Schlüsselerzeugung und Zertifikatsbeantragung mit GnuTLS

GnuTLS kann auf den meisten Linux-Distributionen über das Paketmanagement installiert werden. Benutzer von OS X können GnuTLS beispielsweise über HomeBrew installieren. Unter Windows kann GnuTLS mittels Cygwin, MSYS2 oder – ab Windows Version 10 – dem Windows Subsystem for Linux installiert werden.

Antragsdatei mit GnuTLS auf der Kommandozeile erstellen

Mit GnuTLS können Schlüssel und Anträge einfach an der Kommandozeile generiert werden.

Die fett dargestellten Argumente müssen ggf. vorher noch entsprechend angepasst werden (FQHN ist der vollqualifizierte Hostname):

certtool --generate-privkey --outfile Schluessel.key

Legen Sie eine Template-Datei names template.txt mit folgendem Inhalt an und passen Sie diese entsprechend an:

organization = "Karlsruhe Institute of Technology"
# OU, optional. Zum Benutzen '#' am Zeilenanfang entfernen.
#unit = "Institut fuer mustergueltige Beispiele"
locality = "Karlsruhe"
state = "Baden-Wuerttemberg"
country = DE
# CN; bitte einen vollqualifizierten Hostnamen benutzen
cn = "FQHN"
# E-Mail (nur fuer Personenzertifikate relevant)
#email = "MAILADRESSE"
dns_name = "FQHN"

Um Subject Alternative Names zu setzen, fügen Sie diese als dns_name der template.txt an:

dns_name = "weiterer-hostname.ifmb.kit.edu"
dns_name = "noch-ein-hostname.ifmb.kit.edu"
dns_name = "super-alias.ifmb.kit.edu"

dn = "CN = Beate Beispiel, givenName = Beate, surName = Beispiel, O = Karlsruhe Institute of Technology, C = DE"

 email = “beate.beispiel@kit.edu”
 email = “beispiel@kit.edu”
 email = “beate-beatrice.beispiel@kit.edu”  

Für weitergehende Einstellungen sei auf die Manpage von certtool oder die Dokumentation auf der Webseite verwiesen.

Erzeugen Sie nun die Antragsdatei:

certtool --generate-request --hash SHA256 --no-text \
 --load-privkey Schluessel.key \
 --template template.txt \
 --outfile Antragsdatei.req

Zertifikatsbeantragung im Webinterface

Öffnen Sie die Webseite der KIT-CA zur Request-Upload.

Füllen Sie alle markierten Felder entsprechende aus. Als CSR (PKCS#10) Datei (e.g. .pem) wählen Sie die im vorherigen Schritt erstellte Antragsdatei mit der Endung .req.

Wählen Sie das für Ihre Anwendung passende Zertifikatsprofil aus. Für die meisten Anwendungen ist Webserver ein guter Startpunkt.

Die Angaben unter Ihre Daten werden nicht in das Zertifikat übernommen. Geben sie unter Vollständiger Name bitte den Namen an der in ihrem persönlichen Zertifikat als CN steht. Als E-Mail-Adresse sollte eine Adresse verwendet werden, bei der sichergestellt ist, dass jederzeit während der Gültigkeit des Zertifikats ein kompetenter Ansprechpartner erreicht wird. Hierfür empfiehlt es sich beispielsweise, für Serverzertifikate nicht die direkte E-Mail-Adresse eines Administrators anzugeben, sondern vielmehr eine entsprechende Mailingliste oder einen entsprechenden Mailverteiler. Auf diese Weise kann elegant sichergestellt werden, dass auch bei Abwesenheit des beantragenden Administrators ein Vertreter erreichbar ist.

Die Sperr-PIN benötigen Sie, wenn Sie das Zertifikat sperren wollen. Sie sollten sich deshalb die Sperr-PIN unbedingt notieren.

Bei Serverzertifikaten müssen Sie sämtiche Haken setzen. Bei Personenzertifikaten können Sie der Veröffentlichung widersprechen.

Prüfen Sie die Richtigkeit der Angaben. Wenn Sie auf Weiter klicken, werden Sie aufgefordert ein Passwort für die Antragsdatei zu setzen.

Auf der Folgeseite müssen Sie

1. das Antragsformular im PDF-Format herunterladen und
2. die Antragsdatei im JSON-Format speichern (sofern noch nicht geschehen)

Drucken Sie bitte das Formular und füllen es vollständig aus. Anträge für Server-, Gruppen- und Pseudonymzertifikate können entweder am SCC-Servicedesk abgegeben oder per Hauspost an »KIT-CA, SCC« geschickt werden. Personenzertifikate müssen persönlich am SCC-Servicedesk abgegeben werden da hier noch eine Identitätsprüfung vorgeschrieben ist.

Zusammenführen von privatem Schlüssel und Zertifikat

Je nach Anwendung benötigen Sie Zertifikat und Schlüssel entweder in unterschiedlichen Dateien oder zusammengefasst in einer Datei. Sofern geheimer Schlüssel und Zertifikat im PEM-Format vorliegen, können diese einfach hintereinander geschrieben werden. Unter Linux geschieht dies am einfachste mit cat:

cat Zertifikatdatei.pem Schluessel.key > Beides.pem

Unter Windows können die Dateien mittels copy zusammengefasst werden:

copy Zertifikatdatei.pem Schluessel.key Beides.pem

Manche Anwendungen benötigen auch noch die komplette Zertifikatskette in der Ausgabedatei; laden Sie diese einfach von den Seiten der KIT-CA herunter und fügen Sie diese an geeigneter Stelle ein.

PKCS12 (.p12/.pfx)

Viele Anwendungen benötigen Schlüssel und Zertifikat im PKCS12-Format (unter Windows üblicherweise mit der Endung .pfx oder .p12). Laden Sie dazu die Zertifikatskette chain.txt herunter und speichern diese im gleichen Verzeichnis wie Schlüssel und Zertifikat. Der Parameter --p12-name setzt den Anzeigenamen; dieser kann frei gewählt werden. Es bietet sich an hier neben dem Namen das Ablaufdatum zu vermerken:

certtool --load-ca-certificate chain.txt \
 --load-certificate certificate.pem \
 --load-privkey certificate.key \
 --p12-name="TODO: Sinnvoller Anzeigename" \
 --to-p12 --outder --outfile certificate.pfx

Falls eine oder mehrere Dateien nicht im PEM-Format vorliegen, können diese in der Regel mit OpenSSL konvertiert werden. Da die sehr viele Kombinationsmöglichkeiten bestehen, sei hierzu auf die Dokumentation von OpenSSL verwiesen (insbesondere die Manpages x509, rsa, pkcs12, pkcs7 und pkcs8).