Documentation<Précédent | Table des matières | Suivant>
5.2. Générer une demande de signature de certificat (CSR)
Que vous obteniez un certificat d'une autorité de certification ou que vous génériez votre propre certificat auto-signé, la première étape consiste à générer une clé.
Si le certificat sera utilisé par des démons de service, comme Apache, Postfix, Dovecot, etc., une clé sans phrase secrète est souvent appropriée. Le fait de ne pas avoir de phrase secrète permet aux services de démarrer sans intervention manuelle, ce qui est généralement le moyen préféré pour démarrer un démon.
Cette section couvrira la génération d'une clé avec une phrase secrète et une autre sans. La clé sans mot de passe sera ensuite utilisée pour générer un certificat pouvant être utilisé avec divers démons de service.
L'exécution de votre service sécurisé sans phrase secrète est pratique car vous n'aurez pas besoin d'entrer la phrase secrète à chaque démarrage de votre service sécurisé. Mais il n'est pas sûr et une compromission de la clé signifie également une compromission du serveur.
Pour générer le clés pour la demande de signature de certificat (CSR), exécutez la commande suivante à partir d'une invite de terminal :
openssl genrsa -des3 -out serveur.clé 2048
Génération de clé privée RSA, module long de 2048 bits
........................++++++
.......++++++
e est 65537 (0x10001)
Saisissez la phrase de passe pour server.key :
Vous pouvez maintenant saisir votre mot de passe. Pour une meilleure sécurité, il doit contenir au moins huit caractères. La longueur minimale lors de la spécification de -des3 est de quatre caractères. Il doit inclure des chiffres et/ou des signes de ponctuation et ne pas être un mot dans un dictionnaire. N'oubliez pas non plus que votre mot de passe est sensible à la casse.
Retapez la phrase secrète pour vérifier. Une fois que vous l'avez retapé correctement, la clé du serveur est générée et stockée dans le clé.serveur fichier.
Créez maintenant la clé non sécurisée, celle sans phrase secrète, et mélangez les noms de clé :
openssl rsa -in serveur.clé -out serveur.clé.non sécurisé mv serveur.clé serveur.clé.sécurisé
mv server.key.serveur non sécurisé.key
La clé non sécurisée est maintenant nommée clé.serveur, et vous pouvez utiliser ce fichier pour générer le CSR sans phrase secrète. Pour créer le CSR, exécutez la commande suivante à l'invite du terminal :
openssl req -new -key serveur.key -out serveur.csr
Il vous demandera d'entrer la phrase secrète. Si vous saisissez la phrase secrète correcte, il vous sera demandé de saisir le nom de l'entreprise, le nom du site, l'identifiant de l'e-mail, etc. Une fois que vous aurez saisi tous ces détails, votre CSR sera créé et il sera stocké dans le serveur.csr fichier.
Vous pouvez maintenant soumettre ce fichier CSR à une autorité de certification pour traitement. L'AC utilisera ce fichier CSR et émettra le certificat. D'autre part, vous pouvez créer un certificat auto-signé à l'aide de ce CSR.