Názory k článku Jak na OpenSSL II

Drobna chybka v casti kde se popisuje konfigurace CA: Text v zavorce ma byt: (většinou v /etc/ssl) (vypadlo mi tam to "v").

Diky moc,

s pomoci clanku a dokumentace jiz radostne nastavuji sIMAP a https.

Jakub

Sice jsem neco vytvoril, ale stale netusim, jak mam nainstalovat HTTPS abych mel stale uzamceny zamecek v prohlizeci. Mozna by to chelo primou aplikaci SSL, nez takto obecny text.

Https se neinstaluje, to je jmeno protokolu. Co se muze instalovat je SSL suport to Apache (modul SSL, viz http://www.modssl.org/, ale vy ho budete zrejme mit primo v distribuci v nejakem baliku). O nakonfigurovani modulu bude cast pristiho dilu (neni na tom nic tezkeho, jen se nastavi cesta k certifikatu a klici). Vsechno ostatni potrebne je napsano v jiz vyslych dilech.

Bude v dalsich dilech popsana prace s CRL?

Nebude. Jednak proto, ze je serial zameren spise na "self-made" certifikaty, nez praci s certifikaty akreditovanych CA a druhak proto, ze s tim nemam zadne zkusenosti :-)

openssl ca -gencrl :)

to je ovsem jen generovani, jeste se musi nacist do serveru nebo clienta

openssl bohuzel neumim OCSP

je to jednoduche, navyse vacsinou kazdy kto predava certifikaty ma na stranke opisany presny postup ako spravit CRL. Vystup sa proste skopiruje do formulara, zaplati sa kreditkou a je to.
Odomna chceli este potvrdenie o firme, poslal som oscannovany vypis z obchodneho registra a bolo to v pohode.
Poslu potom certifikat, a tiez "medzicertifikaty" az k root CA (dostal som dva), tieto sa musia pouzit v aplikaciach (serveroch) kde chcete ssl pouzit. Cize nestaci len samotny vas certifikat, musia tam byt este tie dalsie. Uspesne som to takto nainstaloval v courier IMAP a POP3, a v apache.

Dobry popis je take zde: http://openvpn.net/howto.html#pki

Dobry clanok, pouzijem ho vzdy, ked robim (par-krat rocne) nieco s certifikatmi. Akurat mi nikdy nesiel vygenerovat certifikat platny viac dni, nez je nastavene v openssl.cnf. Nakoniec som v manuali nasiel, ze prepinac "-days" sa ma pouzit pri "ca" mode (pri vytvarani podpisaneho certifikatu) a nie pri vytvarani requestu.

Teda: openssl ca -in request.pem -out cert.pem -days 1098

Peter

Policy zde znamená určení certifikátu, jeho účel. Zpravidla ověření klienta, podpis mailu apod.