Портал документации Рутокен

Page tree

You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 2 Current »

Cоздайте и выпустите SSL/TLS-сертификаты для настройки защищенного соединения с сервисами Рутокен KeyBox:

В разделе описывается настройка шаблонов и выпуск сертификатов в Microsoft CA.
Инструкции для других поддерживаемых УЦ


Требования к сертификату

Серверный сертификат

  • Субъект (Subject) сертификата должен содержать FQDN сервера Rutoken KeyBox;
  • Дополнительное имя субъекта (Subject Alternative Name) сертификата должно содержать атрибут DNS-имя (DNS Name) (FQDN сервера Rutoken KeyBox), например, server.demo.loc, или соответствующую запись с подстановочными знаками, например *.demo.loc (Wildcard certificate);
  • Улучшенный ключ (Enhanced Key Usage) сертификата серверной аутентификации должен содержать значение «Проверка подлинности сервера» (Server Authentication).

Клиентский сертификат

  • Субъект (Subject) сертификата содержит FQDN сервера Rutoken KeyBox;
  • Улучшенный ключ (Enhanced Key Usage) сертификата содержит значение «Проверка подлинности клиента» (Client Authentication).

Создание шаблона сертификата

Подготовьте шаблон сертификата. В инструкции описана настройка шаблона сертификата в УЦ Microsoft CA.

  1. В оснастке управления УЦ certsrv правой кнопкой мыши нажмите на Шаблоны сертификатов (Certificate Templates) и выберите Управление (Manage).
  2. Скопируйте предустановленный шаблон Веб-сервер (Web Server): правой кнопкой мыши нажмите на название шаблона и выберите Скопировать шаблон (Duplicate Template). Откроется окно свойств нового шаблона.
    • для серверного сертификата: Веб-сервер (Web Server);
    • для клиентского сертификата: Проверка подлинности рабочей станции (Workstation Authentication).
  3. На вкладке Общие (General) укажите имя шаблона сертификата. При необходимости укажите период действия сертификата и период обновления.
  4. На вкладке Обработка запроса (Request Handling) включите опцию Разрешить экспортировать закрытый ключ (Allow private key to be exported).
  5. На вкладке Шифрование (Cryptography) измените минимальный размер ключа при необходимости.
  6. На вкладке Безопасность (Security) укажите имя сервера для запроса сертификата:
    1. Нажмите Добавить (Add)→Типы объектов (Object Types), включите опцию Компьютеры (Computers) и нажмите ОК.
    2. Введите имя сервера, где расположен Рутокен KeyBox, и нажмите ОК.
  7. В списке разрешений напротив опции Заявка (Enroll) включите Разрешить (Allow), чтобы разрешить запрос сертификата.
  8. Нажмите Применить (Apply) и ОК.
  9. Опубликуйте созданный шаблон сертификата:
    1. Перейдите в оснастку управления УЦ certsrv.
    2. Правой кнопкой мыши нажмите на Шаблоны сертификатов (Certificate Templates) и выберите Создать (New)→Выдаваемый шаблон сертификата (Certificate Template to Issue).
    3. В окне Включение шаблонов сертификатов (Enable Certificate Templates) выберите созданный шаблон. Шаблон опубликуется в УЦ.
  10. Закройте certsrv.

Выпуск сертификата

Выпустите TLS-сертификат на имя рабочей станции, где будет установлен веб-сервер. Сертификат можно выпустить:

  • в УЦ;
  • с помощью самоподписанного сертификата.

УЦ

В инструкции описан процесс выпуска сертификата в УЦ Microsoft CA.

  1. Откройте оснастку certs и перейдите в раздел хранилища локального компьютера Сертификаты (локальный компьютер) (Certificates (loc Computer)).
  2. Правой кнопкой мыши нажмите Личное (Personal).
  3. Выберите Все задачи (All Tasks)→Запросить новый сертификат (Request New Certificate).
  4. В окне Регистрация сертификатов (Certificate Enrollment) два раза нажмите Далее (Next) и активируйте чекбокс с названием шаблона сертификата.
  5. Нажмите на ссылку Требуется больше данных для подачи заявки на этот сертификат. Щелкните здесь для настройки параметров (More information is required to enroll for this certificate. Click here to configure settings), чтобы указать дополнительную информацию для запроса сертификата. Откроется окно свойств сертификата.
  6. На вкладке Субъект (Subject):
    1. В поле Имя субъекта (Subject name) в выпадающем списке Тип (Type) выберите Общее имя (Common name).
    2. Введите FQDN сервера Rutoken KeyBox и нажмите Добавить (Add).
    3. В поле Дополнительное имя (Alternative name) в выпадающем списке Тип (Type) выберите DNS.
    4. Введите FQDN сервера Rutoken KeyBox и нажмите Добавить (Add).
    5. При необходимости создайте маску имени домена для Wildcard сертификатов, которые предъявляют серверы с различными именами. В поле Дополнительное имя (Alternative name) в выпадающем списке Тип (Type) выберите DNS и введите имя домена, например, *.demo.loc. Нажмите Добавить (Add).
  7. Нажмите OK.
  8. Перейдите на вкладку Закрытый ключ (Private Key)→Параметры ключа (Key Options) и убедитесь, что опция Сделать закрытый ключ экспортируемым (Make private key exportable) включена. Нажмите OK.
  9. Нажмите Заявка (Enroll).

Убедитесь, что сертификат выпущен и установлен в хранилище локального компьютера (Сертификаты (Certificates) → Личное (Personal) → Сертификаты (Certificates)).

Самоподписанный сертификат

Самоподписанный корневой сертификат создается с помощью утилиты openssl.

  1. Создайте закрытый ключ, а затем корневой сертификат с использованием сгенерированного ключа:

    openssl genrsa -out ca.key 2048
openssl req -x509 -new -nodes -key ca.key -out ca.crt -days 3650 -subj "/CN=selfCA"
     

  2. Создайте файл конфигурации SSL.conf, который содержит настройки для генерации запроса на сертификат веб-сервера. Вместо <FQDN сервера Rutoken KeyBox> подставьте DNS-имя рабочей станции, где будет установлен веб-сервер.

    nano SSL.conf

  3. В параметрах commonName и DNS.1 укажите DNS-имя рабочей станции, где вы планируете установить веб-сервер (для выпуска серверного сертификата) или сервер Rutoken KeyBox (для выпуска клиентского сертификата).

    Пример содержимого файла SSL.conf 
    [ req ]
default_bits = 2048
encrypt_key = no
default_md = sha256
utf8 = yes
string_mask = utf8only
prompt = no
distinguished_name = req_distinguished_name
req_extensions = req_ext
[ req_distinguished_name ]
commonName = <FQDN сервера RutokenKeyBox>
[ req_ext ]
subjectAltName = @alt_names
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
basicConstraints = CA:FALSE
extendedKeyUsage = serverAuth
[alt_names]
DNS.1 = <FQDN сервера RutokenKeyBox>

  4. Создайте запрос на сертификат и выпустите сертификат с помощью самоподписанного сертификата.

    openssl genrsa -out SSL.key 2048
openssl req -new -sha256 -out SSL.csr -key SSL.key -config SSL.conf
openssl x509 -req -days 365 -in SSL.csr -CA ca.crt -CAkey ca.key -CAcreateserial -extfile SSL.conf -extensions req_ext -out SSL.crt

Убедитесь, что сертификат выпущен и установлен в хранилище локального компьютера (Сертификаты (Certificates) → Личное (Personal) → Сертификаты (Certificates)).


  • No labels