Newsgroup: it.comp.sicurezza.varie
Titolo: connessione ssl

Desidero eseguire delle prove su una connessione ssl.
Per crearne una sono obbligato a richiedere un certificato ad un ente?
Non posso crearmene uno io? Se si come si fa?
Grazie per l'attenzione
Roberto

 Non posso crearmene uno io? Se si come si fa?
Dipende dal sistema operativo che hai [1]. Innanzitutto scarica 
OPENSSL
poi dipende da che certificato devi creare :)
ad esempio, per una chiave RSA privata a 1024 bit :
    	openssl genrsa -des3 -out ca.key 1024 
che crea una chiave privata RSA chiamata ca.key
Se devi invece creare un certificato X509 le cose si fanno 
leggermente più complicate:
1) crea un file di testo chiamato openssl.cnf e copiagli questo 
contenuto:
RANDFILE		= .rnd
####################################################################
[ ca ]
default_ca	= CA_default		# The default ca section
####################################################################
[ CA_default ]
dir		= demoCA		# Where everything is kept
certs		= $dir\certs		# Where the issued certs are kept
crl_dir		= $dir\crl		# Where the issued crl are kept
database	= $dir\index.txt	# database index file.
new_certs_dir	= $dir\newcerts		# default place for new 
certs.
certificate	= $dir\cacert.pem 	   # The CA certificate
serial		= $dir\serial 		   # The current serial 
number
crl		= $dir\crl.pem 		   # The current CRL
private_key	= $dir\private\cakey.pem   # The private key
RANDFILE	= $dir\private\private.rnd # private random number file
x509_extensions	= x509v3_extensions	# The extentions to add to 
the cert
default_days	= 365			# how long to certify for
default_crl_days= 30			# how long before next CRL
default_md	= md5			# which md to use.
preserve	= no			# keep passed DN ordering
# A few difference way of specifying how similar the request should 
look
# For type CA, the listed attributes must be the same, and the 
optional
# and supplied fields are just that :-)
policy		= policy_match
# For the CA policy
[ policy_match ]
countryName		= optional
stateOrProvinceName	= optional
organizationName	= optional
organizationalUnitName	= optional
commonName		= supplied
emailAddress		= optional
# For the 'anything' policy
# At this point in time, you must list all acceptable 'object'
# types.
[ policy_anything ]
countryName		= optional
stateOrProvinceName	= optional
localityName		= optional
organizationName	= optional
organizationalUnitName	= optional
commonName		= supplied
emailAddress		= optional
####################################################################
[ req ]
default_bits		= 1024
default_keyfile 	= privkey.pem
distinguished_name	= req_distinguished_name
attributes		= req_attributes
[ req_distinguished_name ]
countryName			= Country Name (2 letter code)
countryName_min			= 2
countryName_max			= 2
stateOrProvinceName		= State or Province Name (full name)
localityName			= Locality Name (eg, city)
0.organizationName		= Organization Name (eg, company)
organizationalUnitName		= Organizational Unit Name (eg, 
section)
commonName			= Common Name (eg, your website's domain 
name)
commonName_max			= 64
emailAddress			= Email Address
emailAddress_max		= 40
[ req_attributes ]
challengePassword		= A challenge password
challengePassword_min		= 4
challengePassword_max		= 20
[ x509v3_extensions ]
# under ASN.1, the 0 bit would be encoded as 80
nsCertType			= 0x40
#nsBaseUrl
#nsRevocationUrl
#nsRenewalUrl
#nsCaPolicyUrl
#nsSslServerName
#nsCertSequence
#nsCertExt
#nsDataType
2) ora digita seguendo poi le istruzioni a video (ti verrà chiesta 
una password, il codice del tuo paese (IT), provincia, località, il 
nome della tua organizzazione, la sigla della tua organizzazione ed 
il nome a dominio a cui associare la chiave [2], l'indirizzo mail di 
riferimento e successivamente le pass di conferma:
    	openssl req -config openssl.cnf -new -out server.csr
cancella poi la chiave privata dal certificato:
    	openssl rsa -in privkey.pem -out server.key 
infine generi il certificato:
openssl x509 -in server.csr -out server.crt -req -signkey server.key 
-days 360
Puoi cambiare l'istruzione -days con il numero di giorni per il quale 
vuoi che il certificato sia valido.
il risutato sara la chiave SERVER.CRT 
[1] OPENSSL è nativo linux ma esiste una versione anche per WIN
[2] attenzione, se inserisci un dominio errato e utilizzerai il 
certificato per un sito sotto SSL avrai un messaggio di errore che ti 
indicherà la non veridicità del certificato. In ogni caso i browser 
non riconoscono automaticamente i SELF-SIGNED a meno che non siano di 
enti certificati. Dovrai di volta in volta accettarli con il tuo 
browser o dei tuoi clienti.
-- 
Ciao, Dmitry 
Le F.A.Q di 
x-privat.org
 : 
http://www.x-privat.org/faq.html

 Non posso crearmene uno io? Se si come si fa?
devi crearti su uno dei tuoi server una certification authority.
OpenSSL è cosa buona, ma puoi benissimo utilizzare i servizi certificati di
Microsoft (se è il tuo contesto).

 ha scritto nel messaggio
news:41494d3d$1...@x-privat.org...


 Grazie
Prima di tutto devi installare SERVIZI CERTIFICATI da pannello
controllo/installazione applicazioni/componenti windows.
Poi studiati i papers step-by-step sul sito M$ che trovi nella sezione
Security Services qua :
http://www.microsoft.com/windows2000/techinfo/planning/walkthroughs/default.asp
 (vai in fondo)

 procedere....... 
prima di openssl ti consiglio una lezione di quoting. Se non sai di 
cosa si tratta, guarda qui:
http://digilander.libero.it/ifst/html/Quoting.html
per quanto riguarda OPENSSL esiste un eseguibile già compilato per i 
sistemi WIN. Ora non ricordo il link in quanto non lo uso, ma se 
cerchi bene su www.openssl lo trovi


 win2000 server c'è tutto quello che server per le mie prove? Si?
no, non ti offendere, ma ho idea che sei lontano mille miglia dal 
poter mettere su una pagina SSL. Non è uno scherzo.


 cosa si tratta, guarda qui:
Chiedo scusa, pensavo di aver risposto ad un messaggio e non averne creato
uno nuovo.
Ciao
Roberto

 poter mettere su una pagina SSL. Non č uno scherzo.
Dato che č la prima volta che affronto questa procedura, stamattina ho dato
alcune occhiattine qua e la ed onestamente mi sembra  facile, quindi mille
miglia non direi, anzi!
Generare una richiesta,  per un server pubblico,  ad un ente certificatore e
pagare č molto semplice č che voglio provare a fare questo in un server di
prova senza bisogno di un ente esterno. Tutto qui!
Ciao
Roberto


http://www.microsoft.com/windows2000/techinfo/planning/walkthroughs/default.asp
Grazie 1000 funziona!!!!!!
Ciao
Roberto

 poter mettere su una pagina SSL. Non č uno scherzo.
Due ore.
Non č uno scherzo.
Ciao
Roberto