česky | english
Klientské certifikáty CAcert – krok za krokem
- Stefan Thode
- [Český překlad: alkas]
Tento dokument je návod, jak si vyžádat certifikát a připravit ho do tvaru souboru PKCS#12.
V tomto dokumentu používám testovací systém CAcert. Použití je podobné jako u produkčního systému.
Předpoklady
Je importován a za důvěryhodný označen kořenový certifikát “CAcert Public Root Certificate” ve webovém prohlížeči.
Je instalován správce certifikátů XCA: http://sourceforge.net/projects/xca/
Je aktivován účet u https://secure.cacert.org
Příprava
Spusťte XCA
V menu “File” použijte “New Database” (nová databáze) k vytvoření databáze certifikátů a uložte ji do souboru. Nezapomeňte heslo nové databáze! Nebo otevřete existující databázi ze svého systému souborů.
Jděte do záložky “Certificates” (certifikáty).
Použijte “Import”, aby XCA přijal certifikáty CAcert.
Importujte kořenové certifikáty CAcert ve tvaru PEM: “root” (Kořenový certifikát root_X0F.crt) a “class3” (Zprostředkující certifikát class3_x14E228.crt) v tomto pořadí.
Dejte importovaným kořenovým certifikátům CAcert důvěru v kontextovém menu pomocí “Trust”.
Privátní klíč
Jděte na záložku “Private Keys” (privátní klíče).
Použijte “New Key” pro nový privátní klíč.
Zvolte název nového klíče, například vložením jeho účelu. Tento název slouží pouze k Vaší orientaci. Použijte název, který vypovídá o plánovaném účelu klíče, pak budete moci identifikovat klíč pro opětné použití k tomuto účelu. Dále vyberte typ a sílu (délku) klíče, který se má vygenerovat. V současnosti vyhovuje RSA délky 4096 bitů.
Nový privátní klíč je připraven a…
…objeví se ve Vašem seznamu privátních klíčů.
Žádost o podpis certifikátu – CSR
V dalším kroku jděte na záložku “Certificate signing requests” (žádosti o podpis certifikátů, CSR).
Použijte tlačítko “New Request” (nová žádost) k vytvoření CSR.
Pojmenujte CSR, definujte algoritmus a šablonu, kterou použijete. Nejdříve zvolte šablonu!
Jděte na záložku “Subject” (předmět).
Zvolte privátní klíč, který chcete použít. Vložte „Internal Name“ (vnitřní název) a „emailAddress (e-mailovou adresu). Na konci dialogu buď zvolte jeden z existujících privátních klíčů, nebo vytvořte nový, pokud jste ho zapomněli vytvořit před vytvořením žádosti CSR.
Případně můžete použít aliasy v poli „X509v3 Subject Alternative Name“. Žádost vytvořte tlačítkem „OK“.
Žádost (CSR) je připravena.
Procedura podepsání
Vyberte novou žádost a exportujte ji: “Export”.
Uložte žádost do souboru formátu PEM, ale s příponou .csr
Otevřete žádost v editoru (Notepad), vyberte celý text pomocí ALL a zkopírujte ho.
Otevřete web cacert.org a přihlaste se ke svému účtu. Jděte na “Klientské certifikáty” a “Nový”.
Na obrázku si všimněte, že je zvoleno Class 3 Root! Tímto kořenovým certifikátem bude podepsán ten Váš.
Aktivujte rozšířené volby a vložte žádost (CSR) do textového pole. Vyberte e-mailovou adresu / adresy (povinné!) a případně své jméno. Členové komunity s 50 a více body zaručení si mohou zvolit kořenový certifikát, kterým chtějí nechat žádost podepsat. Přednostně použijte certifikát třídy 3. Zadejte komentář pro lepší budoucí identifikaci certifikátu. Stiskněte tlačítko “Další”
Prohlížeč ukáže nově vystavený certifikát. Použijte odkaz “Stáhnout certifikát ve formátu PEM” a certifikát v tomto formátu si uložte do souboru. Alternativně vyberte zakódovaný text včetně řádků BEGIN/END CERTIFICATE pro přímý import pomocí "Import (PEM)" v XCA.
Nyní můžete nový klientský certifikát vidět v menu “Klientské certifikáty” a “Zobrazit”.
Použijte “Import” v XCA a importujte nový klientský certifikát od CA.
Import byl úspěšný.
Certifikát je zobrazen pod kořenovými certifikáty podepisující CA (CAcert), které jste importovali dříve.
Export souboru ve tvaru PKCS#12
Vyberte svůj nový klientský certifikát a použijte tlačítko “Export”.
Uložte vyexportovaný certifikát ve tvaru PKCS#12 a...
…definujte heslo na ochranu privátního klíče před neoprávněným použitím. Toto heslo budete potřebovat zadat při importu tohoto souboru do webového prohlížeče nebo e-mailového klienta.
Nyní máte certifikát ve tvaru PKCS#12 pro import do prohlížeče, e-mailového klienta, operačního systému…
Blahopřejeme!