Apache SSL 憑證請求檔製作與憑證安裝手冊

Size: px

Start display at page:

Download "Apache SSL 憑證請求檔製作與憑證安裝手冊"

剿甄
5 years ago
Views:

1 中華電信通用憑證管理中心 (PublicCA) Apache SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本手冊所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任本手冊適用於 Apache+mod_ssl 環境下之 SSL 伺服器軟體憑證安裝, Apache Server 可執行於 Unix like 的平台上 ( 例如 :Linux) 或是 Windows 平台, 請依照您的作業系統選擇適當的手冊參考本手冊的安裝程序, 已經在 Apache 或 Apache 版測試過, 您所使用的版本或環境可能與本版本有所差異, 若是如此則請參考您的 Web Server 及 SSL 模組相關使用手冊, 適度調整 SSL 伺服軟體憑證安裝步驟目錄 Linux Apache SSL 憑證請求檔製作手冊... 2 Linux Apache SSL 憑證安裝操作手冊... 5 Windows Apache SSL 憑證請求檔製作手冊 Windows Apache SSL 憑證安裝操作手冊附件一 : 設定 SSL 安全通道的加密強度附件二 : 停用 SSLv 附件三 : 更換 SHA 256 憑證

Linux Apache SSL 憑證請求檔製作手冊一產生憑證請求檔 (1) 產生憑證請求檔 (Certificate Signing Request file, 簡稱 CSR 檔 ) 需使用 OpenSSL 工具, 此工具通常安裝在 /usr/local/ssl/bin 目錄下 ( 可以使用 $ find / -name openssl -print 指令找到您安裝的目錄, 請確

2 Linux Apache SSL 憑證請求檔製作手冊一產生憑證請求檔 (1) 產生憑證請求檔 (Certificate Signing Request file, 簡稱 CSR 檔 ) 需使用 OpenSSL 工具, 此工具通常安裝在 /usr/local/ssl/bin 目錄下 ( 可以使用 $ find / -name openssl -print 指令找到您安裝的目錄, 請確定您已經安裝成功再執行下列指令 (2) 開始前, 請確認您 OpenSSL 的版本沒有受到 Heartbleed Bug 的影響, 您可輸入以下指令來確認您 OpenSSL 的版本若您的版本有 Heartbleed Bug, 建議先升級到修復版本, 再執行以下操作 $ openssl version 影響範圍 :1.0.1 ~ 1.0.1f / beta ~ beta1 修復版本 :1.0.1g / beta2 以後 (3) 產生以 3-DES 加密,PEM 格式的私密金鑰 ( 長度需為 RSA 2048 位元 ) 執行 openssl 程式如下 : $ openssl genrsa -des3 -out server.key 2048 若您的 SSL 憑證即將到期, 需更新憑證, 建議可以另開一個新的資料夾, 並在此資料夾下執行上述指令, 以避免線上使用的 server.key 被覆蓋依照國際密碼學規範, 請使用 RSA 2048 位元 ( 含 ) 以上金鑰長度 (4) 執行完畢後會產生私密金鑰檔案, 檔名為 server.key, 請您將此檔案備份, 執行過程會要求您輸入密碼 (pass phrase) Enter PEM pass phase: 一定要牢記此密碼, 日後每次啟動 TLS 通訊模式時, 皆會用到 (5) 產生憑證請求檔 $ openssl req -new -key server.key -out certreq.txt 執行過程會要求輸入密碼, 完畢後會產生憑證請求檔, 檔名為 certreq.txt 請輸入憑證主體資訊到憑證請求檔中, 不過 PublicCA 網站 SSL 憑證申請頁面只會擷取憑證請求檔的公開金鑰數值, 並不會使用以下憑證主體資訊, 而是以您在 PublicA 網頁投單所登打之組織與網站名稱資訊為準 2

進行身分審驗 Country Name:TW State or Province Name: Locality Name: 城市 ( 如 :Taipei) Organization Name: 組織名稱 ( 如 :CHT) Organizational Unit Name: 單位名稱 ( 如 :Information) Common name: 網站名稱 ( 如 :www.abc.com.

