίνητη παρέμβαση, συνήθως ο προτιμώμενος τρόπος να ξεκινήσει ένας δαίμονας.

Αυτή η ενότητα θα καλύψει την παραγωγή κλειδιού με κωδική φράση, και ενός χωρίς. Το κλειδί χωρίς κωδική φράση θα χρησιμοποιηθεί ύστερα για την παραγωγή ενός πιστοποιητικού το οποίο μπορεί να χρησιμοποιηθεί σε ποικίλους δαίμονες υπηρεσιών.

Για να παράγετε ένα κλειδί για το Αίτημα Υπογραφής Πιστοποιητικού (ΑΥΠ) εκτελέστε την ακόλουθη εντολή από ένα τερματικό εντολών:

openssl genrsa -des3 -out server.key 1024

Generating RSA private key, 1024 bit long modulus
.....................++++++
.................++++++
unable to write 'random state'
e is 65537 (0x10001)
Enter pass phrase for server.key:

Τώρα μπορείτε να εισάγετε την κωδική φράση. Για μεγαλύτερη ασφάλεια, πρέπει να περιέχει τουλάχιστον οχτώ χαρακτήρες. Το ελάχιστο μέγεθος όταν προσδιορίζετε -des3 είναι τέσσερις χαρακτήρες. Θα πρέπει να περιλαμβάνει αριθμούς και/ή σημεία στίξης και όχι να είναι μια λέξη σε ένα λεξικό. Επίσης θυμηθείτε ότι η κωδική σας φράση είναι ευαίσθητη στα κεφαλαία-μικρά γράμματα.

Επαναπληκτρολογείστε την κωδική φράση για να την επαληθεύσετε. Όταν την έχετε επαναπληκτρολογήσει σωστά, το κλειδί διακομιστή παράγεται και αποθηκεύεται στο αρχείο server.key.

Τώρα δημιουργήστε το μη ασφαλές κλειδί, αυτό χωρίς κωδική φράση, και ανακατέψτε τα ονόματα κλειδιών:

openssl rsa -in server.key -out server.key.insecure
mv server.key server.key.secure
mv server.key.insecure server.key

Το μη ασφαλές κλειδί έχει τώρα όνομα server.key, και μπορείτε να χρησιμοποιήσετε αυτό το αρχείο για να παράγετε ένα ΑΥΠ χωρίς κωδική φράση.

Για να δημιουργήσετε ένα ΑΥΠ, εκτελέστε την ακόλουθη εντολή σε ένα τερματικό εντολών:

openssl req -new -key server.key -out server.csr

It will prompt you enter the passphrase. If you enter the correct passphrase, it will prompt you to enter Company Name, Site Name, Email Id, etc. Once you enter all these details, your CSR will be created and it will be stored in the server.csr file.

Μπορείτε τώρα να υποβάλετε αυτό το αρχείο ΑΥΠ σε μια ΑΠ για διεργασία. Η ΑΠ θα χρησιμοποιήσει αυτό ΑΥΠ αρχείο κα θα εκδώσει ένα πιστοποιητικό. Αφ' ετέρου, μπορείτε να δημιουργήσετε ένα πιστοποιητικό υπογεγραμμένο από εσάς με αυτό το ΑΥΠ.

Για να δημιουργήσετε ένα πιστοποιητικό υπογεγραμμένο από εσάς, εκτελέστε την ακόλουθη εντολή σε ένα τερματικό εντολών:

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

Η παραπάνω εντολή θα σας ζητήσει να εισάγετε την κωδική φράση. Όταν εισάγετε τη σωστή κωδική φράση, το πιστοποιητικό σας θα δημιουργηθεί και θα αποθηκευτεί στο αρχείο server.crt.

Μπορείτε να εγκαταστήσετε το αρχείο κλειδιού server.key και το αρχείο πιστοποιητικού server.crt, ή το αρχείο πιστοποιητικού που έχει παραχθεί από την ΑΠ, εκτελώντας τις ακόλουθες εντολές σε ένα τερματικό εντολών:

sudo cp server.crt /etc/ssl/certs
sudo cp server.key /etc/ssl/private

Τώρα απλώς διαμορφώστε τις εφαρμογές, με την ικανότητα χρήσης κρυπτογράφησης δημόσιου-κλειδιού, για να χρησιμοποιήσουν τα αρχεία πιστοποιητικού και κλειδιού. Για παράδειγμα, ο Apache μπορεί να παρέχει HTTPS, το Dovecot μπορεί να παρέχει IMAPS και POP3S, κ.λ.π.

Εάν οι υπηρεσίες του δικτύου σας απαιτούν παραπάνω από μερικά πιστοποιητικά υπογεγραμμένα από εσάς ίσως αξίζει τον κόπο να στήσετε μια εσωτερική Αρχή Πιστοποίησης (ΑΠ). Χρησιμοποιώντας πιστοποιητικά υπογεγραμμένα από τη δική σας ΑΠ, επιτρέπει τις διάφορες υπηρεσίες που χρησιμοποιούν τα πιστοποιητικά να εμπιστεύονται εύκολα άλλες υπηρεσίες που χρησιμοποιούν πιστοποιητικά που έχουν παραχθεί από την ίδια ΑΠ>