Je n'ai pas compris les mécanismes de cryptographie SSL, l’algorithme de signature des certificats et tout ça, mais le comportement du navigateur, je l'ai constaté:

Un serveur mail et un extranet, j'utilise des certificats.

Ça ne fait pas très pro les avertissements du logiciel client mail, ou du navigateur. Ça ne doit pas inspirer confiance aux utilisateurs. Il faut donc éviter toutes les sorties du logigramme en rouge.

La première solution consiste à installer chaque certificat sur tous les postes clients. Dans le cas d'un LAN qui commence a être conséquent ce n'est plus possible (enfin si peut être par les GPO, mais faudra le faire pour toutes les applis)

La seconde solution consiste à passer par une autorité de certification et lui faire signer les certificats. Si c'est pour un site web il faut prendre une autorité reconnue par la plupart des navigateurs par défaut: c'est payant. Si c'est dans un lan ou un parc sur lequel vous avez la main. ça vaut le coup de la créer soi même car on pourra la faire reconnaître. Ce n'est pas ça qui occupera un serveur à temps plein. votre pc sous linux peut devenir une autorité de certification.

Avertissement: L'autorité de certification ne doit pas avoir le même nom que le serveur applicatif (dans le cas d'un serveur web), sinon c'est de l'auto signé ôO.

Prérequis, installer les logiciels

Il y a juste le paquet openssl à installer.

apt-get install openssl

sous suze:

zypper in openssl

Le fichier de configuration /etc/ssl/openssl.cnf

Sa modification est optionnelle.
Je l'aisse tout par défaut, sauf ces lignes là:

#nsCaRevocationUrl              = http://www.domain.dom/ca-crl.pem
#nsBaseUrl
#nsRevocationUrl
#nsRenewalUrl
#nsCaPolicyUrl
#nsSslServerName

On va les dé-commenter et renseigner les paramètres. Le but de ces lignes est de marquer dans les certificats les URL qui seront utiles au gestionnaire de certificat du client. On publiera la liste des certificats révoqués par exemple.

pour le test, je vais déposer les fichiers à l'adresse http://www.tinad.fr/certs/

nsCaRevocationUrl               = http://www.tinad.fr/certs/ca-crl.pem
nsBaseUrl = http://www.tinad.fr/certs/
#nsRevocationUrl #Le lien vers le formulaire où le client peut demander une révocation de son certificat (je laisse commenté)
#nsRenewalUrl #Le lien vers le formulaire où le cleient peut demander le renouvellement de son certificat (je laisse commenté)
nsCaPolicyUrl = http://www.tinad.fr/certs/policy.pdf #Une explication de quoi qu'est certifié par le certificat (la méthode de controle des informations telles que la validation des sites internet, la validité des adresses mail etc...)
#nsSslServerName

pour les publier sur le web je créé un lien symbolique. Adaptez la commande à votre configuration:

ln -s  ~/demoCA/crl/ca-crl.pem /var/www/www.tinad.fr/certs/ca-crl.pem

Créer le certificat racine

Tout en étant en root

cd ~
/usr/lib/ssl/misc/CA.pl -newca

Le script va vous poser plusieurs questions:

• CA certificate filename (or enter to create)
  

appuyez sur entrée, c'est le premier et le seul certificat racine logiquement.

• Country Name (2 letter code) [AU]:FR

C'est le code du pays

• State or Province Name (full name) [Some-State]:France

Le pays

• Locality Name (eg, city) []:Rouen

La ville (la localisation physique du serveur n'a aucune importance)

• Organization Name (eg, company) [Internet Widgits Pty Ltd]:gniearkcompany

Le nom de l'organisation. Attention ne mettez pas de connerie comme moi, ça apparaitra sur tous les certificats.

• Organizational Unit Name (eg, section) []:gniearklan

C'est facultatif, j'ai mis là le nom de domaine local. dans le cas du CA racine de tinad.fr, j'ai mis "tinad.fr" justement

• Common Name (eg, YOUR name) []:vm2.gniearklan

Il est d'usage de mettre le FQDN complet de la machine. www.tinad.fr par exemple

• Email Address []:mail@domaine.fr

Un contact "administratif"

Au passage le script utilisé a créé quelques dossiers et fichiers dans demoCA.

• cacert.pem , c'est le certificat qui servira à signer les autres certificats.
• careq.pemUn truc qui sert aux demandes de certificat.
• private Ce dossier contient la clé privé du certificat racine . Ne pas diffuser.

Diffuser/ installer la clé publique du certificat racine.

C'est le fichier cacert.pem qu'il faut diffuser et installer dans les applications concernées.

En utilisant un controleur de domaine win2003

Dans les parametres de sécurité du controleur de domaine par défaut, on va dans autorités de certification en déroulant l'arbre de gauche, puis "action" et "ajouter". Voir screens ci dessous:

Sur chaque poste, firefox

Editions > préférences > Avancé> chiffrement > afficher les certificats> Autorités de certification

Internet explorer Thunderbird

C'est à peu près là même chose que sur firefox.

