UTM/AUTH/Zertifikate/Drittanbieter v11.7.9 - Versionsgeschichte

Lauritzl am 24. Juni 2021 um 16:12 Uhr

2021-06-24T16:12:04Z

← Nächstältere Version		Version vom 24. Juni 2021, 18:12 Uhr
Zeile 1:		Zeile 1:
			{{Archivhinweis\|UTM/AUTH/Zertifikate/Drittanbieter}}
	{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}}		{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}}
	== Informationen ==		== Informationen ==

Lauritzl: Lauritzl verschob die Seite UTM/AUTH/Zertifikate/Drittanbieter nach UTM/AUTH/Zertifikate/Drittanbieter v11.7.9, ohne dabei eine Weiterleitung anzulegen

2021-06-24T16:11:17Z

Lauritzl verschob die Seite UTM/AUTH/Zertifikate/Drittanbieter nach UTM/AUTH/Zertifikate/Drittanbieter v11.7.9, ohne dabei eine Weiterleitung anzulegen

← Nächstältere Version	Version vom 24. Juni 2021, 18:11 Uhr
(kein Unterschied)

Lauritzl am 4. September 2019 um 12:27 Uhr

2019-09-04T12:27:51Z

← Nächstältere Version		Version vom 4. September 2019, 14:27 Uhr
Zeile 1:		Zeile 1:
	{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}}		{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}}
	== Informationen ==		== Informationen ==
	~~Letze~~ Anpassung zur Version: '''11.7.9'''		Letzte Anpassung zur Version: '''11.7.9'''

	== Einleitung ==		== Einleitung ==

Lauritzl: /* Zertifikat anpassen (PEM) */

2019-02-12T09:54:37Z

Zertifikat anpassen (PEM)

← Nächstältere Version		Version vom 12. Februar 2019, 11:54 Uhr
Zeile 107:		Zeile 107:
	<div>		<div>
	<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>		<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
	<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Alle Einträge außerhalb -----BEGIN PRIVATE KEY----- und -----~~BEGIN~~ CERTIFICATE----- müssen entfernt werden.</span></div>		<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Alle Einträge außerhalb -----BEGIN PRIVATE KEY----- und -----END CERTIFICATE----- müssen entfernt werden.</span></div>
	</div>		</div>
	<div style="clear: both;"></div>		<div style="clear: both;"></div>

Lauritzl: /* Issuer */

2019-02-12T09:54:06Z

Issuer

← Nächstältere Version		Version vom 12. Februar 2019, 11:54 Uhr
Zeile 146:		Zeile 146:
	Sollte es zu der Meldung '''"no issuer found"''' kommen, fehlt zunächst das vorherige Zertifikat aus der Zertifikatskette.		Sollte es zu der Meldung '''"no issuer found"''' kommen, fehlt zunächst das vorherige Zertifikat aus der Zertifikatskette.

	~~Den~~ Issuer eines Zertifikats kann mit dem Befehl herausgefunden werde.:		Der Issuer eines Zertifikats kann mit dem Befehl herausgefunden werde.:
	<pre>openssl x509 -in file.pem -text</pre>		<pre>openssl x509 -in file.pem -text</pre>

	Unter dem Punkt '''"Issuer:"''' kann nun der beim '''Aussteller''' zum '''Download''' befindliche Issuer einsehen werden.		Unter dem Punkt '''"Issuer:"''' kann nun der beim '''Aussteller''' zum '''Download''' befindliche Issuer einsehen werden.

Davidg: /* Zertifikat konvertieren */

2018-11-07T09:26:00Z

Zertifikat konvertieren

← Nächstältere Version		Version vom 7. November 2018, 11:26 Uhr
Zeile 76:		Zeile 76:
	'''Konvertierung''' des Zertifikats mit dem privaten Schlüssel (PFX to PEM)		'''Konvertierung''' des Zertifikats mit dem privaten Schlüssel (PFX to PEM)
	*Zunächst in das OpenSSL-Bin Verzeichnis wechseln		*Zunächst in das OpenSSL-Bin Verzeichnis wechseln
	Syntax: openssl pkcs12 -in ~~path\file~~.~~p12~~ -out ~~path\file~~.pem		Syntax: openssl pkcs12 -in keyStore.pfx -out keyStore.pem -nodes
	*Daraufhin das Passwort eingeben, welches zuvor beim Export gewählt wurde.		*Daraufhin das Passwort eingeben, welches zuvor beim Export gewählt wurde.

