Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊

Size: px

Start display at page:

Download "Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊"

彬何
5 years ago
Views:

1 中華電信通用憑證管理中心 (PublicCA) Ubuntu Apache2 伺服器 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本手冊所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任本手冊的安裝程序, 已經在 Ubuntu Apache2.4.6 測試過, 您所使用的版本或環境可能與本版本有所差異, 若是如此則請參考您的 Web Server 及 SSL 模組相關使用手冊, 適度調整 SSL 伺服軟體憑證安裝步驟本手冊分為製作憑證請求檔 (Certificate Signing Request file, 簡稱 CSR 檔 ) 安裝憑證與安裝 SSL 安全認證標章, 並提供附件說明如何設定 SSL 安全通道的加密強度停用 SSL v 3.0 與更換 SHA 256 憑證目錄 Ubuntu Apache2 SSL 憑證請求檔製作手冊... 2 Ubuntu Apache2 SSL 安裝操作手冊... 4 附件一 : 設定 SSL 安全通道的加密強度附件二 : 停用 SSLv 附件三 : 更換 SHA256 憑證

Ubuntu Apache2 SSL 憑證請求檔製作手冊一製作憑證請求檔 (1) 開始前, 請確認您 OpenSSL 的版本沒有受到 Heartbleed Bug 的影響, 您可輸入以下指令來確認您 OpenSSL 的版本若您的版本有 Heartbleed Bug, 建議先升級到修復版本, 再執行以下操作 $ openssl version 影響範圍 :1.0.1 ~ 1.0.1f / 1.

2 Ubuntu Apache2 SSL 憑證請求檔製作手冊一製作憑證請求檔 (1) 開始前, 請確認您 OpenSSL 的版本沒有受到 Heartbleed Bug 的影響, 您可輸入以下指令來確認您 OpenSSL 的版本若您的版本有 Heartbleed Bug, 建議先升級到修復版本, 再執行以下操作 $ openssl version 影響範圍 :1.0.1 ~ 1.0.1f / beta ~ beta1 修復版本 :1.0.1g / beta2 以後 (2) 請執行以下指令來產生金鑰, 金鑰會產生在當前的目錄下 $ sudo openssl genrsa -des3 -out server.key 2048 若您的 SSL 憑證即將到期, 需更新憑證, 建議可以另開一個新的資料夾, 並在此資料夾下執行上述指令, 以避免線上使用的 server.key 被覆蓋依照國際密碼學規範, 請使用 RSA 2048 位元 ( 含 ) 以上金鑰長度 (3) 執行時會輸入兩次密碼, 請牢記此組密碼, 日後啟動 Apache 時皆會使用, 並請妥善保管此金鑰 (server.key) (4) 請執行以下指令, 以產生憑證請求檔 $ sudo openssl req -new -key server.key -out certreq.txt 2

(5) 請先輸入剛才設定的私密金鑰密碼, 接著依照畫面填入所需資料 : Country Name: 填入 TW State or Province Name: 不需要填, 按 Enter 跳過 Locality Name: 城市 (ex: Taipei) Organization Name: 組織名稱 (ex: CHT) Organization Unit Name: 單位名稱 (ex:

3 (5) 請先輸入剛才設定的私密金鑰密碼, 接著依照畫面填入所需資料 : Country Name: 填入 TW State or Province Name: 不需要填, 按 Enter 跳過 Locality Name: 城市 (ex: Taipei) Organization Name: 組織名稱 (ex: CHT) Organization Unit Name: 單位名稱 (ex: GND) Common Name: 網域名稱 (ex: Address: 可不填, 按 Enter 跳過 A challenge password: 不需要填, 按 Enter 跳過 An optional company name: 不需要填, 按 Enter 跳過二將憑證請求檔存到儲存媒體, 完成製作憑證請求檔的製作三請持產製好的憑證請求檔 (certreq.txt), 至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3

Ubuntu Apache2 SSL 安裝操作手冊一取得 eca 自簽憑證及 Public CA 憑證之憑證串鏈下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證,

