Einrichtung eines SSL-Zertifikats

Über SSL-Zertifikate

Es können sowohl private (selbst erstellte) als auch öffentliche (in der Regel kommerzielle) SSL- Zertifikate verwendet werden. Diese bieten hinsichtlich der Verschlüsselung das gleiche Sicherheitsniveau . Im Vergleich zu selbst erstellten SSL-Zertifikaten bieten öffentliche SSL-Zertifikate jedoch den Vorteil, dass der Aussteller des Zertifikats, d. h. die Zertifizierungsstelle oder der Zertifikatsanbieter, die Inhaberschaft Ihrer Domain überprüft und dies im Zertifikat bestätigt. Da der Browser eines Nutzers der öffentlichen Zertifizierungsstelle in der Regel bereits vertraut, gilt das bestätigte Zertifikat Ihrer Domain ( solange es gültig ist) ebenfalls als vertrauenswürdig.

Bei der Verwendung eines privaten Zertifikats hingegen zeigen Browser in der Regel eine Warnung an, in der um Überprüfung und Bestätigung der Vertrauensbeziehung gebeten wird. Da dies Nutzer meist abschreckt, wird die Beschaffung und Verwendung eines öffentlichen Zertifikats dringend empfohlen.

Das System wird mit einem privaten Zertifikat ausgeliefert. Dieses ist jedoch nur dazu gedacht, die Verbindung für die Erstkonfiguration des Systems zu sichern. Bitte besorgen Sie sich ein öffentliches Zertifikat und installieren Sie es, bevor Sie das System produktiv nutzen.

Verwendung eines vorhandenen Zertifikats / Wildcard-Zertifikats

Besuchen Sie unsere Knowledge Base & das Download-Center für Secure Information Exchange (Cryptshare), um mehr zu erfahren, falls Sie bereits über ein Wildcard-Zertifikat verfügen oder Ihr bestehendes Zertifikat verlängern möchten.

Erforderliche Tools

KeyStore Explorer

Zur Vorbereitung des Zertifikatsspeichers („Keystores“) Ihres Cryptshare-Servers empfehlen wir das kostenlose Windows-Tool „KeyStore Explorer“. Mit diesem Tool können Sie die Keystore-Datei auf Ihrem Arbeitsplatzrechner vorbereiten, um sie später auf den Cryptshare-Server zu kopieren. Sie können den KeyStore Explorer unter http://keystore-explorer.org/downloads.html herunterladen.

Das Tool kann für alle Verwaltungsaufgaben im Zusammenhang mit den SSL- Zertifikaten des Cryptshare-Servers verwendet werden, unabhängig davon, ob dieser unter Windows oder Linux läuft.

WinSCP (nur Linux-basierte Systeme)

Wenn Sie eine Hardware-Appliance, eine virtuelle Appliance oder einen anderen Linux-basierten Cryptshare-Server verwenden, empfehlen wir das Windows-Tool „WinSCP“ zum Kopieren der Keystore-Datei von Ihrer Workstation auf den Cryptshare- Server: https://winscp.net/eng/download.php#download2.

PuTTY

Mit „PuTTY“ ist es möglich, eine SSH-Verbindung von einem Windows- PC zum Cryptshare-Server herzustellen, um mit der Linux-Befehlszeile (Shell) zu arbeiten. PuTTY wird nur für Linux-basierte Systeme benötigt (einschließlich Virtual Appliance oder Hardware Appliance): http://www.putty.org/.

Ein neues Schlüsselpaar generieren

Für die Erstellung eines öffentlichen oder privaten Zertifikats muss zunächst ein Schlüsselpaar generiert werden.

Gehen Sie dazu wie folgt vor:

  1. Starten Sie den KeyStore Explorer auf Ihrer Workstation.

  2. Erstellen Sie einen neuen Keystore:

    18945994

  3. Wählen Sie „JKS“ als Keystore-Typ aus.

    Keystore explorer new keystore type

  4. Erzeugen Sie ein neues Schlüsselpaar:

    Keystore explorer create keypair

  5. Wählen Sie „RSA“ als Verschlüsselungsalgorithmus. Die erforderliche Schlüssellänge hängt von den Vorgaben Ihres Zertifikatsanbieters ab. In der Regel sind mindestens 2048 Bit erforderlich.

    Keystore explorer keypair options

  6. Überprüfen Sie im folgenden Dialogfeld folgende Einstellungen:

    Keystore explorer keypair certificate options

    1. „Version“: „Version 3“

    2. „Signaturalgorithmus“: „SHA-256 mit RSA“ (oder besser)

    3. „Gültigkeitsdauer“: Der Zeitraum, in dem das anschließend generierte Zertifikat als gültig anerkannt werden soll, beispielsweise 2 Jahre ab dem Zeitpunkt der Erstellung.

