Издаване собствен SSL сертификат
Сертификати за сигурност се използват често. Например, за безопасната експлоатация на корпоративната електронна поща. С този сертификат осигурява криптиране на данни, предавани между клиента и сървъра. За да се получи такъв сертификат, трябва да се свържете доверен CA и го помоли да издаде сертификат за вас. Но тези услуги не са безплатни. С пускането на удостоверението за сигурност не е голяма работа. Вие сами може да го направи.
Единствената разлика е, че сертификатът, че няма да пусне да се има доверие. Това означава, че на клиентския компютър ще издаде предупреждение, че той не знае доставчикът сертификат, издал сертификата, че правилното логично.
Представете си, че това, което може да е потребител с Урал с достъпа до него корпоративен портал. И той съобщи, че за шифроване на сертификата ще бъде използван, което освобождава Вася Pupkin. Е, кой е този Йоан, и че той е освободен? Мога ли да му се доверите? Не е ясно. Друго нещо, ако всички потребители ще знаят това Вася и напълно му се доверите. В последния случай, че е възможно да се използва удостоверение, че самият той освободен. В предупредителното съобщение, можете просто да кликнете върху "Напред към този сайт (не се препоръчва)"
За да освободите свой собствен сертификат за сигурност можете да отидете два начина. Разширете своя организация цялостна сертификация (Сертифициращ орган) на Центъра, или да използвате програма selfssl.exe. Разликата между тези два метода се състои в прилагането им.
Разгъване Сертификационен център можете да си осигурите автоматично издаване на удостоверения по искане на потребителите. Следете издадени сертификати, както и да ги отмени, ако е необходимо. Ако трябва да се издаде само един сертификат за да се гарантира безопасната експлоатация на корпоративен портал, или по електронна поща чрез OWA, тя ще бъде по-лесно за използване на полезност selfssl.exe.
Изберете начина на персонализирана инсталация и щракнете върху Напред, за да продължите с инсталацията.
След това изберете инсталацията път или да приеме този, който вече е одобрен, и кликнете Next
Пакетът включва много инструменти. Ние сме заинтересовани от само едно нещо. Премахнете всички кутии с изключение на един, както е показано по-горе. След това кликнете върху Next.
Стартирайте приложението може да се инсталира от менюто Старт на Windows, както е показано на фигурата.
Стартирайте инструмента, ще видите прозореца на командния ред, в който, за определяне на необходимите параметри, вие ще бъдете в състояние да издават свой собствен сертификат за сигурност.
Както можете да видите на параметрите, които могат да бъдат определени, доста. Нека се опитаме да се справим с всеки един от тях:
На vopos "Искате ли да замените настройките на SSL за сайт 1 (Y / N)?" Прес "у". Ако не сте инсталирали IIS тогава вие ще получите съобщение "Грешка при отваряне на метабазата: 0x80040154" - просто да го игнорирате.
Е издаден Сертификат. Сега можете да правите с него каквото си искате. Например, за да инсталирате на вашия уеб-сайт. Нека да видим как да го направя. За да започнете, трябва да изтеглите сертификата си. За да направите това, стартирайте конзолата за управление на Microsoft (MMC). Кликнете Start-> Run ... -> тип MMC, и натиснете Enter.
След това кликнете върху File -> Add / Remove Snap в ...
В прозореца, който се появява, щракнете върху Добави ...
След това изберете Сертификати и кликнете върху Добавяне ...
Изберете Computer сметка и кликнете върху Next
Сега натиснете Finish
добавят прикачени файлове. Щракнете върху Затвори. за да затворите диалоговия прозорец и OK, за да ходи на работа с аксесоари.
Разширете Crtificates (Local Computer) Лични и след това изберете сертификати. В дясно ще видите Вашия сертификат. Щракнете с десния бутон на мишката. Изберете Всички задачи. и след това Export.
В отворилия се диалогов прозорец, щракнете върху Next.
Ако искате да използвате сертификата на вашия уеб-сайт, за това е необходимо да качите частния ключ. Изберете "Да, изнася частния ключ" и кликнете Next.
Е, как да качите частен ключ, сертификат за по-добър запис възстановяване. Въведете паролата или оставете полето празно (това не се препоръчва). кликнете Next.
Въведете името на файла, под който се води делото ще се съхраняват на диск. Например owa.contoso.com и кликнете Next.
В следващия прозорец, щракнете върху Finish.
Сертификатът е разтоварен и готов за употреба. Сега, това трябва да се инсталира на вашия уеб-сайт. В следващата статия, аз ще покажа как да го направя.
Разбира се, можете да го направите, но след това skomprometirute цялата система за сигурност въз основа на сертификати за сигурност и публични ключове.
Prvatny ключ на клиента не се нуждае, защото това е необходимо за сертификат за криптиране, и за дешифриране достатъчно на общественото (публичния ключ) на.
Като цяло, публичния ключ - прозорец към гроба, където можете да видите и да идентифицира тялото на главата, а ключът Privetnoye - ключът на цялата капака ковчег, който може да бъде открита на мястото на тялото, като запазите главата си.
