Wechseln zu:Navigation, Suche
Wiki

Die Seite Vorlage:Ui-icon.css hat keinen Inhalt.



























Erstellen und Verwalten von Zertifikaten


Letzte Anpassung zur Version: 12.1

Neu

  • Zertifikate mit Hilfe von ACME verwalten (Let's Encrypt)
  • Allgemeine Überarbeitung
  • Übersetzung


Vorherige Versionen: 11.7



Allgemeines

Die Securepoint Firewall benutzt digitale Zertifikate für die Authentifikation bei verschiedenen Funktionen:

  • VPN-Verbindungen
  • SSL-Interception
  • Captive Portal
  • Mailrelay
  • Reverse Proxy

Die Zertifikate entsprechen dem x.509 Standard.

Zertifikate sollen die Identität des Inhabers bescheinigen.
Sie werden

  • von der Securepoint Appliance ausgestellt und von der Appliance eigenen CA (Certification Authority; auch Stammzertifikat genannt) signiert.
    • Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden.
  • Neu Neu ab v12 durch einen Automatic Certificate Management Environment-Dienst ausgestellt und von diesem zertifiziert. Zur Verfügung steht hier Let's Encrypt

Diese Signierung bestätigt die Echtheit des Zertifikats. So kann der Benutzer sicher sein, dass das Zertifikat wirklich von der Appliance ausgestellt wurde.

Um das Zertifikat eindeutig zuordnen zu können, wird aus den einzelnen Angaben, die bei der Erstellung des Zertifikats gesetzt werden müssen, ein Distinguished Name (DN) generiert.
Dazu gehören:

  • Name des Zertifikats (CN) Common Name
  • Land (CO) Country
  • Bundesland/Region (ST) State
  • Ort (LO) Location
  • Firma (OR) Organisation
  • Abteilung (OU) Organisation Unit
  • E-Mail (email-address)
  • Es kann noch ein Alias angegeben werden, um die Eindeutigkeit zu verstärken. Dieser Alias ist entweder eine E-Mail-Adresse, ein DNS Name oder eine IP-Adresse.
  • Von mancher VPN Software wird dieser Alias für eine einwandfreie Funktionalität verlangt (z.B. Windows 7 IPSec Client).
  • Außerdem muss noch ein Gültigkeitszeitraum angegeben werden, dessen Anfangs- und Ablaufzeitpunkt sich aus Uhrzeit und Datum zusammensetzt. Die Zeitspanne der Gültigkeit ist nicht vorgeschrieben und kann den eigenen Bedürfnissen angepasst werden. Nach Ablauf dieser Zeitspanne, kann das Zertifikat nicht mehr verwendet werden.
  • Es kann noch ein Flag gesetzt werden, welches das Zertifikat als Serverzertifikat kennzeichnet. Dieses wird von OpenVPN für den Server verlangt. OpenVPN benötigt für eine Seite immer ein Serversystem mit Server Zertifikat auch bei Site-to-Site Verbindungen. Andere VPN Protokolle verlangen diese Kennzeichnung nicht.


Im Folgenden wird gezeigt, wie durch die UTM Zertifikate erstellt und signiert werden.

CA erstellen

Dialog CA hinzufügen
  • Menü → Authentifizierung →Zertifikate
  • Reiter CA
  • Schaltfläche CA hinzufügen
Wert: Beschreibung:
Common Name Eindeutiger Name. Für eine klare Zuordnung von Zertifikaten sollte folgendes Schema verwendet werden:
  • CA-xyz für Certificate Authorities
  • CS-xyz für Serverzertifikate (Certificate Server)
  • CC-xyz für Clientzertifikate (Certificate Client)
  • ACME-xyz für ACME Zertifikate (xyz entspricht dabei dem Dienst, für den das Zertifikat verwendet werden soll)
Schlüssellänge: Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 (default) / 4096
Gültig bis Das Datum ist im folgenden Format anzugeben JJJJ/MM/TT hh:mm:ss. Wenn mit der Maus in das Eingabefeld geklickt wird, öffnet sich automatisch ein Kalender, auf dem das Datum und die Uhrzeit ausgewählt werden kann.
  • Mit der Gültigkeit der CA läuft auch die Gültigkeit der mit dieser CA signierten Zertifikate aus.
  • Erstellen der CA mit der Schaltfläche Speichern


