Nasazeni https pres openssl

Ahoj,

rozhodl jsem se, ze bych konecne presel na https, a tak jsem zacal cist ruzne clanky a zajimat se o to.

Jsem ve fazi kdy zhruba vim jak ssl funguje jak si predava klice atp.
Nicmene chci se zeptat chtel bych pouzit ssl jak na localu tak i na vps, co jsem pochopil, tak openssl je funkce ktera vztvari self-signed certifikaty, tudiz nejsou podepsane autoritou (jestli to dobre chapu), hodi se tedz treba na localhost.

Dalsi vec je vps bezi na debianu, zde bych chtel vyuzit lets encrypt, ale otazka zni jak. Mam tu resit take neco s openssl nebo k cemu presne to openssl je.

Pote bych mel jeste takovej specialni dotaz a to ten, ze me napadlo, ze bych si vytvoril nejaky vlastni certifikat a tim se musel nejak pred vstupe overit, hodilo by se to treba ke vstupu do phpmyadmina na vps. Tudiz bych se do neho dostal pouze z pc kde bych mel ten certifikat, da se to nejak udelat ?

Predem diky vsem kdo mi trochu ujasni to generovani a i treba nasledne obnovovani certifikatu a jestli musim pro kazdou domenu na vps vztvaret vlastni cert nebo staci jeden kam pridam vsechny domeny ..?

Diky za pomoc

Diky za vase odpovedi.

Ano doslo mi ze openssl je knihovna, jen jsem nevedel jestli ji potrebuju i k tem certifikatum od lets encrypt, resp jestli s nim umi komunikovat, nebo treba jestli se jen stara o tu komunikaci mezi klientem a serverem, ale vychazi mi z toho tedy, pokud to spravne chapu, ze pro nasazeni podepsanych certifikatu openssl vubec nepotrebuju, ta se hodi jen pro local a self signed certifikaty.

Na to acme jsem koukal a vypada to dobre, libi se mi, ze je i sam aktualizuje, jen jsem prave nemel jasno jak je to s tim openssl protoze se o tom dost mluvi, tak jsem se radsi chtel ujistit nez si s tim zacnu hrat.

Ohledne ten virtualhostu bylo by asi idealni mit na kazdeho vhosta vlastni certifikat, jen jsem nekde cetl, ze se vydava pouze na jednu ip, ze udajne pri kontaktovani serveru se nejdriv musi overit ssl certifikat a az pote probehne vymena hlavicek jakozto i nazvu domeny a vtu chvily se pouziva nejake SNI kde je jeden cert na nekolik domen, zhlediska implementace asi jednodussi, ale zase to pry nejake starsi browsery neumi, ale tezko rict neblyly to aktualni informace.

Keeehi:
Diky, myslel jsem si to, ale chapu to tedy spravne, ze pokud mam jednu ip, tak mohu pouzit pouze to SNI.
A jak je to tedy pak v praxi ? Dejme tomu, ze mam v ruce nejaky certifikat at uz vzgenerovany pres openssl nebo treba pres lets encrypt, tak predpokladam ze je to nekolik souboru, tusim ze 3 ? jeden .cert a dva klice ?

Takze ten certifikat by mel obsahovat info o domenach ktere pod nim chci mit a pote ten cert nekam umistim a ve virtualhostu ho nalinkuju a zapnu nejake to ssl nastaveni ? Tudiz bude jen jeden na celem serveru. A kdyz budu chtit novou domenu, tak ho budu muset pregenerovat s dalsi domenou ?

Diky.

Keeehi:
Chapu, takze jaky presne je rozdil pouziti jednoho certu oproti SNI ? Je i nejaky rozdil v konfiguraci ?

Protoze jinak mi to prijde ze bude vzgeneruji jeden cert a ten nastavim vsem vhostum a nebo pro kazdy vhost (domenu) vzgeneruju vlastni a nalinkuju kazdemu svuj - coz je tedy to SNI.
Ale ve vysledku bude bezpecnost stejna v obou pripadech, jen treba v podrobnostech o protokolu bude uvedeno vice domen ? Taky asi otazka kolik domen muze byt na jednom certifikatu.

Co bys doporucil ty ? Jeden certifikat nebo SNI ?

Diky

Keeehi:
Mockrat diky za vysvetleni :)

Takze idealne generovat pro kazdy vhost zvlast nejak takto


ikdyz mozna bude lepsi ukladat do folderu s webem ? (pochopitelne v diru bez pristupu)

Akorat ted me jeste tak napada, ze u openssl je mu asi uplne jedno pro jaky je nazev domeny, jelikoz ji nikam neregistruje nebo se pletu ? Proste mi vygeneruje random certifikat a ulozi do potrebnych souboru.

A jeste posledni dotaz a to je jen ohledne -nodes resp. co presne dela, a proc je dobre ho pouzit. Diky

Ok,

tak se mi to podarilo rozchodit na localu, brzy to zkusim i na serveru, certifikaty ukladam do /etc/apache2/ssl

jinak k cemu presne slouzi toto nastaveni vhostu


A jeste jsem zjistil, ze by se mel jeste udavat nejaky soubor ssl keychain, k cemu slouzi nebo jak se pouziva ?

Opet velke diky

Keeehi:

Tak uz se snazim rozbehat letsencrypt pomoci acme.sh a v navodu na interval.cz je pekny navod i pochopitelny, jedina vec, ktere nerozumim je vytvoreni aliasu na webroot je to asi 3ti odstavec v tomto clanku [Uprava web serveru a mluvi se tam o .well-known, jestli to spravne chapu, tak se da pomoci location prikazu zaregistrovat alias pro cestu, ale v tomhle pripade to vazali na adresar uzivatele letsencrypt coz nechapu a dale uz alias .well-known neni nikde pouzity. Ja mam weby ve /var/www (default) takze bych mel udelat nejaky alias pro tuto cestu ? k cemu ? proc ?

Diky moc za vysvetleni, je to asi posledni otaznik ohledne ssl :)

TomášK:
No pockat, on si tedy overuje tu domenu ze k ni mas pristup, tudiz on si pak zavola primo tu domenu s tim .well-known (to je teda defaultni pojmenovani aliasu, ktery pouziva lets encrypt k overeni) a tim ze udelam toto


Tohle muzu teda nastavit bud vhostu nebo globalne, a je to zkratka presmerovani kdyz bude http obsahovat cokoliv/.well-known tak ho hodi do adresare letsencrypt, kam to uklada defaultne acme.sh (tedy uklada to do slozky webroot uzivatele, ktery o certifikat zada.)

Tudiz ty tokeny tam pak nejak zustavaji nebo se overi a smaze nebo ?

Jasny, diky vyzkousim. A jeste me jen napada kdybych nekdy chtel certifikaty prenest na jiny server, tak staci premigrovat certifikaty nainstalovat acme a navest cron do diru a temy certifikaty ?