Prérequis

Il faut avoir httpd installé ainsi que mod_ssl.

Utilisez la commande yum -y install httpd mod_ssl si vous ne les avez pas encore. Les dépendances seront installées en même temps que ces paquets.

Activez apache au démarrage du serveur avec la commande chkconfig httpd on

Pour ce qui est du certificat ssl, vous pouvez créer une demande de cerificat comme indiqué ci-dessous et demander sa signature auprès d’une autorité officielle.

Mais pour un usage interne du serveur comme celui-ci, je vais créer une autorité locale.

Création d’une certificate autority ( CA) locale

Ici, je vais utiliser password comme mot de passe pour l’autorité de certification et monpass comme mot de passe de la clef du serveur web. Adaptez ceci à votre besoin ainsi que les informations données, comme la situation géographique et la société.

Mes choix seront encadré par un double [ dans les commandes suivantes.

Par facilité, je vais créer des certificats valides 10 ans, mais c’est pas terrible au niveau sécu, faites comme bon vous semble.

vi /usr/share/ssl/misc/CA

C’est la ligne DAYS= »-days 365″ en DAYS= »-days 3650″ qui réalise celà.


[root@CentOS ~]# /usr/share/ssl/misc/CA -newca
CA certificate filename (or enter to create)
[[enter]]
Making CA certificate ...
Generating a 1024 bit RSA private key
.......++++++
...++++++
writing new private key to './demoCA/private/./cakey.pem'
Enter PEM pass phrase:[[password]]
Verifying - Enter PEM pass phrase:[[password]]

Country Name (2 letter code) [GB]:[[FR]]
State or Province Name (full name) [Berkshire]:[[MidiPyrenees]]
Locality Name (eg, city) [Newbury]:[[Castres]]
Organization Name (eg, company) [My Company Ltd]:[[ma-societe]
Organizational Unit Name (eg, section) []:[[enter]]
Common Name (eg, your name or your server's hostname) []:[[monserveur.monfai.fr]]
Email Address []:[[email@fai.fr]]


Le dossier de votre CA est créé :

[root@CentOS ~]# ls
demoCA Desktop
[root@CentOS ~]# ls demoCA/
cacert.pem certs crl index.txt newcerts private serial


Créons un fichier crl qui sert lors des révocations de certifcats.


[root@CentOS ~]# openssl ca -gencrl -out crl.pem
Using configuration from /usr/share/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:[[password]]
[root@CentOS ~]# mv crl.pem demoCA/crl/


Vous pouvez maintenant utiliser votre autorité de certifcat pour produire des certificats.

Générer un certificat pour le serveur apache.

On prépare une demande de certificat pour le serveur.


[root@CentOS ~]# /usr/share/ssl/misc/CA -newreq
Generating a 1024 bit RSA private key
...................................++++++
....++++++
writing new private key to 'newreq.pem'
Enter PEM pass phrase:[[monpass]]
Verifying - Enter PEM pass phrase:[[monpass]]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:[[enter]]
An optional company name []:[[enter]]
Request (and private key) is in newreq.pem
[root@CentOS ~]#


On signe le certificat avec notre CA.


[root@CentOS ~]# /usr/share/ssl/misc/CA -sign
Using configuration from /usr/share/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:[[password]]
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 1 (0x1)
Validity
Not Before: Mar 20 20:09:53 2006 GMT
Not After : Mar 20 20:09:53 2007 GMT
Subject:
countryName = FR
stateOrProvinceName = MidiPyrenees
localityName = Castres
organizationName = ma-societe
commonName = apache.ma-societe.fr
emailAddress = email@fai.fr
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
C4:1D:CC:FD:34:20:DA:79:1C:FD:98:7D:FF:FB:31:65:D7:33:CC:E7
X509v3 Authority Key Identifier:
keyid:05:84:91:DE:B8:60:6E:BD:53:33:E1:44:03:6A:E8:D0:34:87:0D:13
DirName:/C=FR/ST=MidiPyrenees/L=Castres/O=ma-societe/CN=monserveur.monfai.fr/emailAddress=email@fai.fr
serial:00

END CERTIFICATE-----
Signed certificate is in newcert.pem


On place le certificat et la clef dans les dossiers d’apache.

[root@CentOS ~]# mv newcert.pem /etc/httpd/conf/ssl.crt/apache.ma-societe.fr.crt
[root@CentOS ~]# mv newreq.pem /etc/httpd/conf/ssl.key/apache.ma-societe.fr.key


Ici, on entre dans le paramétrage d’Apache à proprement parler.


[root@ns1 root]# cd /etc/httpd/conf.d/
[root@ns1 conf.d]# vi ssl.conf


Modifiez les lignes SSLCertificateFile et SSLCertificateKeyFile comme suit :


SSLCertificateFile /etc/httpd/conf/ssl.crt/apache.ma-societe.fr.crt
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/apache.ma-societe.fr.key


Redémarrez Apache avec la commande service httpd restart et le système vous demande le mot de passe de votre clef privée.

Pour ne pas avoir à taper le mot de passe du certificat a chaque démarrage d’apache, on doit valider la clef par sa clef privée.


[root@CentOS ~]# cd /etc/httpd/conf/ssl.key/
[root@CentOS ssl.key]# openssl rsa -in apache.ma-societe.fr.key -out apache.ma-societe.fr.key
Enter pass phrase for apache.ma-societe.fr.key:[[monpass]]
writing RSA key
[root@CentOS ssl.key]#


Redémarrez Apache avec la commande service httpd restart et cette fois, le système ne vous demande pas le mot de passe.
C’est quand même plus pratique…

Attention !! Pour Centos 5, la méthode à changé.

Cf cette doc http://www.centos.org/docs/5/html/Deployment_Guide-en-US/s1-httpd-secure-server.html

C’est bien plus simple à mon avis 🙂