ตำแหน่งที่ดีที่สุดสำหรับใบรับรอง SSL และกุญแจส่วนตัวบน Ubuntu

บน Ubuntu ดูเหมือนว่าจะเป็นสถานที่ที่ดีที่สุดสำหรับไพรเวตคีย์ที่ใช้ในการลงนามใบรับรอง (สำหรับใช้โดย nginx) /etc/ssl/private/

คำตอบนี้เสริมว่าใบรับรองควรเข้าไป/etc/ssl/certs/แต่ดูเหมือนจะเป็นสถานที่ที่ไม่ปลอดภัย ทำ.crtไฟล์จะต้องมีการเก็บไว้ที่ปลอดภัยหรือว่าพวกเขาถือว่าสาธารณะ?

ไฟล์. crt จะถูกส่งไปยังทุกสิ่งที่เชื่อมต่อ มันเป็นสาธารณะ ( chown root:rootและchmod 644)

ในการเพิ่มไปยังตำแหน่งคีย์ส่วนตัว ตรวจสอบให้แน่ใจว่าคุณได้รักษาความปลอดภัยไว้อย่างถูกต้อง ( chown root:ssl-certและchmod 640)

ไม่สำคัญว่าคุณจะเก็บไว้ที่ไหนตราบใดที่คุณปกป้องไฟล์กุญแจส่วนตัวของคุณอย่างถูกต้อง ใบรับรองสาธารณะเป็นสาธารณะ ไม่ต้องการการป้องกัน - สิทธิพิเศษของเซิร์ฟเวอร์หรืออย่างอื่น

/etc/sslเพื่อขยายคำตอบที่ฉันไม่ได้ใช้ตำแหน่งเริ่มต้น
มันง่ายกว่าสำหรับฉันที่จะเก็บระเบิดทั้งหมดไว้ในพื้นที่แยกต่างหากเนื่องจากการสำรองข้อมูล + เหตุผลอื่น ๆ

สำหรับ Apache SSL, ฉันให้เหมืองใน/etc/apache2/ssl/privateหรือคล้ายกันพื้นที่ "ราก" /etc/ใน

ตัวอย่างการตั้งค่า

โพสต์นี้มุ่งสู่ Ubuntu (Debian) + Apache แต่ควรทำงานกับระบบส่วนใหญ่ -
เพียงใช้การอนุญาตและอัปเดตตำแหน่ง / เส้นทางในการกำหนดค่าที่กำหนด (apache / nginx / etc)
หากไฟล์คีย์ SSL ได้รับการปกป้องอย่างถูกต้อง (ไดเรกทอรี & ไฟล์) คุณจะถูกต้อง หมายเหตุบันทึก!

สร้างไดเรกทอรี:

sudo mkdir /etc/apache2/ssl
sudo mkdir /etc/apache2/ssl/private
sudo chmod 755 /etc/apache2/ssl
sudo chmod 710 /etc/apache2/ssl/private

หมายเหตุ:
chmod 710รองรับssl-certกลุ่มภายใต้ Ubuntu (ดูความคิดเห็น)
การตั้งค่าการอนุญาตเป็น700เปิด/etc/apache2/ssl/privateจะทำงานได้ดี

วางไฟล์ SSL:

ใส่ใบรับรอง www ssl สาธารณะพร้อมกับใบรับรองกลางใน /etc/apache2/ssl
ใส่รหัส ssl ส่วนตัวใน/etc/apache2/ssl/private

ตั้งเจ้าของ:

sudo chown -R root:root /etc/apache2/ssl/
sudo chown -R root:ssl-cert /etc/apache2/ssl/private/

หมายเหตุ:
หากคุณไม่มีกลุ่มใบรับรอง SSLให้ใช้ 'root: root' ที่บรรทัดด้านบนหรือข้ามบรรทัดที่ 2

ตั้งค่าการอนุญาต:

ใบรับรองสาธารณะ

sudo chmod 644 /etc/apache2/ssl/*.crt

รหัสส่วนตัว

sudo chmod 640 /etc/apache2/ssl/private/*.key

หมายเหตุ:
การอนุญาตกลุ่มถูกกำหนดเป็นอ่าน (640) เนื่องจากกลุ่ม ssl-cert ของ Ubuntu '600' ก็ใช้ได้เช่นกัน

เปิดใช้งานโมดูล Apache SSL

sudo a2enmod ssl

แก้ไขไฟล์ไซต์ Apache และเปิดใช้งาน

(ดูย่อหน้าสุดท้าย) *

sudo nano /etc/apache/sites-available/mysiteexample-ssl.conf
sudo a2ensite mysiteexample-ssl
#             ^^^^^^^^^^^^^^^^^ <-Substitute your ".conf" filename(s)