Е, въпросът не е за клиента. Ако се съди по текста, ние сме ангажирани в сертификата за износ на последващ монтаж на друг уеб сървър (например за SSL). В този случай, не изнасят частния ключ, т.е. ако разбирам правилно, тя се изнася само публичния ключ, който няма да бъде използвана на уеб сървър
Колеги, вие сте и двете десни. За да инсталирате друг уеб-сървър е необходим личен ключ. Очевидно историята ще има малко докосване. 🙂
Денис, благодаря ви за вашето мнение. Саша Stankevich ми даде лекция за безопасност. Сега пиша статия за случаите, в които не се използват ltschshe самоподписани сертификати, както и защо.
И смятам да пиша за това колко лесно е да издава такива сертификати в IIS 7.
Цялата същност на статията е сведена до няколко реда
> Selfssl.exe полезност включени IIS6 Resource Kit Инструменти пакет.
...
> Както можете да видите на параметрите, които могат да бъдат определени, доста. Нека се опитаме да се справим с всеки един от тях:
/ N: CN е името на вашия сайт като owa.contoso.com.
/ K: определя дължината на ключа. Стойността по подразбиране е 1024.
/ V: брой дни преди сертификатът е завършена.
/ S: Стая сайт в IIS. По подразбиране е 1.
/ P: номер на порт. Standard е 443. Тази стойност е зададена по подразбиране.
Останалата част - вода. Защо това трябва да е - много писма и безполезно - не е ясно.
> Dennis, благодаря за върха. Саша Stankevich ми даде лекция за безопасност. Сега пиша статия за случаите, в които не се използват ltschshe самоподписани сертификати, както и защо.
но в почти всички случаи не luchsche използват.
Е, по мое мнение по-добре от по-универсални неща, като една и съща makecert. 🙂
Аз ще пост няколко седмици работа (60 стр. А4) репликация, има реална експлозия на мозъка. И някои хора казват, FIII ... нещо много сложни знаци.
> Идеално, когато дойде денят, 3 ниво след 100 200 и 300. Но това не е постижимо.
Конструктивна предложение: въведете етикет за всеки член на нивото на сложност. Възможно е да има мс, че е възможно някой друг система.
> И с каква цел се prisleduet?
От позицията "За" "Какво искаме да постигнем?".))
> Ние ще създаде платформа, където специалисти могат да общуват и да научат нови неща. Новак администратори могат да разберат
И все пак, в която statya три съществени линии, вода и няколко снимки, като натиснете "Напред", за да инсталирате програмата е твърде много дори и за начинаещи.
И вашата колективна статия ще очакваме с нетърпение 🙂
Какво искаш сертификат SSL на уеб сайт? Да предположим, на сайта ще трябва да въведете някои лични данни, и те могат да бъдат засечени чрез интернет (човек-в-средата). Добре, всички потребители ще трябва да имате инсталиран самоподписаният сертификат (открита част) в контейнер Trusted Root сертифициращи органи. Както знаете, основни сертификати са крайната точка на доверието и на текущото изпълнение на сертификат верижното двигател не може да потвърди, че главният сертификат за преглед. Какво означава това? Това означава, че ако частният ключ е бил по някакъв начин излага на риск, тогава няма да може да го оттегли. 2 причини за това:
1) не е интерфейс, който ще ни позволи да направи това;
2) е свидетелство за корен и не могат да бъдат проверени за преглед.
Следователно, ако частният ключ е компрометирано, ще трябва да се промени удостоверението на уеб сайта, както и клиенти, за да преинсталирате нов сертификат в контейнер доверен CA. Ако смяната на удостоверението на уеб сайта не причиняват никакви проблеми, заместващия сертификат на клиента - това ще бъде един много голям проблем.
Обърнете се към легитимността на съществуването на такава статия, само да го има ниво 100 - не е добро. Всяко ниво трябва да научи точните понятия. А ниво на сложност показва само целевата аудитория, за която писмени материали. Аз не твърдя, истината най-висшия съд, просто показа своите аргументи по този въпрос.
к.с. selfssl погледна снимка и веднага привлече на въпроса: защо има ключово пристанище? В крайна сметка, в сертификата пристанища предмета, използвани от службите не са изброени.
> Кликнете Start-> Run ... -> тип MMC, и натиснете Enter.
и снимките на гледката. Има Start -> Run ...
> Въведете паролата или оставете полето празно (това не се препоръчва)
не можете да експортирате сертификата за pkcs12 парола, без да се започне с Windows Vista, така че е празен те оставя не може. Такава грозота е възможно само в системи за Vista.
Е, грешките в текста на много граматични и пунктуационни грешки. Тук Миша трябва да работи по граматика.