3 進行身分審驗 Country Name:TW State or Province Name: Locality Name: 城市 ( 如 :Taipei) Organization Name: 組織名稱 ( 如 :CHT) Organizational Unit Name: 單位名稱 ( 如 :Information) Common name: 網站名稱 ( 如 : address: 伺服器管理者電子郵件 ( 如 :abc@abc.com.tw) challenge password: 不需輸入, 按 enter 鍵略過 optional company name: 不需輸入, 按 enter 鍵略過 (6) 檢視憑證請求檔您可使用下面指令檢視您所產生的憑證請求檔 $openssl req -noout -text -in certreq.txt 請求檔內容範例如下 : 3

二將憑證請求檔存到儲存媒體, 完成製作憑證請求檔動作三請將產生的憑證請求檔 (certreq.txt) 複製, 請至中華電信通用憑證管理中心網站 (http://publicca.

4 二將憑證請求檔存到儲存媒體, 完成製作憑證請求檔動作三請將產生的憑證請求檔 (certreq.txt) 複製, 請至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 4

5 Linux Apache SSL 憑證安裝操作手冊一取得 eca 自簽憑證及 Public CA 憑證之憑證串鏈當您向 Public CA 申請的 SSL 伺服軟體憑證經審核通過並簽發之後, 您可先不用急著安裝所申請的 SSL 伺服軟體憑證, 而必須先取得 eca 自簽憑證及 PublicCA CA 憑證之憑證串鏈, 並在 Apache Server 上安裝 eca 自簽憑證及 PublicCA CA 憑證之憑證串鏈, 使您的 Apache Server 信賴 eca 及 Public CA 的 CA 憑證, 這樣您接下來安裝的 SSL 伺服軟體憑證才會正常運作如果您以前曾經在同一部 Apache Server 上成功安裝過 eca 自簽憑證及 Public CA CA 憑證之憑證串鏈, 則您可以跳過此步驟, 直接進行 SSL 伺服應用軟體憑證的安裝下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證, 可採取以下兩種方式之一取得 : 1. 您若是本公司之客戶, 技術聯絡人的電子郵件信箱會收到憑證串鏈壓縮檔, 解壓縮後包括 3 個檔案, 分別是 eca 根憑證 ( 檔名為 ROOTeCA_64.crt) PublicCA 中繼憑證 ( 檔名為 PublicCA2_64.crt) 與用戶端 SSL 伺服器軟體憑證 ( 檔名為 32 個英數字所組成, 此為憑證序號 ) 若是中華電信之所屬單位, 於經審驗核准申請之電子表單的資訊表單 IS 14- 伺服器應用軟體憑證申請 / 異動單頁面下方, 可以下載憑證串鏈壓縮檔, 解壓縮後可以取得憑證串鏈三個檔案 2. 從網站查詢與下載 : eca 憑證 : PublicCA G2 憑證 : SSL 憑證下載 : 您若是本公司之客戶, 請至 PublicCA 網站點選 SSL 憑證服務再點選 SSL 憑證查詢及下載, 進行 SSL 憑證下載若您是中華電信之員工, 負責管理單位之伺服器, 請至點選憑證與卡片作業, 再點選憑證查詢, 下載 SSL 憑證 ( 請選擇 Based 64 格式 ) ( 註 : 使用 IE 下載.crt 格式的憑證時,IE 會將副檔名.crt 改為.cer, 但編碼格式還是屬於 Base64) 3. 以下步驟, 以 SHA-1 憑證為安裝範例 5

6 打開儲存的 PublicCA_64.crt(PublicCA_64.cer) 4. 出現以下憑證檢視的畫面, 請點選詳細資料 5. 出現以下憑證詳細資料的畫面, 請點選複製到檔案 6

7 6. 出現以下憑證匯出精靈的畫面, 請點選下一步 7. 請勾選密碼編譯訊息語法標準 -PKCS#7 憑證及如果可能的話, 在 7

8 憑證路徑中包含所有憑證兩個選項, 然後點選下一步 ( 註 : 勾選如果可能的話, 在憑證路徑中包含所有憑證, 會將 PublicCA 中繼憑證與 eca 根憑證一起匯出 ) 8. 點選瀏覽 8