4 Ubuntu Apache2 SSL 安裝操作手冊一取得 eca 自簽憑證及 Public CA 憑證之憑證串鏈下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證, 可採以下兩種方式之一取得 : 您若是本公司之客戶, 技術聯絡人的電子郵件信箱會收到憑證串鏈壓縮檔, 解壓縮後包括 3 個檔案, 分別是 eca 根憑證 ( 檔名為 ROOTeCA_64.crt) PublicCA 中繼憑證 ( 檔名為 PublicCA2_64.crt) 與用戶端 SSL 伺服器軟體憑證 ( 檔名為 32 個英數字所組成, 此為憑證序號 ) 若是中華電信之所屬單位, 於經審驗核准申請之電子表單的資訊表單 IS 14- 伺服器應用軟體憑證申請 / 異動單頁面下方, 可以下載憑證串鏈壓縮檔, 解壓縮後可以取得憑證串鏈 3 個檔案從網站查詢與下載 : eca 憑證 : PublicCA G2 憑證 : SSL 憑證下載 : 您若是本公司之客戶, 請至 PublicCA 網站點選 SSL 憑證服務再點選 SSL 憑證查詢及下載, 進行 SSL 憑證下載若您是中華電信之員工, 負責管理單位之伺服器, 請至點選憑證與卡片作業, 再點選憑證查詢, 輸入查詢條件, 下載 SSL 憑證 (1) 以下步驟, 以 SHA-1 憑證為安裝範例點開 PublicCA_64.crt 點選詳細資料 4

5 點選複製到檔案出現以下憑證匯出精靈的畫面, 請點選下一步 5

6 出現以下憑證匯出精靈的畫面, 請勾選密碼編譯訊息語法標準 -PKCS#7 憑證及如果可能的話, 在憑證路徑中包含所有憑證兩個選項, 然後點選下一步點選瀏覽 6

7 出現另存新檔的畫面, 請選擇適當的資料夾位置, 檔案名稱請輸入 eca_publicca, 然後點選存檔出現以下憑證匯出精靈的畫面, 請點選下一步 7

8 出現以下憑證匯出精靈的畫面, 請點選完成出現以下憑證匯出精靈的畫面, 請點選確定, 即完成了 eca 根憑證及 PublicCA 憑證之憑證串鏈的取得 8

eca_publicca.p7b -inform DER -print_certs -out eca_publicca.crt (4) 接著, 可以將 server.key eca_publicca.

9 (2) 把在上一階段取得的 eca 根憑證及 PublicCA 憑證之憑證串鏈 eca_publicca.p7b 以及由憑證管理中心簽發給 SSL 伺服器的憑證, 複製 1 份或傳送 1 份 ( 請注意 : 如果使用 FTP 必須使用 Binary 模式來傳送 ) 到伺服器中 (3) 執行以下指令將憑證串鏈檔案由 DER 編碼格式轉換成 PEM(Base64) 編碼格式 : $ sudo openssl pkcs7 -in eca_publicca.p7b -inform DER -print_certs -out eca_publicca.crt (4) 接著, 可以將 server.key eca_publicca.crt SSL 伺服器憑證移到某個資料夾 ( ex: /etc/ssl/webssl/), 以方便管理 (5) 使用以下指令來啟動 Apache2 的 SSL 模組 $ sudo a2enmod ssl (6) 檢視 /etc/apache2/ports.conf 是否有 Listen 443 埠號 (port) (7) 修改 /etc/apache2/site-enabled 下的網站設定, 加入以下內容 ( 只要修改需要掛上憑證的網站 ) <VirtualHost [your ip address]:443> SSLEngine On SSLCertificateFile /etc/ssl/webssl/< 伺服器憑證 >.crt 或.cer SSLCertificateKeyFile /etc/ssl/webssl/server.key 9

SSLCertificateChainFile /etc/ssl/webssl/eca_publicca.crt ServerName www.test.com.