Davidg: /* Zertifikat konvertieren */

2018-11-07T09:25:23Z

Zertifikat konvertieren

← Nächstältere Version		Version vom 7. November 2018, 11:25 Uhr
Zeile 76:		Zeile 76:
	'''Konvertierung''' des Zertifikats mit dem privaten Schlüssel (PFX to PEM)		'''Konvertierung''' des Zertifikats mit dem privaten Schlüssel (PFX to PEM)
	*Zunächst in das OpenSSL-Bin Verzeichnis wechseln		*Zunächst in das OpenSSL-Bin Verzeichnis wechseln
	Syntax: openssl pkcs12 in path\file.p12 -out path\file.pem		Syntax: openssl pkcs12 -in path\file.p12 -out path\file.pem
	*Daraufhin das Passwort eingeben, welches zuvor beim Export gewählt wurde.		*Daraufhin das Passwort eingeben, welches zuvor beim Export gewählt wurde.

Pascalm: Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}} == Informationen == Letze Anpassung zur Version: '''11.7.9''' == Einleitung == Im folg…“

2018-06-18T05:58:09Z

Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}} == Informationen == Letze Anpassung zur Version: '''11.7.9''' == Einleitung == Im folg…“

Neue Seite

{{DISPLAYTITLE:Implementierung von Drittanbieter Zertifikaten (x509)}}
== Informationen ==
Letze Anpassung zur Version: '''11.7.9'''

== Einleitung ==
Im folgenden wird beschrieben, wie ein Zertifikat von Drittanbietern (x509) in einer Securepoint UTM importiert werden kann, um dieses beispielsweise für den Reverse Proxy zu nutzen.
Für einen Import der Zertifikate müssen diese im '''PEM-Format''' und '''Base64-kodiert''' vorliegen.

[[Datei:Eigenes_Zertifikat.png|300px|thumb|right|Das eigene Zertifikat in der MMC-Konsole]]

==Zertifikat exportieren==
1. Auf dem Computer, auf dem das Zertifikat installiert wurde, muss die Microsoft Management Konsole (MMC) gestartet werden.

2. In der Konsole das Zertifikate-Snap-In hinzufügen. Anschließend in der Eingabeaufforderung das '''Eigene Benutzerkonto''' anklicken, um das zu verwaltende Konto anzugeben.

3. Mit einem Doppelklick in der MMC-Konsole auf '''Zertifikate – Aktueller Benutzer''', anschließend auf '''Eigene Zertifikate''' und zuletzt auf '''Zertifikate''', dann kann auf die Zertifikate zugegriffen werden.

<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Der Private Key muss vorhanden sein.</span></div>
</div>
<div style="clear: both;"></div>

[[Datei:Zertifikatexport-Assistent.png |right|300px|thumb|Private Key exportieren]]

4. Im rechten Fensterbereich kann mit der rechten Maustaste auf das Zertifikat, welches exportiert werden soll, im aufklappendem Menü unter '''Alle Aufgaben''' und dann '''Exportieren''' der Zertifikatexport-Assistent gestartet werden.

5. Ist der Zertifikatexport-Assistent gestartet, so muss zuerst auf '''Weiter''' geklickt werden.

6. Auf der nachfolgenden Seite "Privaten Schlüssel exportieren" kann mit "Ja, privaten Schlüssel exportieren" fortgesetzt werden.

<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Der Private Key ist erforderlich, damit die verschlüsselten Nachrichten auf dem Computer, auf dem der Schlüssel importiert wird, gelesen werden können.</span></div>
</div>
<div style="clear: both;"></div>

[[Datei:Zertifikatexport-Assistent_2.png |right|300px|thumb|Kennwort für Private Key]]

7. Auf der Seite '''Exportdateiformat''' die Standardeinstellungen akzeptieren und anschließend auf '''Weiter''' klicken.

