Wie eigenes SSL-Zertifikat erstellen?

[cyberjonny]

Hi miteinander,

kann mir hier vielleicht jemand mit einer idiotensicheren Schritt-für-Schritt-Anleitung erklären, wie ich (z.B. für ownCloud, Seafile, Baikal, etc.) kostenlos ein eigenes SSL-Zertifikat erstellen und nutzen kann?

Ich würde mich freuen!

Danke und Gruß,
Jonny

 

[blafoo]

Nein .. dafür gibt es google

Nein Ernsthaft: Dafür gibt es wirklich google

Frage ist: Willst du es nur intern nutzten oder willst du es auch von extern (über deine domain, keine Subdomain / no-ip-geraffel) nuzten?

Wenn extern: Schau dir startssl.com an. Die gegeben Level1-1-jahres-Certificate kostenlos herraus die auch in jedem üblicheN Browser als safe markiert sind.

Wichtig ist, du hast zwar die Dienste genannt, aber welche Platform?

Linux? Wenn ja welche Distribution

Baikal, Seafile etc kenne ich nicht, sind das eigenständige Dienste oder nutzten die wie OwnCloud den HTTP_Server?

Wenn die einen (oder den globaleN) HTTP-Server, wie Apache/NGinx nutzten, brauchst du nur ein Certificat zu erstellen, da kommen wir zur frage:

Welchen! Webserver hast du? Apache? NGinx?

Danach ist der google-weg tatsächlich der einfachste:

Debian 7 + ssl certificate + apache

Gibt dir wirklich hunderte HowTows, die ohne großartige Kenntnisse genutzt werden können, aus

Je nach Distribution kann ich dir aber dann auch gerne ein HowTO raussuchen.

Grüße

 

[cyberjonny]

In diesem Fall soll das Zertifikat in Verbindung mit einem Webspace-Paket bzw. einer Domain von all-inkl laufen. Also kein eigener Server im LAN, kein dynDNS etc.

Google war auch meine erste Anlaufstelle, aber auf die Schnelle habe ich da nichts gefunden, womit ich direkt was anfangen konnte. Ich muss nachher, wenn ich etwas Zeit habe, nochmal genauer suchen.

Danke dir soweit!

 

[blafoo]

Ist ein Webspace-Paket, dann musst du da im Webinterface irgendwo den Punkt finden: Zertifikat installieren / hinzufügen .. welches Format verlangt er da?

Grüße

 

[Xiflite]

Bei all-inkl läuft das ausschließlich über den Support. Selber kann man keine SSL-Zertifikate installieren.

Grüße
X

 

[cyberjonny]

Angeblich geht das seit Kurzem im KAS. Ich schaue heute Abend mal nach, wenn ich zu Hause bin.

 

[Xiflite]

Stimmt, ich habe es gerade auch zum ersten Mal gesehen. Du kannst dir über das Menü entweder automatisch ein selbst signiertes Zertifikat installieren. Oder du gibst Key, CRT und Chain im PEM Format ein.
Wenn du das selbst signierte Zertifikat auf deinen Geräten installierst, sollte das reichen. Dazu musst du nur das Formular unter "CSR Generator" ausfüllen und dann auf "selbst signiertes Zertifikat erzeugen" klicken.

Grüße
X

 

[lithograf]

Um mal den Fred zu kapern: Gibts schon irgendwelchen kostenlosen und "ordentlichen" nicht selber signierten SSL Zertifikate? Da war doch mal was von der EFF oder ähnliches.

 

[Lpz3sn]

http://www.cacert.org/ zb... unbestätigte identität; 6 monate gültig, bestätigt 24...

von verisign hat ich auch mal ein kostenloses... aber ich finds nimmer

 

[Xiflite]

Gerade als Heartbleed aktuell war, waren es leider kostenlose Anbieter, die erstmal kein reissue erlaubt haben ohne dafür Geld zu nehmen. CaCert ist eine feine Sache, aber deren Audit ist auch noch nicht durch und damit die Kompatibilität leider auch nur eingeschränkt.


Ich erstelle mir seitdem hier sehr günstig Zertifikate. Für den Preis ist das imho in Ordnung und man hat endlich Ruhe vor Leuten, die dein Wurzelzertifikat nicht in ihrer Chain haben.

 

[Lpz3sn]

was so zertifikate für email und so angeht
leider profiliert sich die sparkasse hier als abzocker.... obwohl jeder der eine spaka-karte in der tasche hat, auch eine signaturfähige smartcard in der tasche hat (s-trust zeichen), wollen sie so richtig kohle für haben, statt für kunden vernünftige tarife raus zu tun... https://www.s-trust.de/bestellung/email_zertifikat/
echt schade eigentlich...

das selbe bei den kra,... gesundheitskarten... da bekommt man auch keinen pin für den zertifikatspeicher.. echt zum schreien...