10 SSLCertificateChainFile /etc/ssl/webssl/eca_publicca.crt ServerName ServerAlias DocumentRoot 網站的路徑, 預設應該為 /var/www </VirtualHost> (8) 重新啟動 apache $ sudo service apache2 restart 重新啟動時,apache2 會要求輸入 server.key 的密碼 (9) 成功後, 請以 https 連線試試 SSL 加密通道 (10) 依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 二安裝 SSL 安全認證標章請用戶參考技術聯絡人的電子郵件信箱所收到的 SSL 憑證串鏈電子郵件內文的 SSL 安全認證標章安裝說明, 將網站 SSL 安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝的 SSL 憑證之狀態與資訊請中華電信公司負責維護網站的同仁, 參考從企業入口網站的電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單所下載 SSL 憑證串鏈檔案中的 SSLSealispec.txt, 將網站 SSL 安全認證標章安裝成功 10

11 附件一 : 設定 SSL 安全通道的加密強度 Apache2 使用 OpenSSL 的加密套件來做資料加密, 而 Apache2 加密套件的使用順序可在 /etc/apache2/mods-enabled/ssl.conf 中的 SSLCipherSuite 找到預設值是 HIGH:MEDIUM:!aNULL:!MD5, 也就是高加密 (HIGH encryption cipher suites, 如 AES 256 bit) 中加密(MEDIUM encryption cipher suites, 如 AES 128 bit) 的順序, 因此, 只要 OpenSSL 有支援 AES 256 bit 的加密套件, 伺服器預設就會優先使用 AES 256bit, 不需要做額外設定, 但需要檢查 OpenSSL 的版本 OpenSSL 於版開始支援 AES Cipher Suites, 請透過以下指令檢查 OpenSSL 版本是否高於 openssl version 所以只要網站與客戶端瀏覽器兩端之密碼模組妥適搭配, 即可支援最高等級之 256 位元對稱金鑰加密強度 11

12 附件二 : 停用 SSLv3.0 OpenSSL 1.0.1j 版本有針對 POODLE 弱點進行修補, 您可選擇同時更新 OpenSSL 版本與停用 SSLv3.0, 或是直接停用 SSLv3.0 請於 /etc/apache2/mods-enabled/ssl.conf 中找到 SSLProtocol, 並將 SSLProtocol all 改為 SSLProtcol all -SSLv3, 並重新啟動 Apache 啟動完成後, 使用可以測試工具 ( 註 1 註 2) 進行檢測, 看 SSL3.0 是否已停用註 1: 例如行政院國家資通安全會報技服中心網頁有介紹兩種檢測伺服器端 SSL 協定的工具 :(1) TestSSLServer ( (2) QUALYS SSL LABS SSL Server Test 檢測工具 ( 也是 CA/Browser Forum 網站建議的檢測工具 ) 可偵測伺服器所使用之加密協定, 因 2014 年 10 月中國際公告了 SSLv3 加密協定存在中間人攻擊弱點, 弱點編號 CVE (POODLE), 故建議不要使用 SSL V3 協定, 請改用 TLS 最新協定註 2: (1) 若是用戶端各平台之瀏覽器要停止使用 SSL V3 協定可參考之英文說明 (2) 請超連結至可檢測您用戶端之瀏覽器是否已經停用 SSL V3 (3) 若是 I.E. 瀏覽器可於工具列 -> 網際網路選項 -> 進階 -> 安全性取消勾選使用 SSL V3 與使用 SSL V2, 或參考下圖設定 ( 取材自行政院國家資通安全會報技服中心網頁 12

13 13

14 附件三 : 更換 SHA 256 憑證適用於申請時, 有同時取得 SHA-1 SHA 256 憑證或是憑證在效期內, 經由審驗人員再次核發 SHA256 憑證者有關國際間漸進淘汰 SHA-1 憑證移轉至 SHA 256 憑證細節, 請參閱問與答之金鑰長度與演算法 ( 點開 PublicCA2_64.crt, 並確認為 Public Certification Authority G2 切換至詳細資料, 點選複製到檔案 14

15 15

16 16

17 17

18 執行以下命令將憑證串鏈檔案由 DER 編碼格式轉換成 PEM 編碼格式 openssl pkcs7 -in eca_publicca2.p7b -inform DER -print_certs -out eca_publicca2.pem 修改 /etc/apache2/site-enabled 下的參數設定 SSLCertificateFile: 指向 SHA256 用戶端憑證路徑 SSLCertificateChainFile: 指向 eca_publicca2.pem 路徑 SSLCertificateKeyFile: 不需要修改重新啟動 apache 18

Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊

中華電信通用憑證管理中心 (PublicCA) Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本說明文件所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任目錄 Windows