Apache, SSL e CaCert.Org: differenze tra le versioni

Chi avrà provato ad installare apache (o apache2) con supporto ssl si sarà trovato davanti al problema del certificato: come generarlo? che valore ha? dove posso ottenere un certificato valido? esistono soluzioni gratuite?

Per dare una durata di tempo al certificato aggiungere al comando openssl , -days xxx

dove xxx sono il numero di giorni di validità dello stesso.

Ricordate però che il certificato durerà solo 6 mesi , qualsiasi numero venga immesso nel campo ''-days xxx'' , al termine della scadenza occorrerà rinnovare il certificato che sarà nuovamente valido per altri 6 mesi.

Se questa procedura non vi piace , potete farvi certificare da un Accertatore ( trovate la lista nel sito cacert dopo esservi loggati ) questo modo vi permetterà di vedere riconosciuta la tua identità e ottenere ulteriori benefici, compresa una maggiore durata dei certificati e la possibilità di inserire il vostro nome nei certificati per la posta elettronica.  

Verranno generati due file: ''dominio.it.key'', che rappresenta la chiave privata; ''dominio.it.csr'' che rappresenta la Richiesta di Sottoscrizione del Certificato.

Visualizziamo il contenuto del file '''dominio.it.csr''' e copiamolo nel form contenuto in ''Certificati per i Server (Server Certificates)'', ''Nuovo''.

Inviamo il contenuto del form e confermiamo. Al termine dell'elaborazione verrà mostrato il codice del certificato (una copia ci verrà inviata anche via email), salviamolo nel file '''dominio.it.crt'''.

Spostiamo i tre file sul server, nella directory '''/etc/apache/ssl/''' nel caso di apache, '''/etc/apache2/ssl''' nel caso di apache2.

* Scaricare il ''root certificate'' dall'indirizzo http://www.cacert.org/certs/root.crt

* Copiarlo nella directory '''/etc/apache/ssl/''' (o '''/etc/apache2/ssl''' nel caso di apache2)

Poco prima della scadenza del certificato (di solito 14 giorni ), riceverete una mail che vi comunicherà il termine del certificato , successivamente se non rinnovate il certificato , riceverete un'altra mail alcuni giorni prima della scadenza.

Nella mail potete trovare il link a cacert , accedete al sito e loggatevi con le vostre credenziali.

Nella finestra ''Certificati server/visualizza'' potete vedere i certificati da voi creati , ( qui potete anche eliminare vari certificati creati per errore ) , individuate il certificato da aggiornare , come aiuto se ne avete più di uno potete controllare con la data di scadenza che compare a destra.

Spuntate il certificato da rinnovare e clickate il pulsante ''Rinnova''

In pochi secondi il certificato verrà rinnovato e vi comparirà una nuova pagina contenente il nuovo certificato .

Copiate il testo da BEGIN CERTIFICATE a END CERTIFICATE  e andate a sostituirlo nel file apache2/ssl/vostro-certificato.crt e riavviate apache2

 

  # /etc/init.d/apache2 restart

Ora tornate alla finestra ''certificati server /visualizza'' , e verificate che la data del certificato da voi rinnovato sia cambiata .

Il file in questione è '''/etc/apache-ssl/httpd.conf'''. Le voci da adattare alla propria configurazione sono le seguenti:

Il file da modificare è, anche in questo caso, quello principale: '''/etc/apache-ssl/httpd.conf'''. All'interno di questo è presente una sottosezione, preceduta dalla riga

L'installazione di apache2 è semplicissima:

Per poter usare SSL in apache2 è necessario attivarlo (visto che non è presente un pacchetto apposito come ''apache-ssl''):

Modifichiamo il file '''/etc/apache2/apache.conf''' e aggiungiamo, prima di  

e assicuriamoci che l'opzione ''NameVirtualHost *'' sia commentata o rimossa dal file '''/etc/apache2/sites-available/default'''.

Ora creiamo un nuovo file, in ''/etc/apache2/sites-available''' che chiameremo '''dominio.it-ssl''', ed utilizziamo il seguente schema:

ovviamente adattando le varie opzioni alla situazione reale...

I certificati, in questo caso, verranno aggiunti in un file a parte: '''/etc/apache2/conf.d/ssl.conf''' con il seguente contenuto:

Per applicare le modifiche è sufficiente riavviare apache:

CaCert inizia ad essere inserito, come certificato root, anche nei vari browser, evidenziando che l'attenzione verso questo progetto sta salendo... Non resta che adottarlo ed, eventualmente, fare richiesta agli sviluppatori del nostro browser preferito affinche CaCert venga inclusa.

=Bookmark=