8. Auf der folgenden Seite '''Kennwort''' muss das Kennwort für den Private Key eingegeben werden.

[[Datei:Zertifikatexport-Assistent_3.png |right|300px|thumb|Pfad für die Exportdatei]]

9. Auf der Seite '''Exportdatei''' den Pfad und den Namen der exportierten Zertifikatsdatei eintragen und dann auf '''Weiter''' klicken.

10. Der Dateiname hat die Erweiterung ".pfx", diese muss anschließend konvertiert werden, damit das Zertifikat auf der Firewall importiert werden kann.

11. Zuletzt auf '''Fertig stellen''' klicken, um das Zertifikat zu exportieren.

<div><div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die exportierte Zertifikatsdatei wird mit dem angegebenen Namen und der Erweiterung ".pfx" gespeichert.</span></div></div><div style="clear: both;"></div>

==Zertifikat konvertieren==

Nach dem Export müssen die Zertifikate mittels '''OpenSSL''' konvertiert werden. Die Umwandlung selbst erfolgt über die Kommandozeile (administrativ).
[[Datei:Zertifikat_konvertieren.png |right|400px|thumb|Konvertieren des Zertifikats]]
'''Konvertierung''' des Zertifikats mit dem privaten Schlüssel (PFX to PEM)
*Zunächst in das OpenSSL-Bin Verzeichnis wechseln
Syntax: openssl pkcs12 in path\file.p12 -out path\file.pem
*Daraufhin das Passwort eingeben, welches zuvor beim Export gewählt wurde.

===Zertifikat anpassen (PEM)===
Um Importschwierigkeiten zu umgehen, sollte das Hauptzertifikat (PEM) ein wenig angepasst, bzw. einige Einträge entfernt werden. Hierzu das eben konvertierte Zertifikat mit einem Text-Editor öffnen.

'''Das Zertifikat sollte ohne Anpassungen wie folgt aussehen:'''
-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQC/FjUBNU/Nmh8A
[...]
BfMCHY+kBiEfSEmkYO8O0gL4
-----END PRIVATE KEY-----
Bag Attributes
friendlyName: *
localKeyID: 01 00 00 00
subject=/C=DE/ST=Deutschland/L=Lueneburg/O=Securepoint/OU=IT/CN=*.securepoint.de/emailAddress=support@securepoint.de
issuer=/C=DE/ST=Deutschland/L=Lueneburg/O=Securepoint/OU=IT/CN=Securepoint Test CA/emailAddress=support@securepoint.de
-----BEGIN CERTIFICATE-----
MIIELTCCAxWgAwIBAgIBATANBgkqhkiG9w0BAQsFADCBnzELMAkGA1UEBhMCREUx
[...]
r7hAbBL3u+Ad51yP3o+L8ZM=
-----END CERTIFICATE-----

<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Alle Einträge außerhalb -----BEGIN PRIVATE KEY----- und -----BEGIN CERTIFICATE----- müssen entfernt werden.</span></div>
</div>
<div style="clear: both;"></div>

'''Das Zertifikat sollte nach der Anpassung wie folgt aussehen:'''
-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQC/FjUBNU/Nmh8A
[...]
BfMCHY+kBiEfSEmkYO8O0gL4
-----END PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
MIIELTCCAxWgAwIBAgIBATANBgkqhkiG9w0BAQsFADCBnzELMAkGA1UEBhMCREUx
[...]
r7hAbBL3u+Ad51yP3o+L8ZM=
-----END CERTIFICATE-----

<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Es sollte darauf geachtet werden, dass keine Leerstellen enstehen und die korrekte Reihenfolge der Zertifikatskette eingehalten wird. </span></div>
</div>
<div style="clear: both;"></div>

'''Das Zertifikat kann anschließend importiert werden.'''

====Reihenfolge der Zertifikatskette====
# CA
# Intermediate Zertifikat 1 (falls vorhanden)
# Intermediate Zertifikat 2 (falls vorhanden)
# Webserver Zertifikate

====Issuer====
Sollte es zu der Meldung '''"no issuer found"''' kommen, fehlt zunächst das vorherige Zertifikat aus der Zertifikatskette.

Den Issuer eines Zertifikats kann mit dem Befehl herausgefunden werde.:
<pre>openssl x509 -in file.pem -text</pre>

Unter dem Punkt '''"Issuer:"''' kann nun der beim '''Aussteller''' zum '''Download''' befindliche Issuer einsehen werden.