 

[Jubaarc]

Kostenlose Class 1 SSL Zertifikate mit 1 Jahr Laufzeit gibt es bei StartSSL (Für ca. 52 € gibt es da auch Class 2 [Wildcard und MultiDomain] Zertifikate mit einer Laufzeit von 2 Jahren) oder bei WoSign (MultiDomain möglich) mit einer Laufzeit von 2 Jahren. Beide Root-Zertifikate (Eigentlich nur das von StartSSL, aber das Root-Cert von Wosign ist von StartSSL zertifiziert) sind in den aktuellen Browsern und Endgeräten vorhanden, es erscheint also keine Warnung bzgl. ungültigem SSL Zertifikat.

Golem Artikel zu bzgl. WoSign : http://www.golem.de/news/wosign-kostenlose-tls-zertifikate-aus-china-1502-112203.html
Heise Artikel zu StartSSL: http://www.heise.de/security/artikel/SSL-fuer-lau-880221.html

 

[lithograf]

http://www.cacert.org/ zb... unbestätigte identität; 6 monate gültig, bestätigt 24...

von verisign hat ich auch mal ein kostenloses... aber ich finds nimmer

Wenn ich auf der Seite von cacert.org auf " join the CAcert Community ." klicke erscheint bei mir "Untrusted Connection"....

 

[Jubaarc]

Das Root Zertifikat von Cacert befindet sich auch (leider) nicht in den Zertifikatsspeichern von Browsern und Endgeräten. Deswegen kommt da, sofern das Rootzertifikat nicht in den Certspeicher hinzugefügt wird, auf eine Zertifikatswarnung.

Sprich es ist für gewisse Zwecke wie z.B. Shops oder tweilweise auch einen Mailserver der mit mobilen Endgeräten arbeiten soll die es nicht erlauben Root Zertifikate selbst hinzuzufügen schlicht ungeeignet.

 

[Jim-Phelps]

Ich benutze seit einigen Wochen WoSign (vorher StartSSL) und bin eigentlich recht zufrieden.
Die Vorteile von WoSign gegenüber StartSSL:

• 2 Jahre Laufzeit
• bis zu 100 Domains pro Zertifikat (man kann das Zertifikat also auch für seine Subdomains nutzen)
• kostenlose Verlängerung und Aufhebung des Zertifikats

Das einzige Problem, das ich nicht lösen konnte:
ich schaffe es nicht, OCSP Stapling mit NGINX zum Laufen zu bringen. Der Errorlog spuckt nur

OCSP responder prematurely closed connection while requesting certificate status, responder: ocsp6.wosign.com

aus

 

[cuco]

Angeblich geht das seit Kurzem im KAS. Ich schaue heute Abend mal nach, wenn ich zu Hause bin.

Stimmt, ich habe es gerade auch zum ersten Mal gesehen. Du kannst dir über das Menü entweder automatisch ein selbst signiertes Zertifikat installieren. Oder du gibst Key, CRT und Chain im PEM Format ein.
Wenn du das selbst signierte Zertifikat auf deinen Geräten installierst, sollte das reichen. Dazu musst du nur das Formular unter "CSR Generator" ausfüllen und dann auf "selbst signiertes Zertifikat erzeugen" klicken.

Mögt ihr mir verraten, wo das geht? Im KAS kann ich nichts finden. In der Members-Area wird auch nur auf die Preisliste verwiesen. Meine letzte Auskunft vom Support zu eigenen Zertifikaten war, dass sie dafür 30€ pro Jahr Zertifikatslaufzeit für die Einrichtung und Bereitstellung der IP nehmen.
Ach ja, ich hab den Premium-Tarif, also einen unter dem, ab dem eh ein Zertifikat von denen inklusive ist ^^

 

[Xiflite]

Mögt ihr mir verraten, wo das geht? Im KAS kann ich nichts finden. In der Members-Area wird auch nur auf die Preisliste verwiesen. Meine letzte Auskunft vom Support zu eigenen Zertifikaten war, dass sie dafür 30€ pro Jahr Zertifikatslaufzeit für die Einrichtung und Bereitstellung der IP nehmen.
Ach ja, ich hab den Premium-Tarif, also einen unter dem, ab dem eh ein Zertifikat von denen inklusive ist ^^

In den Eigenschaften der Domain ist das versteckt.

Grüße
X

 

[cuco]

....aaaahaaa! Das ist wirklich gut versteckt. Danke. Gleich mal meine Accounts alle mit Zertifikaten versehen 30€ pro Zertifikat und Jahr war mir eindeutig zu viel, so kann man das machen