9 9. 出現另存新檔的畫面, 請選擇適當的資料夾位置, 檔案名稱請輸入 eca_publicca, 然後點選存檔 10. 出現以下憑證匯出精靈的畫面, 請點選下一步 11. 出現以下憑證匯出精靈的畫面, 請點選完成 9

12. 出現以下憑證匯出精靈的畫面, 請點選確定, 即完成了 eca 根憑證及 PublicCA CA 憑證之憑證串鏈的取得二安裝 eca 根憑證及 PublicCA 憑證之憑證串鏈接下來要在 Apache Server 上安裝 eca 根憑證及 Public CA CA 憑證之憑證串鏈,

把您在上一階段取得的 eca 根憑證及 Public CA 憑證之憑證串鏈 eca_publicca.p7b, 複製一份或傳送一份 ( 注意 : 如果使用 FTP 必須使用 Binary 模式來傳送 ) 到您的 Apache Server 的機器中 15.

10 12. 出現以下憑證匯出精靈的畫面, 請點選確定, 即完成了 eca 根憑證及 PublicCA CA 憑證之憑證串鏈的取得二安裝 eca 根憑證及 PublicCA 憑證之憑證串鏈接下來要在 Apache Server 上安裝 eca 根憑證及 Public CA CA 憑證之憑證串鏈, 使您的 Apache Server 信賴 eca 及 Public CA 的 CA 憑證步驟如下 : 13. 登入 Apache Server 機器 ( 註 : 您登入的帳號必須具有 root 或 apache 管理員的權限 ) 14. 把您在上一階段取得的 eca 根憑證及 Public CA 憑證之憑證串鏈 eca_publicca.p7b, 複製一份或傳送一份 ( 注意 : 如果使用 FTP 必須使用 Binary 模式來傳送 ) 到您的 Apache Server 的機器中 15. 執行以下命令將憑證串鏈檔案由 DER 編碼格式轉換成 PEM 編碼格式, 即 Base64 編碼格式 : openssl pkcs7 -in eca_publicca.p7b -inform DER -print_certs -out eca_publicca.pem 16. 執行以下命令將 PEM 編碼格式的憑證串鏈檔案複製為 Apache+mod_ssl 的 SSLCertificateChainFile: 10

11 cp eca_publicca.pem /usr/local/apache/conf/ssl.crt/ca.crt( 註 1: 以上命令假設您的 ssl.conf 或 httpd.conf 中的 SSLCertificateChainFile Directive 是指向 /usr/local/apache/etc/ssl.crt/ca.crt, 您可以依照自己的環境不同選擇使用不同的檔案位置註 2: 以上命令將會覆蓋原來存在 SSLCertificateChainFile Directive 所指向的檔案, 您可能會想要先將舊檔案備份起來, 以防萬一 ) 17. 以文字編輯器編輯 /usr/local/apache/conf/ssl.conf 檔 (mod_ssl 的組態設定檔 ), 在組態設定檔中找到 SSLCertificateChainFile Directive, 並修成以下內容 : SSLCertificateChainFile /usr/local/apache/conf/ssl.crt/ca.crt ( 註 1: 在有些 Apache+mod_ssl 環境中,mod_ssl 並沒有獨立的態設定檔, 在這種情形之下,SSLCertificateChainFile Directive 將會直接寫在 Apache 的 httpd.conf 組態設定檔中如果是這樣的話, 則您必須編輯 httpd.conf 而不是 ssl.conf 註 2: 如果原來的 SSLCertificateChainFile Directive 之前有 # 註解符號, 請記得 # 註解符號刪除, 否則 Directive 並不會生效 ) 18. 記得儲存編輯後的組態設定檔三安裝 SSL 伺服器軟體憑證接下要把 PublicCA 簽發給您的 SSL 伺服軟體憑證安裝到您的 Apache Server 上, 其步驟如下 : 18. 請確定已下載儲存已簽發之 SSL 伺服軟體憑證 ( 檔名為 32 個英數字所組成的 cer 或是 crt 檔案 ) ( 註 : 以下步驟假設您下載之 SSL 伺服軟體憑證的檔名已經改名為 server.cer, 如果您並非使用這個檔名, 請自行調整下面的步驟 ) 19. 登入到 Apache Server 機器 ( 註 : 您登入的帳號必須具有 root 或 apache 管理員的權限 ) 20. 目前已簽發之 SSL 伺服器軟體憑證皆為 PEM 編碼格式 ( 即 Base64 編碼格式 ), 若您的 SSL 伺服器軟體憑證為 DER 編碼格式, 請執行以下命令將 SSL 伺服軟體憑證由 DER 編碼格式轉換成 PEM 編碼格式 openssl x509 -in server.cer -inform DER -out server.pem 如何確認憑證編碼格式 : 請利用文字編輯器將憑證檔案開啟, 根據出現的畫面來判別憑證編碼格式 PEM 編碼格式 : 11