"Книги различни потребности, различни книги са важни"
Понякога, но това, което наистина е там - доста често :) нужда е минималната стъпка стъпка по. Когато се налага да се направи вчера, и време, и учат и изкопаване в нюансите там. Тя не е нито добро, нито лошо, така че просто се яде. Обективно. Ето защо в статията и ще се появи ниво на ресурсите 100 и ниво 300. Ние вярваме, че тя е вярна и полезна.
Що се отнася до въвеждането на трудности за оценка на статии - мисля, ако решим - че тя ще бъде свързана с MS-оценка, като най-добре познатите и разбираеми за много хора.
Алекс, отново, аз не се интересуваме от членове 100 ниво, но само най-добрите.
> Единственото, което виждам сега, че истинският проблем - по обективни причини не можем да Зарка всеки въпрос в процес на разглеждане, така че е интересно и начинаещите администратори ... и хора, които искат да разберат технология doskanalno.
Не съм сигурен какво е това изобщо е възможно 🙂
[Offtopic]
Да, и тук отново няколко създатели на ресурса се събраха - миналата седмица (може и повече), че нещо се случва с хостинга - сайт периодично се забавя или не отговори на всички.
MaximillianGreat, за хостинг и спирачки, работа се върши.
"спирачки" на сайта има няколко обяснения: периодична болест и домакин, и увеличаване на "тежестта" на читателите. Работата в тази връзка, както е отбелязано от Иля, ние сме
Колеги, Hello!
Благодарим Ви за обратната връзка. Аз не си постави за цел да напише учебник на PKI. Това обяснява краткостта. Просто не се планира да се обясни това е добро или лошо за производство самоподписани сертификати. Току-що написах как да го направя. Това е като покупка на кола Лада. Всеки, който го купува и да разберат, че не е най-добрият вариант, има и други, по-надеждни начини за доставка на ценното си тяло от точка А до точка Б, но обстоятелствата не позволяват да се направи по друг начин. И аргументите уважаван колега Vadimsa Podānsa Обзалагам се, ако не, то поне да се обсъди. 😉 Надявам се, че ще се видим в платформата.
Послепис
Имам чувството, че аз съм започнал да се разбере защо Боб беше толкова щастлива си почивка. )))
Мисля, че съм включил само конструктивна критика.
> Просто не планират да се обясни това е добро или лошо за производство самоподписани сертификати.
Ето защо хората ще го използват по всяко време и навсякъде, това е толкова лесно!
> Но обстоятелствата не позволяват да се направи по друг начин
Ако обстоятелствата не позволяват използването на нормален PKI инфраструктура (особено, защото натоварването от софтуер и лицензи в повечето случаи изобщо не е), това означава, че PKI те не се нуждаят в момента. Не е необходимо да не се поддържат priuchivat хора и непридружени решения.
Колега, мисля, че става дума за хора, а не за zhivih зеленчуци. 🙂 Е, какво ви кара да мислите, че ако няма да има описание на някои комунални услуги, всички веднага се втурват да го използвате, и то напълно не е включително мозъка? Ако искат да бъдат, те не искат да няма. Не се притеснявайте, колега. Вие не сте отговорни за цялото човечество. Тази функция се определя на по-висока мощност. 🙂
Разбирам, че сте професионалист за сигурност? Това е прекрасно! Ако пишете статия, която каза света сатанинската природа на удостоверението, името на което е невъзможно да се каже, аз съм сигурен, вашата работа е удостоен с почетен място сред ръкописите на бандата.
> Е, какво ви кара да мислите, че ако няма да има описание на някои комунални услуги, всички веднага се втурват да го използвате, и то напълно не е включително мозъка?
Тъй като това е народът. Е, естеството на тяхната така, правя всичко по-лесно и без излишно golovnyaka. Във всички. Следователно, те трябва да приложат на грешката. 🙂
> Аз разбирам, че сте професионалист за сигурност?
В действителност, на PowerShell.
> Ако напишете статия, която каза света сатанинската природа на удостоверението, името на което е невъзможно да се каже, аз съм сигурен, вашата работа е удостоен с почетен място сред ръкописите на бандата.
Аз правя това, в моя блог правя редовно.
IMHO ... не си струва, така че наистина просто се опитва да се дистанцира от Калифорния ... има и настройки за пет минути ... (колеги не се развиват тема ...)
Член трябва да се нарича. "И тук е друг начин да се създаде сертификат SSL" ... Мисля, че критиката ще бъде по-малко :)) Благодаря за статията ...
Спорът за това, което не е
> Защото това е народ. Е, естеството на тяхната така, правя всичко по-лесно и без излишно golovnyaka. Във всички. Следователно, те трябва да приложат грешка
Между другото за снимките. Когато много от тях - това е добре. Хората са по-способни да абсорбират визуална информация. Ala вариант, че някой намери статия на Google / Yandex, знаейки, че hotit, но се нуждаете от инструкции вече вид стъпка по стъпка
Af71
Ами ... така ... но за практика / Ръководство за защита на най-добрите, които сме забравили?
За снимки - да. Това е правилно забелязал.
rebzya ... не се обиждай, в спор роден истина за ...