    4. Klicken Sie anschließend auf das Symbol hinter dem Feld „Name“.

  7. Geben Sie im Dialogfeld „Name“ die Angaben zu Ihrem Cryptshare-Server und Ihrem Unternehmen ein.

    Keystore explorer name details

    • Der Common Name (CN) muss mit dem Hostnamen des Servers übereinstimmen, wie er in der öffentlichen URL angegeben ist (z. B. „webapp.cryptshare.com“, wenn die URL „https://webapp.cryptshare.com“ lautet). Eine falsche Eingabe führt zu einem Zertifikatsfehler.

    • Die übrigen Angaben sollten mit den Ergebnissen einer „whois“-Abfrage der Domain übereinstimmen.

  8. Bestätigen Sie die beiden Dialoge mit „OK“.

  9. Anschließend werden Sie aufgefordert, einen Alias einzugeben:

    Keystore explorer new keystore alias

    Als Alias müssen Sie unbedingt den folgenden Text eingeben: „com.cryptshare.server“. Wird ein anderer Name gewählt, kann das Zertifikat für Cryptshare nicht identifiziert werden und der Start des Cryptshare-Servers schlägt fehl.

  10. Geben Sie das Passwort „CA0AZhuFM4NogQh“ ein. Dies ist ein Standardpasswort , das bei der Auslieferung des Systems verwendet werden muss. Eine Beschreibung dazu, wie Sie das Passwort ändern können, finden Sie unter Ändern von SSL-Passwörtern.

    Keystore explorer keypair password

  11. Speichern Sie den Keystore auf Ihrer Festplatte:

    Keystore explorer save

    • Wählen Sie als Dateinamen „keystore“.

    • Zum Schutz des Keystores ist zudem ein Passwort erforderlich. Verwenden Sie hier dasselbe Passwort wie für das Zertifikat („CA0AZhuFM4NogQh“).

So verwenden Sie ein öffentliches SSL-Zertifikat:

  1. Klicken Sie im Hauptfenster des KeyStore Explorers mit der rechten Maustaste auf den Eintrag, den Sie soeben erstellt haben.

  2. Wählen Sie „CSR generieren“, um eine sogenannte „Certificate Signing Request“ (CSR) für Ihren Cryptshare-Server zu generieren.

    Keystore explorer generate csr

  3. Wählen Sie im folgenden Dialogfeld den Zielpfad für die CSR-Datei aus und passen Sie die Optionen gegebenenfalls an die Vorgaben Ihres Zertifikatsanbieters an.

    Keystore explorer save csr

  4. Ein öffentliches Zertifikat kann nun von einem Zertifikatsanbieter ausgestellt werden. Dazu müssen Sie die soeben erstellte CSR-Datei bereitstellen. Die Vorgehensweise hierfür variiert je nach Anbieter.

  5. Sobald Ihr Zertifikatsanbieter ein Zertifikat ausgestellt hat, können Sie mit der Installation eines öffentlichen Zertifikats im Keystore des Cryptshare-Servers fortfahren.

So verwenden Sie ein privates SSL-Zertifikat:

Bei der Erstellung des Schlüsselpaars wurde bereits ein Zertifikat erstellt. Fahren Sie mit der Installation eines öffentlichen Zertifikats im Keystore des Cryptshare-Servers fort.

Installation eines öffentlichen Zertifikats im Keystore des Cryptshare-Servers

Sobald Sie das öffentliche Zertifikat vom Zertifikatsanbieter erhalten haben, müssen Sie es zum Keystore des Cryptshare-Servers hinzufügen. Gehen Sie bitte wie folgt vor:

  1. Öffnen Sie den KeyStore-Explorer.

  2. Öffnen Sie die Keystore-Datei „keystore“:

    Keystore explorer open

  3. Geben Sie „CA0AZhuFM4NogQh“ als Passwort ein. Dies ist ein Standardpasswort, das bei der Auslieferung des Systems verwendet werden muss. Eine Beschreibung, wie Sie das Passwort ändern können, finden Sie unter Ändern von SSL-Passwörtern.

  4. Klicken Sie mit der rechten Maustaste auf den Eintrag „com.cryptshare.server“.

  5. Wählen Sie „CA-Antwort importieren“:

    Keystore explorer import ca reply

    • Stellen Sie die Zertifikatsdaten über „Aus Datei“ oder „Aus Zwischenablage“ bereit , je nachdem, wie das Zertifikat bereitgestellt wurde. Geben Sie das Passwort „CA0AZhuFM4NogQh“ erneut ein.