    Server- und Clientzertifikat erstellen

    Clientzertifikat

    Serverzertifikat
  • Erst nachdem eine CA angelegt wurde, können Zertifikate für die Appliance und für Nutzer angelegt werden.
  • Wert: Beschreibung:
    Common Name Eindeutiger Name. Für eine klare Zuordnung von Zertifikaten sollte folgendes Schema verwendet werden:
    • CA-xyz für Certificate Authorities
    • CS-xyz für Serverzertifikate (Certificate Server)
    • CC-xyz für Clientzertifikate (Certificate Client)
    • ACME-xyz für ACME Zertifikate (xyz entspricht dabei dem Dienst, für den das Zertifikat verwendet werden soll)
    Schlüssellänge: Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 (default) / 4096
    CA: CA-Anyideas Auswahl der CA, die das Zertifikat signieren soll
    Werte aus CA laden Übernimmt die Werte aus der CA. Nachträgliche Änderungen sind möglich.
    Serverzertifikat Aus Wird für ein Clientzertifikat nicht verwendet
    EinWird für ein Serverzertifikat aktiviert.
    Zusätzlich ist mindest eine weiterer Alias erforderlich:
    • DNS DNSName des Servers (z.B. beispiel.spdns.de)
    • E-Mail E-Mailadresse
    • IP IP-Adresse des Servers

    Hinzufügen des Alias mit der Schaltfläche

    Erstellen dez Zertifikates mit der Schaltfläche Speichern

    ACME Zertifikate (Let's Encrypt)

    Die Seite Vorlage:Ui-icon.css hat keinen Inhalt.































    ACME Zertifikate (Let's Encrypt)

    ACME Dienst aktivieren

    ACME Dienst aktivieren

    Um ACME Zertifikate nutzen zu können muss der Dienst im Reiter ACME zunächst aktiviert werden

    • ACME-Dienst Ein Dienst aktivieren
    • Sobald der Dienst aktiviert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen
    • Mit der Schaltfläche Aktivieren Ja und dem hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben Speichern
    • Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

    Token generieren

    Token generieren

    spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
    Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.

    • spDyn Host aufrufen
    • Im Dropdown Menü für Token den ACME Challenge Token wählen
    • Token generieren
      Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
      Der Token sollte notiert und sicher aufbewahrt werden.


    ACME-Zertifikate

    ACME-Zertifikate

    Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick auf ACME-Zertifikat hinzufügen öffnet den entsprechenden Dialog.

    Beschriftung: Wert: Beschreibung:

    ACME-Zertifikat hinzufügen

    UTM Dialog → Authentifizierung →ZertifikateReiter Zertifikate Schaltfläche ACME-Zertifikat hinzufügen
    UTM v12.1 Zertifikate ACME hinzufügen.png
    ACME-Zertifikat hinzufügen
    Name ttt-Point Name zur Identifizierung des Zertifikates
    Schlüssellänge: 2048 Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 (default) / 4096
    ACME Account Let's Encrypt ACME Account der verwendet werden soll
    Subject Alternative Name konfigurieren mit SAN hinzufügen

    Subject Alternative Name hinzufügen

    Subject Alternative Name ttt-point.spdns.org Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufegrufenen URL UTM v12.1 Zertifikate ACME SAN.png
    Subject Alternative Name hinzufügen
    Alias ttt-point.spdns.org Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen.
    Token ••••••••••••• Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf.
    zeigt den Token an.
    Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden
    Speichern
    Konfiguration prüfen
    Status Noch nicht geprüft Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen. UTM v12.1 Zertifikate ACME initialisiert.png
    initialisieren
    Initialisiert
    Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
    Gültig Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
    DNS Fehler Der Token kann z.B. falsch sein.
    Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügen

    SAN für externe DNS-Zone hinzufügen

    Subject Alternative Name ttt-point.anyideas.org Der Subject Alternative Name (SAN) aus der externen DNS-Zone UTM v12.1 Zertifikate ACME SAN extern.png
    Alias ttt-point.spdns.org Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
    DNS-Provider Grundsätzlich wird ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!)
    Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus:
    _acme-challenge.mx.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.
    _acme-challenge.exchange.ttt-point.de. IN CNAME _acme-challenge.ttt-point.spdns.org.