Outlook

Je n'ai pas trouvé. Je ne suis pas certain qu'il le prenne en charge (testé sur outlook 2007)

Créer des certificats signés

Imaginons que l'autorité de certification est www.tinad.fr et le site à certifier est www.tinaderp.com (ça tombe bien va falloir que je le fasse)

On se place pour ça dans le repertoire qui contient le dossier demoCA

cd ~

Creer un dossier qui recevra les certificats et se placer dedans:

mkdir cert
cd cert

Créer une clé privée ainsi qu'un certificat public non signé.

openssl req -new -nodes -keyout www.tinaderp.com-key.pem -out www.tinaderp.com-req.pem -days 365

Je mets le même Organization Name que l'autorité de certification. ça doit donner ça:

www:~/CERT# openssl req -new -nodes -keyout www.tinaderp.com-key.pem -out www.tinaderp.com-req.pem -days 365
Generating a 1024 bit RSA private key
.........++++++
.++++++
writing new private key to 'www.tinaderp.com-key.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:France
Locality Name (eg, city) []:Rouen
Organization Name (eg, company) [Internet Widgits Pty Ltd]:tinad
Organizational Unit Name (eg, section) []:tinaderp
Common Name (eg, YOUR name) []:www.tinaderp.com
Email Address []:identifiant@domaine.fr
 
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Signer le certificat:

cd ~
openssl ca -out cert/www.tinaderp.com-cert.pem -infiles cert/www.tinaderp.com-req.pem

www:~# openssl ca -out CERT/www.tinaderp.com-cert.pem -infiles CERT/www.tinaderp.com-req.pem
Using configuration from /usr/lib/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number:
            81:c4:e6:a3:37:dc:50:05
        Validity
            Not Before: Jun 21 16:36:59 2010 GMT
            Not After : Jun 18 16:36:59 2020 GMT
        Subject:
            countryName               = FR
            stateOrProvinceName       = France
            organizationName          = tinad
            organizationalUnitName    = tinaderp
            commonName                = www.tinaderp.com
            emailAddress              = rpasserieu@tinad.fr
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            Netscape Comment: 
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier: 
                8E:EA:52:98:18:D1:F0:CD:5F:FD:97:36:A3:E8:98:73:F1:89:30:15
            X509v3 Authority Key Identifier: 
                keyid:2A:96:75:31:A5:A1:0F:1C:19:5E:8D:64:6F:DD:30:44:27:28:23:15
 
Certificate is to be certified until Jun 18 16:36:59 2020 GMT (3650 days)
Sign the certificate? [y/n]:y
 
 
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

Le certificat signé est créé. on verra plus loin comment l'installer dans apache ou dans postfix

Installer le certificat et sa clé dans apache.

Tout d'abord on créé un fichier contenant la clé et le certificat qu'on fournira à Apache.

cd ~/cert
cat www.tinaderp.com-key.pem www.tinaderp.com-cert.pem > www.tinaderp.com-certkey.pem

Mettre le fichier certkey dans les fichiers de conf d'apache

mkdir /etc/apache2/ssl
cp ~/cert/www.tinaderp.com-certkey.pem /etc/apache2/ssl/
chmod 600 /etc/apache2/ssl/*
chmod 400 ~/cert/*

Créer le fichier vhost spécifique à l'https. le certificat est fourni à la directive SSLCertificateFile pour tinaderp.com, le fichier est /etc/apache2/sites-available/www.tinaderp.com-https. Sa configuration est relativement basique;

<VirtualHost *:443>
        ServerName www.tinaderp.com 
        DocumentRoot /var/www/www.tinaderp.com
        ServerAdmin webmaster(NOSPAM)tinad.fr
 <Directory />
                Options FollowSymLinks
                AllowOverride None
        </Directory>
        <Directory /var/www/www.tinaderp.com>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride All
                Order allow,deny
                allow from all
        </Directory>


	ErrorLog /var/log/apache2/error.log
	CustomLog /var/log/apache2/access.log combined
        SSLEngine on
        SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

        SSLCertificateFile  /etc/apache2/ssl/www.tinaderp.com-certkey.pem 

        SSLVerifyClient none
        SSLVerifyDepth  10

        SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
</VirtualHost>

activer le site er=t recharger la configuration d'apache:

a2ensite www.tinaderp.com-https
/etc/init.d/apache2 reload

Dans postfix et imapd

certificat smtp

On suit la méthode ci dessus pour créer des certificats signés. Sauf que cette fois on ne va pas faire de fichier regroupant la clé et le certificat. Il faut lui fournir les deux. Par contre, je sui fourni aussi le cacert.pem qu'on trouve dans demoCa Ce sont les parametres suivants dans le main.cf

smtpd_tls_key_file = /etc/postfix/tls/smtp.tinad.fr-key.pem
smtpd_tls_cert_file = /etc/postfix/tls/smtp.tinad.fr-cert.pem
smtpd_tls_CAfile = /etc/postfix/tls/cacert.pem

certificat imap tls

vu la config de mon serveur mail, dans le fichier /etc/courier/imapd-ssl c'est la directive suivante : TLS_CERTFILE=/etc/courier/tinad-certkey.pem

Révoquer un certificat

se placer dans le dossier contenant le dossier demoCA, dans mon cas c'est ~

cd ~

Révoquer le certificat en indiquant le fichier cert en parametre.

openssl ca -revoke CERT/www.tinaderp.com-cert.pem

Générer la liste des certificats révoqués:

cd ~
www:~# openssl ca -gencrl -out demoCA/crl/cacrl.pem

Supprimer les fichiers du certificat:

CERT
rm www.tinaderp.com-cert.pem 
rm www.tinaderp.com-req.pem 
rm www.tinaderp.com-key.pem

Liens francophones

http://www.docmirror.net/fr/linux/howto/apps/SSL-Certificates-HOWTO/x248.html
Starbridge (même si les tutos ne portent pas sur les certificats, il y a plusieurs exemples d'utilisation d'openssl)
Admin linux