เริ่มบริการ Apache2 ใหม่

sudo service apache2 restart

หรือ

sudo systemctl restart apache2.service

เสร็จสิ้น ทดสอบไซต์ SSL ใหม่ของคุณ

* สิ่งนี้นอกเหนือไปจากคำถาม แต่คุณสามารถคัดลอกไฟล์การกำหนดค่าไซต์ Apache SSL เริ่มต้น ( sudo cp /etc/apache2/sites-available/default-ssl.conf /etc/apache2/sites-available/mysiteexample-ssl.conf) เป็นจุดเริ่มต้นที่ดี / ตัวอย่างของไดเรคทีฟ / ไดเรคทีฟ / ไดเร็กตอรี่ปกติที่ใช้ภายใต้ไฟล์ 'conf' Apache / SSL . โดยปกติแล้วจะชี้ไปที่ใบรับรอง SSL ที่ลงนามเอง + คีย์ (snakeoil), บันเดิล CA รวมถึงคำสั่งทั่วไปที่ใช้สำหรับไซต์ SSL ที่กำหนด

หลังจากการคัดลอกเพียงแก้ไขไฟล์. conf ใหม่และเพิ่ม / ลบ / อัปเดตตามต้องการด้วยข้อมูลใหม่ / พา ธ ด้านบนจากนั้นดำเนินการsudo a2ensite mysiteexample-sslเพื่อเปิดใช้งาน

คำตอบทั้งหมดที่นี่ดูเหมือนตกลง แต่ฉันต้องการพูดถึงสิ่งหนึ่งที่ฉันพบว่าเป็นปัญหา ... หากคุณต้องต่อใบรับรองของคุณกับตัวกลางหรือรากเพื่อสร้างไฟล์ลูกโซ่อย่าใส่มันลง/etc/ssl/certsไปเพราะเมื่อc_rehashมีการเรียกใช้อาจสร้างลิงก์แฮช symlink ให้กับ certs ของคุณได้เนื่องจากรากหรือตัวกลางอยู่ภายใน

จากนั้นไปตามถนนในภายหลังหากใบรับรองของคุณหมดอายุและคุณลบออกและไม่ทราบว่าจะเรียกใช้อีกครั้งc_rehashคุณอาจใช้แฮงค์ symlink ใน/etc/ssl/certsไดเรกทอรีของคุณและสิ่งแปลก ๆ เริ่มเกิดขึ้นเมื่อเครื่องท้องถิ่นพยายามเชื่อมต่อกับตัวเองผ่าน SSL และไม่พบรากที่จะตรวจสอบความถูกต้อง ตัวอย่างเช่นด้วย curl ฉันก็เริ่มได้รับ:

curl: (60) SSL certificate problem: unable to get issuer certificate

ไม่นานหลังจากที่ทำความสะอาดบาง .crt เก่าและตัดแบ่ง .pem /etc/ssl/certsไฟล์ที่ฉันมีใน

เก็บอย่างน้อยโซ่ของคุณที่อื่นหลีกเลี่ยงปัญหานี้ ฉันลงเอยด้วยการ/etc/ssl/local_certsถือ certs และโซ่ของฉันดังนั้นพวกเขาจะไม่หลงทางอยู่ในระเบียบของ certs CA ที่คุณจะพบเจอ/etc/ssl/certs

ไม่มีสถานที่ที่ไม่ปลอดภัยจริงๆหากการอนุญาตสำหรับแต่ละไฟล์ / ไดเรกทอรีถูกตั้งค่าเป็นสิ่งที่ต้องการchown root :0 private.keyและchmod 600 private.keyเพื่อให้มีเพียงรูทเท่านั้นที่สามารถอ่านได้ CSR และไฟล์ใบรับรองมีความอ่อนไหวน้อยกว่าที่คุณพูด

ด้วยสิทธิ์เหล่านั้นเส้นทางที่คุณพูดถึงและ / usr / local / ssl ควรจะดี

สถานที่ตั้งถูกต้อง:

• /etc/ssl/certs/สำหรับ.crtไฟล์
• /etc/ssl/privateสำหรับ.keyไฟล์

เจ้าของจะต้องเป็นroot:rootทั้งคู่ (ใช้sudo chmod root:root <file>เพื่อเปลี่ยนแปลงหากจำเป็น)

สิทธิ์ :

• 644สำหรับ.crtไฟล์
• 600สำหรับ.keyไฟล์

nginxนี้จะทำงาน