  6. Vervollständigen Sie gegebenenfalls die Zertifikatskette bis einschließlich des Stammzertifikats mit den folgenden Schritten.

    Bitte beachten Sie, dass bei einer unvollständigen Zertifikatskette in einigen Browsern möglicherweise dennoch eine Sicherheitsmeldung erscheint, die ein manuelles Eingreifen erfordert. Stellen Sie daher sicher, dass alle Zwischenzertifikate und das Stammzertifikat in der richtigen Reihenfolge zur Zertifikatskette hinzugefügt werden: 1. das angeforderte Serverzertifikat, 2. die Zwischenzertifikate, 3. das Stammzertifikat . Die erforderlichen Informationen und Dateien erhalten Sie von Ihrem Zertifikatsanbieter.

    1. Klicken Sie mit der rechten Maustaste auf den Eintrag des Schlüsselpaars des Cryptshare-Servers.

    2. Wählen Sie „Zertifikatskette bearbeiten“ -→ „Zertifikat anhängen…​“:

      Keystore explorer append certificate

    3. Bestätigen Sie die nachfolgenden Abfragen der Anwendung. Diese können je nach Art des zu importierenden Zertifikats variieren.

  7. Speichern Sie den Keystore.

  8. Fahren Sie mit dem folgenden Abschnitt fort.

Installation des Keystores auf dem Cryptshare-Server

Linux-basierte Systeme (einschließlich Hardware-Appliance und virtueller Appliance)

  1. Starten Sie „WinSCP“

  2. Geben Sie im Anmeldedialog die Verbindungsdaten ein:

    Winscp new session

    • „Dateiprotokoll:“ SCP

    • „Hostname:“ Hostname oder IP-Adresse des Cryptshare-Servers.

    • „Benutzername:“ Der Benutzername, mit dem die Verbindung hergestellt werden soll. Bei Hardware-Appliances und virtuellen Appliances ist dies „root“.

    • „Passwort:“ Das entsprechende Passwort. Bei der Auslieferung einer Hardware-Appliance oder virtuellen Appliance wurde dieses bereitgestellt.

  3. Klicken Sie auf „Anmelden“, um sich bei Ihrem Cryptshare-Server anzumelden und die Verbindung herzustellen.

  4. Wechseln Sie auf der rechten Seite in das Verzeichnis „<Cryptshare-Installationsverzeichnis >/lib/security“. Bei Hardware-Appliances, virtuellen Appliances sowie bei anderen Installationen mit dem RPM-Paket lautet dieser „/opt/cryptshare-3/lib/security“. Kopieren Sie anschließend die Keystore-Datei von Ihrer Workstation in dieses Verzeichnis.

    4325998

Der Keystore befindet sich nun auf dem Cryptshare-Server. An dieser Stelle haben Sie mehrere Möglichkeiten, den Cryptshare-Dienst neu zu starten:

Über die Administrationsoberfläche:

  1. Öffnen Sie die Administrationsoberfläche Ihres Cryptshare-Servers in einem Browser (https://<Hostname Ihres Cryptshare-Servers>:8080).

  2. Melden Sie sich mit einem Administratorkonto an.

  3. Öffnen Sie das Aktionsmenü in der oberen rechten Ecke und klicken Sie auf „Neustart“.

Über die Linux-Shell:

  1. Stellen Sie über PuTTY eine Verbindung zur Linux-Shell des Cryptshare-Servers her.

    1. Starten Sie PuTTY.

    2. Geben Sie den Hostnamen oder die IP-Adresse des Cryptshare-Servers ein.

    3. Klicken Sie auf „Öffnen“.

      18946002 Die Linux-Shell wird angezeigt.

  2. Geben Sie unter „Anmelden als“ „root“ ein, um sich als Root-Benutzer anzumelden.

    18946001

  3. Das System fordert Sie nun zur Eingabe des Passworts auf. Bei der Bereitstellung einer Hardware-Appliance oder einer virtuellen Appliance wurde dieses bereits bereitgestellt. Bitte beachten Sie, dass das Passwort bei der Eingabe nicht auf dem Bildschirm angezeigt wird und keine Platzhalter (*) für die eingegebenen Zeichen erscheinen.

  4. Starten Sie den Cryptshare-Dienst neu:

    systemctl restart cryptshare

    (verwenden Sie rccryptshare restart bis und einschließlich Version 7.1)

Windows-basierte Systeme

  1. Speichern Sie den zuvor erstellten Keystore im Unterverzeichnis „lib/security“ des Installationsverzeichnisses.

  2. Starten Sie den Dienst „CryptshareService“ neu.