CSR en RSA Private Key via IIS of Linux

Wil je een CSR en RSA Private Key genereren voor je SSL certificaat? In deze handleiding leggen we uit hoe je dit doet voor IIS en Linux.

 

IIS

Genereren

1. Open de IIS Manager;
2. Kies de servernaam en klik op ‘Features’;
3. Dubbelklik op ‘Server Certificates’;
4. Kies onder ‘Actions’ voor ‘Create Certificate Request’;
5. Soms is het nodig om eerst nog ‘Properties’ te selecteren;
6. Klik op ‘Server Certificate’ en doorloop de wizard;
7. Voer de gevraagde gegevens in:

 

• Common name: je domeinnaam
• Organization: Bedrijfsnaam
• Organization unit: Afdeling
• City/locality: Stad of plaatsnaam
• State/province: Provincie
• Country/region: Netherlands / NL

 

In het volgende scherm wordt gevraagd welke cryptografie instellingen gebruikt moeten worden. Gebruik ‘Microsoft RSA Channel Cryptography Provider’ en een ‘Bit Length’ van minstens 2048; bij voorkeur 4096.

Selecteer ‘Next’ om een bestandslocatie te kunnen ingeven waar de CSR opgeslagen moet worden. Kies ‘Finish’ om de CSR te generen en de bijbehorende RSA Private Key automatisch op te slaan.

 

Installeren

 

1. Open de IIS Manager;
2. Kies de servernaam en klik op ‘Features’;
3. Dubbelklik op ‘Server Certificates’;
4. Kies aan de rechterkant onder ‘Actions’ de optie ‘Complete Certificate Request’;
5. Blader naar het het SSL certificaat;
6. Geef een naam voor intern gebruik op die alleen lokaal zichtbaar is;
7. Selecteer het certificaat;
8. Klik in het ‘Actions’ menu op ‘Complete Pending Request’.

Kies ‘OK’ om door te gaan. Het certificaat is nu geïnstalleerd. Het kan toegewezen worden aan een website of dienst.

 

Toewijzen

 

1. Blader binnen de IIS Manager naar de server waar de te beveiligen website of dienst onder valt;
2. Navigeer naar ‘Sites’ en kies de gewenste site;
3. Klik onder ‘Action’ op ‘Bindings’;
4. In het ‘Site Bindings’ venster kies je voor ‘Add’;
5. Geef ‘HTTPS’ op als type en kies voor poort 443;
6. Kies met de knop ‘Browse’ voor het geïnstalleerde SSL certificaat en klik op ‘OK’.

 

Linux

 

Dit stappenplan is voor het genereren van een key op een Linux of UNIX server. Dit in combinatie met bijvoorbeeld Apache en Lighttpd webservers.

 

1. Log via SSH in op de betreffende webserver;
2. Navigeer naar de map waar de certificaten en Private Keys bewaard worden;
3. Gebruik het volgende commando om met OpenSSL de CSR te genereren:

openssl req -utf8 -nodes -sha256 -newkey rsa:4096 -keyout hostnaam.key -out hostnaam.csr

Vul de onderstaande gegevens in:

• Country Name (2 letter code): NL
• State or Province Name: Provincie
• Locality name: Stad of plaatsnaam
• Organization Name: Bedrijfsnaam
• Organizational Unit Name: Afdeling
• Common Name: te beveiligen hostnaam*
• Email address: Uw e-mailadres
• A challenge password: Wachtwoord**
• An optional company name: Optionele bedrijfsnaam**

* Gaat het om een Wildcard SSL certificaat? Noteer de hostnaam dan op dze wijze: ‘*.hostnaam.nl’
** Dit zijn optionele velden

 

Bestanden

 

Als de invoervelden zijn bevestigd, dan genereert OpenSSL twee bestanden: ‘hostnaam.key’ en ‘hostnaam.csr’. Bewaar beide bestanden goed, deze zijn nodig bij het aanvragen en installeren van het SSL certificaat. Er kan worden gekozen uit veiligheid om de bestanden enkel de rechten van de SSH gebruiker toe te wijzen. In het geval van de root:

chmod 600 *.key *.csr

Gebruik het cat-commando om de CSR binnen het bestand hostnaam.csr weer te geven, en kopieer de volledige inhoud van het CSR bestand naar bijvoorbeeld een kladblok of e-mailbericht.

 

Installeren

 

1. Log via SSH in op de betreffende webserver;
2. Navigeer naar de map waar de certificaten en Private Keys bewaard worden;
3. Sla het SSL certificaat op in een bestand door deze te kopiëren en via (bijvoorbeeld) een vi-commando in deze map aan te maken:

vi hostnaam.crt

1. Plak in het aangemaakte bestand het volledige SSL certificaat;
2. Sla het bestand op;
3. Herhaal de bovenstaande stappen voor de CA Intermediate en Root-certificaten.

Intermediate en Root-certificaten in één bestand, bijvoorbeeld genaamd bundle.crt. Mogelijk is het zo dat de certificaten nog gedeclareerd moeten worden op de server, zodat deze daadwerkelijk aangesproken zullen worden. Dit vaak wanneer de bestandslocatie afwijkt van de standaard of eerder gebruikte configuratie.

Open het configuratie bestand van de server, bijvoorbeeld:

vi /etc/httpd/conf.d/httpd.conf
of
vi /etc/httpd/conf/httpd.conf

Voeg bij het SSLEngine-gedeelte binnen het configuratie bestand de volgende regels toe, waarin wij verwijzen naar de locatie van de certificaten en Private Key:

• SSLCertificateFile /etc/ssl/cert/hostnaam.crt
• SSLCertificateKeyFile /etc/ssl/cert/hostnaam.key
• SSLCertificateChainFile /etc/ssl/cert/bundle.crt

Wijzig waar nodig de bestandsnamen en/of bestandslocaties naar respectievelijk het certificaat, de Private Key en het CA-bundle certificaat. Configuraties en bestandslocaties kunnen afwijken, afhankelijk van de gebruikte server, besturingssysteem en distributie.