Moin, Am Samstag, 9. Februar 2002 02:04 schrieb Manfred Gnaedig: Ich habe mal mod_ssl als rpm installiert, ist IMHO bei SuSE mit dabei. Die httpd.conf ist ja schon recht gut vorkonfiguriert. Ich habe allerdings ein echtes Zertifikat bekommen, wie daß mit dem Test-Zertifikat funktioniert weiß ich nicht genau. Bei kompilierten Modul kann man das mit 'make certifikate' machen. Im Archiv muß es dazu aber etwas geben, das wurde hier schon öfters erwähnt.

Ich möchte es neu installieren. Mit YAST hat es auch nicht funktioniert. Das heißt es ließ sich zwar installieren, aber der Apache lief danach nicht.

Was hattest Du für Fehlermeldungen? Das ist doch bestimmt nur eine Sache der Konfiguration.

Muß ich mir vorher die Zertifikationsdateien besorgen?

Ohne Test Zertifikat wird Dir SSL nix nutzen. ByE Andre

Hallo Michael,

...

Muß ich mir vorher die Zertifikationsdateien besorgen?

Die müssen vorhanden sein wenn Du SSL in der httpd.conf aktivierst. Vor allem wenn dann (minimal) "SSLCertificateFile" und "SSLCertificateKeyFile" nicht auf was sinnvolles verweisen geht es nicht.

Irgendwie tappe ich mit der ganzen SSL Sache noch etwas im Dunkeln. Kennt irgend jemand ein vernünftiges SSL HowTo? Kann ich dann dieses Zertifikat für mehrere Accounts verwenden? Wie geht das mit dem Key, muß ich den irgendwie erstellen? Das Zertifikat selbst muß an diesen Platz: etc/httpd/ssl.crt/server.crt Der Schlüssel: etc/httpd/ssl.key/server.key Diese Angaben müssen dann auch in die httpd.conf. Müssen diese Angaben innerhalb von IfDefine und VirtualHost, so wie unten gemacht werden, oder ist es egal wo diese 2 Zeilem stehen? <IfDefine SSL> <VirtualHost _default_:443> SSLCertificateFile /etc/httpd/ssl.crt/server.crt SSLCertificateKeyFile /etc/httpd/ssl.key/server.key </VirtualHost> </IfDefine> Zur weiteren Configuration verwende ich das Confixx. Das ist dann ales kein Problem mehr. Wo kann ich am günstigsten dieses Serverzertifikat bekommen? Ich bin wirklich für jeden Tipp dankbar. Bis bald und alles Gute mfg Manfred

Hallo Michael,

Ich habe meine Keys damals mit den Skripten unter http://www.openssl.org/contrib/ssl.ca-0.1.tar.gz erstellt. Damit ists nicht weiter schwer. Ein gutes README für die Schlüsselerzeugung ist in dem Paket dabei. Alternativ schau mal unter /usr/share/doc/packages/mod_ssl bei Dir nach. Bei mir sind dort (neben Anleitung) ebenfalls 2 Skripte zu finden die Schlüssel erstellen sollten.

das heißt also die Schlüssel kann ich selbst erstellen. Wie ist das mit dem Zertifikat selbst? Kann ich das auch irgendwie selbst erstellen, oder muß mann das immer irgendwo kaufen? Was ist an diesem Zertifikat so teuer, daß es für so viel Geld verkauft wird. Das Zertifikat selbst ist doch wahrscheinlich eine ziemlich simple Sache im Vergleich zu all den andeeren Sachen (z.B. der Apache selbst) den mann umsonst bekommt. Irgendwie ist das für mich nicht logisch. mfg Manfred

Hallo Michael,

...

Was ist an diesem Zertifikat so teuer, daß es für so viel Geld verkauft wird.

Die Glaubwürdigkeit und Echtheitsüberpüfbarkeit des Schlüssels durch den Nutzer. Bei einem Zertifikat das Du Dir selber ausgestellt hast wird jeder Browser ein Fenster öffnen und dem User sagen, daß er die zertifizierende Stelle nicht kennt und ob der User dem damit unsicheren Schlüssel wirklich vertrauen wolle. Das macht den Schlüssel verschlüsselungstechnisch nicht schlechter, nur im realen Geschäftsbetrieb mangels einfacher Authentizitätspüfbarkeit problematisch.

herzlichen Dank, langsam sehe auch ich ein bißchen klarer mit der ganzen SSL Geschichte. Das SSL Zertifikat gilt in der Regel ja immer für ein Jahr. Was passiert, wenn das Zertifikat abgelaufen ist, und nicht rechtzeitig verlängert worden ist? Kann es passieren, daß der Apache deswegen stehen bleibt? mfg Manfred

Hallo Andre,

Bei mir ist es automatisch um ein Jahr verlängert worden. IMHO bekommst Du mehr Probleme, wenn Du das Zertifikat loswerden willst;)

Wo hast Du das Zertifikat gekauft? Empfiehlt sich da ein deutscher Anbieter, oder ist das so ziemlich egal? mfg Manfred

Am Montag, 11. Februar 2002 20:08 schrieb Manfred Gnaedig:

...

...

Bei mir ist es automatisch um ein Jahr verlängert worden. IMHO bekommst Du mehr Probleme, wenn Du das Zertifikat loswerden willst;)

Wo hast Du das Zertifikat gekauft?

Ich habe es über http.net, mit denen bin ich sehr zufrieden. Bislang keine Probleme. [...] Wo wir gerade bei Zertifikaten sind. Weiss einer von Euch, ob man mitlerweile von Bundesbehörden Zertifikate bekommen kann. Da stand doch im letzten Jahr was darüber in der iX oder wars c`t, oder doch UnixOpen, egal... Dort wurde berichtet das die Bundesregierung vorhabe eine CA-Infrastruktur für Bekörden und Verwaltung aufzubauen, die für

On Monday, 11. February 2002 22:37, Andre Heine wrote: [...] privat People kostenlose aber trotzdem Vertrauenswürdige Zertifikate vergeben sollen. Irgend wie stand in dem Artikel auch noch etwas über Sphinx, ein OpenSource CA-Service, und das dieser bereits von den KMail Programmierern mit in den Code eingebunden werden soll/wird. Ddeshalb hab ichs überhaupt nur behalten *grins* Tschüss, Thomas -- There are two types of Linux developers - those who can spell, and those who can't. There is a constant pitched battle between the two. (From one of the post-1.1.54 kernel update messages posted to c.o.l.a)