12 DER 編碼格式 : 21. 執行以下命令將 PEM 編碼格式的憑證串鏈檔案複製為 Apache+mod_ssl 的 SSLCertificateFile: cp server.pem /usr/local/apache/conf/ssl.crt/server.crt ( 註 : 以上命令假設您的 ssl.conf 或 httpd.conf 中的 SSLCertificateFile Directive 是指向 /usr/local/apache/conf/ssl.crt/server.crt, 您可以依照自己的環境不同選擇使用不同的檔案位置 ) 12

13 22. 以文字編輯器編輯 /usr/local/apache/conf/ssl.conf 檔 (mod_ssl 的組態設定檔 ), 在組態設定檔找到 SLCertificateFile Directive, 並修正以下內容 : SSLCertificateFile /usr/local/apache/conf/ssl.crt/ca.crt ( 註 1: 在有些 Apache+mod_ssl 環境中,mod_ssl 並沒有獨立的態設定檔, 在這種情形之下,SSLCertificateFile Directive 及 SSLCertificateKeyFile Directive 將會直接寫在 Apache 的 httpd.conf 組態設定檔中如果是這樣的話, 則您必須編輯 httpd.conf 而不是 ssl.conf 註 2: 以上步驟假設您的 SSLCertificateKeyFile 是 /usr/local/apache/conf/ssl.key/server.key 這個檔案, 如果您的 SSL Server 金鑰並不是存放在這個位置, 請在 SSLCertificateKeyFile Directive 中指定正確的位置請注意這個 SSL Server 金鑰必須是當初您用來產生憑證請求檔 (CSR 檔 ) 的同一個金鑰, 否則將無法成功建立 SSL 連線 ) 23. 記得儲存編輯後的組態設定檔 24. 使用以下兩個命令, 重新啟動 Apache Server: /usr/local/apache/bin/apachectl stop /usr/local/apache/bin/apachectl start 25. 依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 26. 安裝 SSL 安全認證標章 : 請用戶參考技術聯絡人的電子郵件信箱所收到 SSL 憑證串鏈電子郵件內文的 SSL 安全認證標章安裝說明, 將網站 SSL 安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝 SSL 憑證的狀態與資訊請中華電信公司負責維護網站的同仁, 參考從企業入口網站的電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單所下載 SSL 憑證串鏈檔案中的 SSLSealispec.txt, 內有 SSL 安全認證標章安裝說明, 請參考將網站 SSL 安全認證標章安裝成功 13

14 Windows Apache SSL 憑證請求檔製作手冊一產生憑證請求檔 (1) 產生憑證請求檔 (Certificate Signing Request file, 簡稱 CSR 檔 ) 需使用 OpenSSL 工具, 此工具通常安裝在 <apache 安裝目錄 >/bin 目錄下, 會包含一個 openssl.exe 檔案 (2) 開始前, 請確認您 OpenSSL 的版本沒有受到 Heartbleed Bug 的影響, 您可輸入以下指令來確認您 OpenSSL 的版本若您的版本有 Heartbleed Bug, 建議先升級到修復版本, 再執行以下操作 $ openssl version 影響範圍 :1.0.1 ~ 1.0.1f / beta ~ beta1 修復版本 :1.0.1g / beta2 以後 (3) 因 Windows 系統下的 Apache 無法詢問私密金鑰密碼, 故產生不加密之 PEM 格式的私密金鑰 ( 長度需為 RSA 2048 位元 ) 執行 openssl 程式如下 : $ openssl genrsa -out <server.key 儲存路徑 >

