{"id":525,"date":"2021-03-10T23:28:51","date_gmt":"2021-03-10T22:28:51","guid":{"rendered":"https:\/\/www.haschick.de\/?p=525"},"modified":"2021-03-16T22:45:24","modified_gmt":"2021-03-16T21:45:24","slug":"eigenes-zertifikat-inkl-rootca","status":"publish","type":"post","link":"https:\/\/www.haschick.de\/?p=525","title":{"rendered":"Eigenes Zertifikat inkl. RootCA"},"content":{"rendered":"\n

Bestimmt kennt ihr das … ihr setzt eine eigene, lokale Nextcloud auf (z.B. auf einem Raspi mit NextCloudPi<\/a>), funktioniert alles wunderbar. Aber in der URL meckert Chrome, Vivaldi oder Firefox, dass das https-Zertifikat nicht g\u00fcltig ist.<\/p>\n\n\n\n

Die L\u00f6sung: wir erstellen unsere eigene RootCA und ein Zertifikat f\u00fcr unseren raspi.<\/p>\n\n\n\n

Hier eine hoffentlich Schritt-f\u00fcr-Schritt-Anleitung:<\/p>\n\n\n\n

Vorbereiten – ein Linux<\/h2>\n\n\n\n

Wir brauchen ein Linux-System f\u00fcr openssl. Ich habe Windows10 und mache es mir daher einfach … WSL (Windows Subsystem f\u00fcr Linux) installiert und dann Ubuntu darauf laufen lassen. Ein Linux innerhalb von Windows, l\u00e4uft wunderbar.<\/p>\n\n\n\n

Falls ihr das auch wollt:<\/p>\n\n\n\n

  1. WSL2 f\u00fcr Windows installieren<\/a><\/li>
  2. Ubuntu 20.04 installieren aus dem Windows Shop<\/a><\/li><\/ol>\n\n\n\n

    Zertifikate erzeugen<\/h2>\n\n\n\n

    Zuerst ben\u00f6tigen ben\u00f6tigen wir einen privaten Schl\u00fcssel f\u00fcr unserer rootCA (hei\u00dft bei mir haschickCA). Also einfach eingeben:<\/p>\n\n\n\n