  • Der Hostname muss im öffentlichen DNS auflösbar sein.
    Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich.
  • Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. Die Delegierung der Zone an interne DNS-Server ist nicht möglich.
  • Konfiguration prüfen Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche Speichern noch nicht betätigt wurde. UTM v12.1 Zertifikate ACME SAN überprüft.png
    Status Gültig Sind alle benötigten SAN erolfgreich geprüft, kann das Zertifikat gespeichert werden. UTM v12.1 Zertifikate ACME SAN gültig.png
    Speichern Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden. Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das bestehende widerrufen werden.

    Erstellung des ACME Zertifikates

    Erstellung des ACME Zertifikates
    Speichern Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen.


    Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.

    UTM v12.1 Zertifikate ACME-init-valid.png

    Zertifikate / CAs importieren

    Zertifikate und CAs lassen sich mit mit der Schaltfläche CA importieren bzw. Zertifikat importieren importieren.

    Die Seite Vorlage:Ui-icon.css hat keinen Inhalt.





































  • Importierte Zertifikate und CAs müssen im PEM-Format (Dateiendung meist .pem) oder PKCS12-Format (Dateiendung meist .p12 oder .pfx) vorliegen.

    Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:

    Zertifikat Befehl
    X509 zu PEM openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
    DER zu PEM openssl x509 -inform der -in certificate.cer -out certificate.pem
    P7B zu PEM openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem
  • Die Seite Vorlage:Ui-icon.css hat keinen Inhalt.



























    Häufige Statusmeldungen:

    Status Beschreibung: Hinweis
    KEY Der öffentliche und private Schlüssel liegen vor Es kann ver- und entschlüsselt werden:
    VALID Das Zertifikat ist gültig Es kann ver- und entschlüsselt werden:
    INIT Das Zertifikat wird gerade initialisiert (Nur ACME-Zertifikate)
    KEY Der private Schlüssel liegt nicht vor Es kann lediglich verschlüsselt, nicht aber entschlüsselt werden
  • Bei Import z.B. einer öffentlichen CA wird nur der PublicKey importiert
  • UNABLE TO GET CERTIFICATE CRL Es konnte keine aktuelle CRL gefunden werden.
  • Eine CRL ist für den Betrieb im Webserver oder Mailrelay nicht relevant.
  • UNABLE TO GET LOCAL ISSUER CERTIFICATE Der lokale Aussteller kann nicht gefunden werden.
    Dies tritt auf, wenn das Ausstellerzertifikat eines nicht vertrauenswürdigen Zertifikats nicht gefunden werden kann.
  • Bei importierten CAs kann es keinen lokalen Aussteller geben
  • certificate has expired Das Zertifikat ist abgelaufen. Das notAfter-Datum liegt vor der aktuellen Uhrzeit.
    • Bei ausschließlich lokal genutzten Zertifikaten: Prüfen, ob das Gültigkeitsdatum angepasst werden kann
    • ggf. neues Zertifikat erstellen (lassen)
    • Bei ACME-Zertifikaten: Prüfen, warum das Zertifikat nicht erneuert werden konnte (z.B.: Festplatte im read-only-Modus)
    certificate is not yet valid Das Zertifikat ist noch nicht gültig: Das notBefore-Datum liegt nach der aktuellen Uhrzeit.
    CRL is not yet valid Die CRL ist noch nicht gültig
    CRL has expired Die CRL ist abgelaufen
    certificate revoked Das Zertifikat wurde widerrufen. In Produktivumgebungen sollten widerrufene Zertifikate nicht widerhergestellt werden.
    Hier ist das Erstellen eines neuen Zertifikates meistens die bessere Lösung.
    unsupported or invalid name syntax
    UNSUPPORTED_CONSTRAINT_SYNTAX
    Nicht unterstützte oder ungültige Syntax der Namensbeschränkung Das Format der Namensbeschränkung wird nicht berücksichtigt: zum Beispiel ein E-Mail-Adressformat einer Form, die nicht in RFC3280 erwähnt wird. Bspw. ein -.
    CRL lokal generiert Die CRL wurde auf diesem Gerät erstellt Entweder, es handelt sich um ein Zertifikat, das lokal erstellt wurde, oder es wurde (bisher) keine passende CRL importiert.
    CRL importiert Die CRL wurde importiert


