Řešil sem vytvoření SSL certifikátu a ověření u certifikační autority dále jen
CA VerySign. Jednalo se o tento produkt
Secure Site Pro with EV. V minulosti jsem měl zkušenosti s CA
Thawte a tak jsem nestudoval všechny podrobnosti a to se mi vymstilo.
CSR jsem jsem si vytvořil následovně.
openssl req -newkey rsa:2048 -sha1 -nodes -keyout private.key -out public.csrProtože EV certifikát vyžaduje velikost privátního klíče 2048. Takto vytvořený CSR sice bezproblémově prošel certifikací, ale web server Apache odmítal nastartovat natož nahodit 443 virtual. V logu ssl_engine_log se objevovalo toto.
[error] Init: (www.domena.cz:443) Unable to configure RSA server private key (OpenSSL library error follows)
[error] OpenSSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatchPo dlouhém hledání a nastudování patřičných
návodů k dané chybě, jsem ověřil že
modus nesedí (není stejný), což je vyžadováno. Nápomocné jsou tyto příkazy
OpenSSL, které načtou informace o klíčí a certifikátu. Další nápověda je
zde.
openssl x509 -noout -text -in www.domena.cz.crt-modulus | less
openssl rsa -noout -text -in www.domena.cz.key-modulus | less
Byl jsem tudíž donucen stávající a ověřený klíč
Revokovat a vytvořit nové CSR a privátní klíč pomocí doporučených OpenSSL příkazů.
Certificate Signing Request (CSR) Generation Instructions - Apache SSLopenssl genrsa -des3 -out www.domena.cz.key 2048
openssl req -new -key www.domena.cz.key -out www.domena.cz.csr
U VeriSign jsem narazil na problém při přepsání klíče.
Revoke and Replace
4) Summary
We are unable to continue with this enrollment for the following reason: eECAS_INSTANT_DN_NOT_MATCH
Dále jsem provedl jen Revoke a manuální přepsání, ale to nikam nevedlo.
2) Summary
We are unable to continue with this enrollment for the following reason:
eECAS_INSTANT_DN_NOT_MATCHPo kontaktování podpory jsem byl nasměrován na popis chyby.
Error: errors.ecas.1 during EV Certificate replacement no a po novém certifikačním požadavku, kde se u platby uvede
Order Number na které je vázána již uskutečněná platba.
Pro korektní zprovoznění certifikátu je třeba nakonfigurovat Apache takto. Volba
SSLPassPhraseDialog se užije jen v případě, že máme klíč s
pass phrase k čemuž nás VeriSign nabádá.
SSLPassPhraseDialog exec:/usr/local/etc/apache22/certi/ssl_pwd.plSSLCertificateFile certificates/www.domena.cz.crt
SSLCertificateKeyFile certificates/www.domena.cz.key
SSLCACertificateFile certificates/intermediate.crt
nebo
SSLCertificateChainFile certificates/intermediate.crt