15 若您的 SSL 憑證即將到期, 需更新憑證, 建議可以另開一個新的資料夾, 並在此資料夾下執行上述指令, 以避免線上使用的 server.key 被覆蓋依照國際密碼學規範, 請使用 RSA 2048 位元 ( 含 ) 以上金鑰長度 (4) 執行完畢後會產生私密金鑰檔案, 檔名為 server.key, 請您將此檔案備份若是在提出憑證申請後, 金鑰遺失, 核發下來的憑證將會無法使用, 需要重新提出申請與廢止憑證 (5) 產生憑證請求檔 $ openssl req -new -key <server.key 路徑 > -out <certreq.txt 儲存路徑 > 若您在執行此指令時遇到 WARNING: can t open config file 的訊息, 請先找出 Apache 安裝目錄下的 openssl.cnf, 然後執行以下環境變數設定後, 在執行產製憑證請求檔指令 set OPENSSL_CONF=<openssl.cnf 所在路徑 > 請輸入憑證主體資訊到憑證請求檔中, 不過 PublicCA 網站 SSL 憑證申請頁面只會擷取憑證請求檔的公開金鑰數值, 並不會使用以下憑證主體資訊, 而是以您在 PublicA 網頁投單所登打之組織與網站名稱資訊為準進行身分審驗 Country Name:TW State or Province Name: 不需輸入, 按 enter 鍵略過 Locality Name: 城市 ( 如 :Taipei) Organization Name: 組織名稱 ( 如 :CHT) Organizational Unit Name: 單位名稱 ( 如 :Information) 15

16 Common name: 網站名稱 ( 如 : address: 伺服器管理者電子郵件 ( 如 :abc@abc.com.tw) A challenge password: 不需輸入, 按 enter 鍵略過 An optional company name: 不需輸入, 按 enter 鍵略過 (6) 檢視憑證請求檔您可使用下面指令檢視您所產生的憑證請求檔 $openssl req -noout -text -in <certreq.txt 所在路徑 > 請求檔內容範例如下 : 16

17 二將憑證請求檔存到儲存媒體, 完成製作憑證請求檔動作三請將產生的憑證請求檔 (certreq.txt) 複製, 請至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證若屬於中華電信公司各單位申請 SSL 憑證者, 請從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 17

18 Windows Apache SSL 憑證安裝操作手冊一取得 eca 自簽憑證及 Public CA 憑證之憑證串鏈當您向 Public CA 申請的 SSL 伺服軟體憑證經審核通過並簽發之後, 您可先不用急著安裝所申請的 SSL 伺服軟體憑證, 而必須先取得 eca 自簽憑證及 PublicCA CA 憑證之憑證串鏈, 並在 Apache Server 上安裝 eca 自簽憑證及 PublicCA CA 憑證之憑證串鏈, 使您的 Apache Server 信賴 eca 及 Public CA 的 CA 憑證, 這樣您接下來安裝的 SSL 伺服軟體憑證才會正常運作如果您以前曾經在同一部 Apache Server 上成功安裝過 eca 自簽憑證及 Public CA CA 憑證之憑證串鏈, 則您可以跳過此步驟, 直接進行 SSL 伺服應用軟體憑證的安裝下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證, 可採取以下兩種方式之一取得 : 1. 您若是本公司之客戶, 技術聯絡人的電子郵件信箱會收到憑證串鏈壓縮檔, 解壓縮後包括 3 個檔案, 分別是 eca 根憑證 ( 檔名為 ROOTeCA_64.crt) PublicCA 中繼憑證 ( 檔名為 PublicCA2_64.crt) 與用戶端 SSL 伺服器軟體憑證 ( 檔名為 32 個英數字所組成, 此為憑證序號 ) 若是中華電信之所屬單位, 於經審驗核准申請之電子表單的資訊表單 IS 14- 伺服器應用軟體憑證申請 / 異動單頁面下方, 可以下載憑證串鏈壓縮檔, 解壓縮後可以取得憑證串鏈三個檔案 2. 從網站查詢與下載 : eca 憑證 : PublicCA G2 憑證 : SSL 憑證下載 : 您若是本公司之客戶, 請至 PublicCA 網站點選 SSL 憑證服務再點選 SSL 憑證查詢及下載, 進行 SSL 憑證下載若您是中華電信之員工, 負責管理單位之伺服器, 請至點選憑證與卡片作業, 再點選憑證查詢, 下載 SSL 憑證 ( 請選擇 Based 64 格式 ) ( 註 : 使用 IE 下載.crt 格式的憑證時,IE 會將副檔名.crt 改為.cer, 但編碼格式還是屬於 Base64) 3. 以下步驟, 以 SHA 256 憑證為安裝範例 18

