SSL Zertifikat für den CloudKey

Es gibt 4 Antworten in diesem Thema, welches 6.203 mal aufgerufen wurde. Der letzte Beitrag () ist von razor.

    Hallo zusammen,


    ich bin grad dabei für meinen CloudKey ein gültiges SSL Zertifikat zu erstellen. Jedoch finde ich im Internet nur Anleitungen, die Let’s Encrypt oder ähnliches nutzen. Da ich den Controller nur im eigenen Lan benutze benötige ich keinen öffentliche CA. Hat schon mal jemand für seinen CloudeKey ein Zertifikat für den internen gebraucht erfolgreich erstellt und kann mir ggf. helfen?


    Vg, Jan

    • Offizieller Beitrag

    Also,

    mit Zertifikaten ist da ja so eine Sache: ohne CA (Certificate Authority) wirst Du Dir selbst keine Zertifikate erstellen können. Deiner eigenen CA wird (sehr wahrscheinlich) öffentlich nicht vertraut, sodass Dir das nicht für Geräte oder Web-Seiten hilft, die aus dem internet zu erreichen sind - außer alle Beteiligten importieren Deine root-CA auf / in ihren Endgeräten. Das ist aber nicht immer möglich und für seriöse öffentliche Seiten auch sehr unüblich --> Let’s Encrypt. Für Linux-basierte Systeme, welche aus dem Internet zu erreichen sind, gibt es sogar Automatismen (meine Empfehlung: acme.sh), um die Zertifikate bei Bedarf zu erneuern. (Verlängern gibt es nicht - wie auch beim Reisepass :grinning_squinting_face:)

    Für alles, was sowieso nur im LAN / privat / offlne läuft, kann man das so machen, für alles, was von außen zu erreichen ist, sollte man dies nicht tun - meiner Meinung nach.

    Dann sollten Zertifikate zur Server-Authentication vong Sicherheit her :smiling_face: nicht länger als zwei Jahre gelten. Das wiederum bedeutet, dass Du die Laufzeiten überwachen musst, um nicht überascht zu werden oder rechtzeitig neue ausstellen zu können. (Eine root hat häufig eine Lauzeit von 10 Jahren.)

    Bei öffentlich zugänglichen Maschinen kann es auch nötig sein Zertifikate zurückzuziehen, falls sie Kompromittiert wurden - Stichwort CRL. Auch diese Liste will gepflegt werden und muss von allen Partner erreichbar sein.


    Es gibt diverse Tools, mit der man eine solche private CA erstellen und verwalten kann. Wann man Linux und die Console mag, dann kann man das "schön" mit openSSL machen - ich kenne bisher keine GUI für Linux, gern auch im Browser. :smiling_face: Ja, man kann hier Vorlagen erstellen, aber bislang konnte ich mich damit noch nicht so recht anfreunden.

    Für Windows gibt es neben der CA in einem Server-Betriebssystem (Windows Server 2019) z.B. das Tool XCA. Dies bietet eine GUI für das Zertifikatsmanagement (via openSSL) an, allerdings nach meinem Kenntnisstand keine API, um Zertifikate automatisiert auszustellen. Man kann damit aber eine CA entsprechend nachbilden mit allem drum und dran.