¿Qué software de autoridad certificadora está disponible?

Question

Estoy ejecutando varios sitios web cifrados con SSL y necesito generar certificados para ejecutarlos. Son todas aplicaciones internas, por lo que no necesito comprar un certificado, puedo crear el mío.

Me ha resultado bastante tedioso hacer todo usando openssl todo el tiempo, y creo que este es el tipo de cosas que probablemente ya se han hecho antes y existe software para ello.

Mi preferencia es para sistemas basados ​​en Linux, y preferiría un sistema de línea de comandos en lugar de una GUI.

¿Alguien tiene alguna sugerencia?

Answer 1

Una opción que no requiere su propia CA es obtener certificados del CAcert (son gratuitos).

Encuentro conveniente agregar los dos certificados raíz CAcert a mis máquinas cliente, luego puedo administrar todos los certificados SSL a través de CAcert.

Answer 2

Es probable que la autofirma le dé lo que necesita; here is a page (enlace resucitado por web.archive.org) que proporciona una guía decente para la autofirma si desea conocer los pormenores de cómo se hace y cómo crear su propia secuencia de comandos.

El enlace de la secuencia de comandos original de esta respuesta desafortunadamente está muerto y no pude encontrar un archivo de la misma, pero hay muchas alternativas para las secuencias de comandos de shell pre-rodadas que hay.

Si está buscando algo para admitir la autofirmación con todas las características, entonces this guide for 802.1x authentication de tldp.org recomienda utilizar las secuencias de comandos de ayuda para auto-firmar desde FreeRADIUS. O, si solo necesitas algo rápido y sucio, Ron Bieber ofrece su "brain-dead script" para auto-firmar en su blog en bieberlabs.com.

Por supuesto, hay muchos scripts alternativos, pero esto parece ofrecer una buena gama de opciones, y con un poco de información adicional de la guía, debe poder adaptarlas para hacer lo que necesite.

También vale la pena consultar el SSL Certificates HOWTO. Ya es bastante viejo (se actualizó por última vez en 2002) pero su contenido sigue siendo relevante: explica cómo usar el script Perl/Bash CA provisto con el software OpenSSL.

Answer 3

Sé que dijo que prefiere la línea de comandos, pero para los demás que estén interesados ​​en esto, TinyCA es un software GUI CA muy fácil de usar. Lo he usado tanto en Linux como en OSX.

Answer 4

Hay una solución sencilla página web: https://www.ibm.com/developerworks/mydeveloperworks/blogs/soma/entry/a_pki_in_a_web_page10

Answer 5

me gusta usar las secuencias de comandos fácil de RSA provistos de OpenVPN. Esta es una colección de herramientas de línea de comando utilizada para crear el entorno de PKI requerido para OpenVPN. Pero con un ligero cambio del archivo openssl.cnf (también provisto) puede crear casi cualquier cosa que desee con él. Lo uso para autosefirmar certificados de servidor ssl, así como con la copia de seguridad de Bacula y para crear claves privadas/csr para certificados "reales". simplemente descargue el archivo fuente de la edición de comunidad OpenVPN y copie la carpeta easy-rsa en su máquina Linux. Encontrará mucha documentación en las páginas de la comunidad openvpn.

Solía ​​usar CAcert, también es bueno, pero usted tiene que crear el CSR usted mismo, por lo que tiene que usar openssl nuevamente y el certificado solo es válido por medio año.esto es molesto

Answer 6

El software XCA parece razonablemente bien mantenido (copyright 2012, usa Qt4), con una interfaz de usuario suficientemente documentada y simple y tiene paquetes en debian, ubuntu y fedora.

No juzgues a la página web a primera vista: http://xca.sourceforge.net/

Más bien, compruebe este bonito tutorial para añadir una nueva CA: http://xca.sourceforge.net/xca-14.html#ss14.1

Se puede ver una captura de pantalla de la aplicación existe: http://sourceforge.net/projects/xca/

Sin embargo, está basado en GUI, no en línea de comandos.

Answer 7

Creé a wrapper script, escrito en Bash, para OpenSSL que puede ser útil para usted aquí. Para mí, las fuentes más fáciles de error del usuario cuando se utiliza OpenSSL fueron:

1. Mantener un esquema de nomenclatura coherente y lógica de configuración/certs/teclas de modo que pueda ver cómo cada artefacto encaja en toda la PKI con sólo mirar el nombre de archivo/extensión
2. La aplicación de una estructura de carpetas es coherente en todas las máquinas de CA que utilizan el script.
3. Especificación demasiadas opciones de configuración a través de CLI y desatar un seguimiento de algunos de los detalles

La estrategia es empujar todas las configuraciones en sus propios archivos, guardar sólo la ejecución de una acción particular de la CLI. La secuencia de comandos también aplica estrictamente el uso de un esquema de nombres particular para carpetas/archivos aquí, que es útil cuando se mira un solo archivo.

Utilice/Tenedor/PR de distancia! Espero eso ayude.