19 打開儲存的 PublicCA2_64.crt(PublicCA2_64.cer) 4. 出現憑證檢視的畫面後, 請點選詳細資料複製到檔案 5. 請依照下面步驟, 匯出 PKCS7 格式檔案 19

20 20

21 21

p7b 檔案所在路徑 > -inform DER -print_certs -out <eca_publicca.crt 檔案儲存路徑 > 2. 請確定已下載儲存已簽發之 SSL 伺服軟體憑證 ( 檔名為 32 個英數字所組成的 cer 或是 crt 檔案 ) 3.

22 二安裝 eca 根憑證及 PublicCA 憑證之憑證串鏈與 SSL 憑證接下來要在 Apache Server 上安裝 eca 根憑證及 Public CA 中繼憑證之憑證鏈, 使您的 Apache Server 信賴 eca 及 Public CA 的 CA 憑證步驟如下 : 1. 利用 OpenSSL, 將上一階段取得之 eca_publicca2.p7b 由 DER 編碼格式轉換成 PEM 編碼格式, 即 Base64 編碼格式 openssl pkcs7 -in <eca_publicca.p7b 檔案所在路徑 > -inform DER -print_certs -out <eca_publicca.crt 檔案儲存路徑 > 2. 請確定已下載儲存已簽發之 SSL 伺服軟體憑證 ( 檔名為 32 個英數字所組成的 cer 或是 crt 檔案 ) 3. 目前已簽發之 SSL 伺服器軟體憑證皆為 PEM 編碼格式 ( 即 Base64 編碼格式 ), 若您的 SSL 伺服器軟體憑證為 DER 編碼格式, 請執行以下命令將 SSL 伺服軟體憑證由 DER 編碼格式轉換成 PEM 編碼格式 openssl x509 -in < 伺服器憑證路徑 > -inform DER -out <server.crt 檔案儲存路徑 > 如何確認憑證編碼格式 : 請利用文字編輯器將憑證檔案開啟, 根據出現的畫面來判別憑證編碼格式 22

$PEM 編碼格式 : DER 編碼格式 : 4. 利用文字編輯器開啟 httpd-ssl.conf, 檔案可能位置為 <apache 安裝路徑 >\conf\extra\ 目錄下 5.$

23 PEM 編碼格式 : DER 編碼格式 : 4. 利用文字編輯器開啟 httpd-ssl.conf, 檔案可能位置為 <apache 安裝路徑 >\conf\extra\ 目錄下 5. 修改以下三個參數並存檔 SSLCertificateFile: 伺服器憑證 (.cer 或.crt) 檔案路徑 SSLCertificateKeyFile: 私密金鑰檔案路徑 SSLCertificateChainFile:eCA_PublicCA2.crt 檔案路徑 23

24 請注意這個 SSLCertificateKeyFile 所指向的金鑰必須是當初您用來產生憑證請求檔 (CSR 檔 ) 的同一個金鑰, 否則將無法成功建立 SSL 連線 6. 重新啟動 Apache 7. 依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 8. 成功後, 請以 https 連線試試加密通道 24

25 三安裝 SSL 安全認證標章請用戶參考技術聯絡人的電子郵件信箱所收到 SSL 憑證串鏈電子郵件內文的 SSL 安全認證標章安裝說明, 將網站 SSL 安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝 SSL 憑證的狀態與資訊請中華電信公司負責維護網站的同仁, 參考從企業入口網站的電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單所下載 SSL 憑證串鏈檔案中的 SSLSealispec.txt, 內有 SSL 安全認證標章安裝說明, 請參考將網站 SSL 安全認證標章安裝成功 25