    openssl genrsa -aes256 -out haschickCA.key 4096<\/code><\/pre>\n\n\n\n
    Dabei wird ein Passwort abgefragt. Dieses (wie auch die haschickCA.key) unbedingt geheim halten. Am besten in eurem Passwort-Manager (bspw. KeePass<\/a>) speichern.<\/p>\n\n\n\n
    Dann ben\u00f6tigen wir das Root-Zertifikat (was wir in Windows, im Android, … installieren werden):<\/p>\n\n\n\n
    openssl req -x509 -new -nodes -extensions v3_ca -key haschickCA.key -sha256 -days 2136 -out haschickCA.crt<\/code><\/pre>\n\n\n\n
    Jetzt haben wir unser Root-Zertifikat (in diesem Fall die Datei haschickCA.crt).<\/p>\n\n\n\n
    Nun weiter im Text mit dem eigentlichen Zertifikat f\u00fcr unseren raspi.<\/p>\n\n\n\n
    Die Logik ist fast analog:<\/p>\n\n\n\n
    1. privaten Schl\u00fcssel erzeugen, aber diesmal ohne Passwort<\/li>
    2. Zertifikatsanfrage erzeugen, von der CA signieren lassen -> das Ergebnis ist unser SSL-Zertifikat<\/li><\/ol>\n\n\n\n
      F\u00fcr Schritt 1 (privaten Schl\u00fcssel ohne Passwort erzeugen)<\/p>\n\n\n\n
      openssl genrsa -out raspi.key 4096<\/code><\/pre>\n\n\n\n
      F\u00fcr Schritt 2:<\/p>\n\n\n\n
      Zertifikatsanforderung (CSR – Certificate Signing Request) erzeugen:<\/p>\n\n\n\n
      openssl req -new -sha256 \\\n    -key raspi.key \\\n    -subj \"\/C=DE\/ST=SN\/O=Frank Haschick\/OU=raspi\/CN=raspi\" \\\n    -reqexts SAN \\\n    -config <(cat \/etc\/ssl\/openssl.cnf <(printf \"\\n[SAN]\\nsubjectAltName=DNS:raspi\")) \\\n    -out raspi.csr<\/code><\/pre>\n\n\n\n
       CSR signieren und damit Zertifikat anlegen<\/p>\n\n\n\n
      openssl x509 -req -extfile <(printf \"subjectAltName=DNS:raspi\\r\\nextendedKeyUsage=serverAuth\") -days 825 -in raspi.csr -CA haschickCA.crt -CAkey haschickCA.key -CAcreateserial -out raspi.crt -sha256<\/code><\/pre>\n\n\n\n
      Die CSR-Datei ben\u00f6tigt man nicht mehr, die kann man wieder l\u00f6schen<\/p>\n\n\n\n
      rm raspi.csr<\/code><\/pre>\n\n\n\n
      Fertig, SSL-Zertifikat ist da \ud83d\ude42<\/p>\n\n\n\n
      Falls ihr das Ubuntu auf dem WSL laufen habt (wie oben geschrieben), k\u00f6nnt ihr einfach<\/p>\n\n\n\n
      explorer.exe .<\/code><\/pre>\n\n\n\n
      eingeben, und der Windows-Explorer wird gestartet mit genau dem Verzeichnis wo ihr gerade drin gewesen seid, wo also eure Zertifkate liegen.<\/p>\n\n\n\n
      Alternativ kann man im Windows Explorer auch „\\wsl$\\“ eingeben und dann zu seiner Linux-Distribution und seinem Verzeichnis wechseln<\/p>\n\n\n\n
      Zertifikat in raspi \/ Nextcloud hinterlegen<\/h2>\n\n\n\n
      Jetzt wo ihr euer Zertifikat habt, m\u00fcsst ihr es auf dem raspi hinterlegen.<\/p>\n\n\n\n
      Ihr ben\u00f6tigt euer rootCA (haschickCA.crt bei mir), die raspi.crt und die raspi.key.<\/p>\n\n\n\n
      Die auf den raspi kopieren und dann per SSH auf den raspi einloggen.<\/p>\n\n\n\n
      RootCA hinterlegen<\/h3>\n\n\n\n
      Ihr solltet die RootCA nicht nur im Windows hinterlegen (dort bitte „Vertrauensw\u00fcrdige Stammzertifizierungsstellen“ als Speicher ausw\u00e4hlen), sondern auch im raspi.
      Dazu die RootCA an die richtige Stelle kopieren:<\/p>\n\n\n\n
      sudo cp haschickCA.crt \/usr\/share\/ca-certificates\/haschickCA.crt<\/code><\/pre>\n\n\n\n
      Und dann die CA-Pakete neu einlesen:<\/p>\n\n\n\n
      sudo dpkg-reconfigure ca-certificates<\/code><\/pre>\n\n\n\n
      Dort dann das Zertifikat mit Leertaste ausw\u00e4hlen und mit ENTER best\u00e4tigen.<\/p>\n\n\n\n
      Zertifikat in Apache hinterlegen<\/h3>\n\n\n\n
      Erstmal kopieren wir unsere raspi-Schl\u00fcssel und das Zertifikat an die richtige Stelle:<\/p>\n\n\n\n
      sudo cp raspi.crt \/etc\/ssl\/certs\/raspi.crt\nsudo cp raspi.key \/etc\/ssl\/private\/raspi.key<\/code><\/pre>\n\n\n\n
      Welche Zertifikate von Apache genutzt werden, steht in der nextcloud.conf … also passieren wir die an:<\/p>\n\n\n\n
      sudo vi \/etc\/apache2\/sites-enabled\/nextcloud.conf<\/code><\/pre>\n\n\n\n
      Wer mit vi nicht so gut umgehen kann … „i“ dr\u00fccken zum einf\u00fcgen.<\/p>\n\n\n\n
      Dann die 2 Zeilen austauschen (bei mir Zeile 7 und 8):<\/p>\n\n\n\n
          SSLCertificateFile      \/etc\/ssl\/certs\/raspi.crt\n    SSLCertificateKeyFile \/etc\/ssl\/private\/raspi.key<\/code><\/pre>\n\n\n\n
      Zum Speichern „Escape“ dr\u00fccken, dann „:wq!“ (alles ohne die „).<\/p>\n\n\n\n
      Dann noch von Apache die Config neu einlesen lassen:<\/p>\n\n\n\n
      sudo systemctl reload apache2<\/code><\/pre>\n\n\n\n
      Dann probiert es im Browser aus: https:\/\/raspi sollte keine Fehlermeldung mehr erzeugen.<\/p>\n\n\n\n
      Viel Erfolg!<\/p>\n\n\n\n
      Update 16.03.2021<\/strong><\/p>\n\n\n\n
      Das oben beschriebene funktioniert mit Windows und Android, aber nicht mit iOS. Dort gibt es seit iOS 13 neue Regeln<\/a> (825 Tage G\u00fcltigkeit und extendedKeyUsage erg\u00e4nzt) -> geht jetzt auch auf iOS<\/p>\n\n\n\n
      <\/p>\n","protected":false},"excerpt":{"rendered":"
      Bestimmt kennt ihr das … ihr setzt eine eigene, lokale Nextcloud auf (z.B. auf einem Raspi mit NextCloudPi), funktioniert alles wunderbar. Aber in der URL meckert Chrome, Vivaldi oder Firefox, dass das https-Zertifikat nicht g\u00fcltig ist. Die L\u00f6sung: wir erstellen unsere eigene RootCA und ein Zertifikat f\u00fcr unseren raspi. Hier eine hoffentlich Schritt-f\u00fcr-Schritt-Anleitung: Vorbereiten – […]<\/p>\n","protected":false},"author":1,"featured_media":529,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-525","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it"],"_links":{"self":[{"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/posts\/525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.haschick.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=525"}],"version-history":[{"count":5,"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/posts\/525\/revisions"}],"predecessor-version":[{"id":533,"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/posts\/525\/revisions\/533"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.haschick.de\/index.php?rest_route=\/wp\/v2\/media\/529"}],"wp:attachment":[{"href":"https:\/\/www.haschick.de\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.haschick.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.haschick.de\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}