    Weitere Statusmeldungen finden sich in der Dokumentation von OpenSSL©


    Zertifikate / CAs exportieren

    Aufruf des Export-Dialogs mit der Schaltfläche UTM v12.1 Zertifikate export.png
    Zertifikat Export
    Export im PEM Format
    Exportieren
    • Startet den Export im PEM-Format mit der Endung .crt
    • Base64 kodiertes Format
    • Beinhaltet den öffentlichen und den privaten Schlüssel in einer Datei
      Kennzeichnung der beiden Schlüssel sind mit den Bezeichnungen:
      • -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----
        für den öffentlichen Schlüssel
      • -----BEGIN PRIVATE KEY----- und -----END PRIVATE KEY-----
        für den privaten Schlüssel
  • Wird die CA ebenfalls benötigt, kann diese über den Reiter CA separat im PEM oder PKCS12 Format exportiert werden
  • In der Datei ist der private Schlüssel enthalten. Dieser sollte vor der Weitergabe der Daten aus der Datei gelöscht werden.
  • UTM v12.1 Zertifikate export PEM.png
    Export im PEM Format
    Export im PKCS12 Format
    Exportieren
    • Startet den Export im PKCS12-Format mit der Endung .p12
      Da hierbei die CA ebenfalls mit exportiert wird, sollte aus Sicherheitsgründen ein Passwort vergeben werden.
    • In der Datei ist der private Schlüssel enthalten. Dieser sollte vor der Weitergabe der Daten aus der Datei gelöscht werden.
    UTM v12.1 Zertifikate export PKCS12.png
    Export im PKCS12 Format
    Export im CRL Format
    Exportieren Startet den Export im CRL-Format (Certificate Revokation List) UTM v12.1 Zertifikate export CRL.png
    Export im CRL Format


    Zertifikate / CAs widerrufen

    Reiter CA / Zertifikate
    Widerruft ein Zertifikat oder eine CA.
    Die Sicherheitsabfrage muss mit Ja bestätigt werden.
    Sollen mehrere Zertifikate widerrufen werden, kann das Einblenden der Sicherheitsabfrage vorübergehend deaktiviert werden.
    • Sollen Zertifikate nicht mehr genutzt werden, obwohl der Gültigkeitszeitraum noch aktiv ist, werden die Zertifikate nicht gelöscht, sondern widerrufen.
    • Widerrufene Zertifikate verbleiben weiterhin im System, sind aber als ungültig erklärt und werden nicht mehr akzeptiert.
    • Widerrufene Zertifikate werden in der Zertifikatsverwaltung unter der Registerkarte Widerrufen geführt und können dort wiederhergestellt werden
    • Widerrufene Zertifikate werden in der Zertifikatssperrliste auf der Registerkarte CRLs (Certificate Revocation List) aufgenommen.
    • Die Sperrliste wird gleichzeitig mit der CA angelegt. Wird ein Zertifikat widerrufen, wird es in der Liste als ungültig hinterlegt, die der signierenden CA entspricht.
    • Die Sperrliste kann ebenfalls exportiert werden, um auf andere Systeme geladen zu werden CRL importieren, damit diese die widerrufenen Zertifikate ebenfalls nicht akzeptieren.
    UTM v12.1 Zertifikate widerrufen.png
    Zertifikate / CAs widerrufen
    UTM v12.1 Zertifikate widerrufen Sicherheitsabfrage.png
    Sicherheitsabfrage
    Widerrufen
    Zeigt alle widerrufenen CAs und Certifikate mit zugehörigen CAs an UTM v12.1 Zertifikate Reiter Widerrufen.png
    Reiter Widerrufen
    Entsperrt eine CA oder ein Zertifikat und stellt es wieder her.
  • Das sollte nur bei lokalen CAs oder Zertifikaten, deren CRL noch nicht exportiert wurde, durchgeführt werden!
  • Löscht das Zertifikat
  • Das sollte nur bei lokalen CAs oder Zertifikaten, die nicht in Produktivumgebungen genutzt wurden, durchgeführt werden!
  • CRLs
    Zeigt alle CAs und Zertifikate mit ihrem Status und dem Typ der CRL an UTM v12.1 Zertifikate CRLs.png
    CRLs
    Exportiert die CRL einer CA bzw eines Zertifikates
    CRL importieren Importiert eine CRL
    ACME
    Ein Aktiviert ACME Dienste (Automatic Certificate Management Environment)
    Siehe ACME Zertifikate