26 附件一 : 設定 SSL 安全通道的加密強度 Apache 使用 OpenSSL 的加密套件來做資料加密, 而 Apache 加密套件的使用順序可在 http.conf 或是 http-ssl.conf 中的 SSLCipherSuite 找到預設值是 HIGH:MEDIUM:!aNULL:!MD5, 也就是加密強度高 (HIGH encryption cipher suites, 如 AES 256 bit) 加密強度中 (MEDIUM encryption cipher suites, 如 AES 128 bit) 的順序, 因此, 只要 OpenSSL 有支援 AES 256 bit 的加密套件, 伺服器預設就會優先使用 AES 256bit, 不需要做額外設定, 但需要檢查 OpenSSL 的版本 OpenSSL 於版開始支援 AES Cipher Suites, 請透過以下指令檢查 OpenSSL 版本是否高於 openssl version 26

27 附件二 : 停用 SSLv3.0 OpenSSL 1.0.1j 版本有針對 POODLE 弱點進行修補, 您可選擇同時更新 OpenSSL 版本與停用 SSLv3.0, 或是直接停用 SSLv3.0 先開啟 http.conf 或是 http-ssl.conf 檔案, 並找到 SSLProtocol all -SSLv2, 其意思為所有 SSL 通訊協定, 扣除 SSLv2.0 因此, 若要停用 SSLv3.0, 只要將上述改為 SSLProtocol all -SSLv2 -SSLv3, 重新啟動 Apache 即可啟動完成後, 可使用測試工具 ( 註 1 註 2) 進行檢測, 看 SSLv3.0 是否已停用註 1: 例如行政院國家資通安全會報技服中心網頁有介紹兩種檢測伺服器端 SSL 協定的工具 :(1) TestSSLServer ( (2) QUALYS SSL LABS SSL Server Test 檢測工具 ( 也是 CA/Browser Forum 網站建議的檢測工具 ) 可偵測伺服器所使用之加密協定, 因 2014 年 10 月中國際公告了 SSLv3 加密協定存在中間人攻擊弱點, 弱點編號 CVE (POODLE), 故建議不要使用 SSL V3 協定, 請改用 TLS 最新協定註 2: (1) 若是用戶端各平台之瀏覽器要停止使用 SSL V3 協定可參考之英文說明 (2) 請超連結至可檢測您用戶端之瀏覽器是否已經停用 SSL V3 (3) 若是 I.E. 瀏覽器可於工具列 -> 網際網路選項 -> 進階 -> 安全性取消勾選使用 SSL V3 與使用 SSL V2, 或參考下圖設定 ( 取材自行政院國家資通安全會報技服中心網頁 27

28 28

29 附件三 : 更換 SHA 256 憑證適用於申請時, 有同時取得 SHA-1 SHA 256 憑證或是憑證在效期內, 經由審驗人員再次核發 SHA256 憑證者有關國際間漸進淘汰 SHA-1 憑證移轉至 SHA 256 憑證細節, 請參閱問與答之金鑰長度與演算法 ( 點開 PublicCA2_64.crt, 並確認為 Public Certification Authority - G2 切換至詳細資料, 點選複製到檔案 29

30 30

31 31

32 32

33 執行以下命令將憑證串鏈檔案由 DER 編碼格式轉換成 PEM 編碼格式 openssl pkcs7 -in eca_publicca2.p7b -inform DER -print_certs -out eca_publicca2.pem 修改 SSLCertificateFile: 指向 SHA256 用戶端憑證路徑 SSLCertificateChainFile: 指向 eca_publicca2.pem 路徑 SSLCertificateKeyFile: 不需要修改重新啟動 Apache Server 33

Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊

Ubuntu Apache2 伺服器SSL憑證請求檔製作與憑證安裝手冊中華電信通用憑證管理中心 (PublicCA) Ubuntu Apache2 伺服器 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本手冊所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任本手冊的安裝程序,