3.6. Création d'une autorité de certification privée à l'aide de GnuTLS

Procédure

1. Générez une clé privée pour votre autorité de certification. Par exemple, la commande suivante crée une clé ECDSA (Elliptic Curve Digital Signature Algorithm) de 256 bits :

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   La durée du processus de génération des clés dépend du matériel et de l'entropie de l'hôte, de l'algorithme sélectionné et de la longueur de la clé.

2. Créer un fichier modèle pour un certificat.

   1. Créez un fichier avec votre éditeur de texte préféré, par exemple vi :

      $ vi <ca.cfg>

   2. Modifiez le fichier pour y inclure les détails nécessaires à la certification :

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

3. Créez un certificat signé à l'aide de la clé privée générée à l'étape 1 :

   Le fichier <ca.crt> généré est un certificat CA auto-signé que vous pouvez utiliser pour signer d'autres certificats pendant un an. Le fichier <ca.crt> est la clé publique (certificat). Le fichier chargé <ca.key> est la clé privée. Vous devez conserver ce fichier dans un endroit sûr.

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

4. Définissez des autorisations sécurisées pour la clé privée de votre autorité de certification, par exemple :

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

Vérification

1. Affichez les informations de base sur votre AC auto-signée :

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

2. Créez une demande de signature de certificat (CSR) et utilisez votre autorité de certification pour signer la demande. L'autorité de certification doit réussir à créer un certificat sur la base de la RSC, par exemple :

   1. Générez une clé privée pour votre autorité de certification :

      $ certtool --generate-privkey --outfile <example-server.key>

   2. Créez un fichier avec votre éditeur de texte préféré, par exemple vi :

      $ vi <example-server.cfg>

   3. Modifiez le fichier pour y inclure les détails nécessaires à la certification :

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

   4. Générer une demande avec la clé privée créée précédemment

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

   5. Générer le certificat et le signer avec la clé privée de l'autorité de certification :

      $ certtool --generate-certificate --load-request <example-server.crq> --load-privkey <example-server.key> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      Ressources supplémentaires

      • certtool(1) et trust(1) pages de manuel