Table des matières

StartSSL : Premiers pas ...

Je n'avais jamais essayé de faire signer mes clés de chiffrement par une autorité reconnue…

Une “autorité” est dite “reconnue” , lorsque la plupart des navigateurs (“browsers”) la reconnaissent nativement comme une “autorité de confiance” pouvant signer des clés.

Encore un Oligopole ;-)

Après quelques recherches, la meilleure autorité me paraît être: StartSSL

Et oui: c'est aussi la moins chère.

:!: A voir aussi: https://wosign.com (sa petite sœur chinoise)

Mais d'après les professionnels de la profession, le prix n'a aucune importance en la matière, donc autant choisir l'entreprise la moins chère, qui a plutôt bonne réputation, et un peu d'expérience.

Je découvre et note mes découvertes au fur et a mesure…

~~READMORE~~

Ouverture d'un compte

Lors de la procédure d'ouverture du compte, “StartSSL.com” injecte un certificat dans votre navigateur: ce certificat est votre clé d'accès a votre interface (“Control Panel”).

Comme une andouille, j'ai commencé la procédure sur mon smartphone, et puis plus tard, j'étais bien en peine pour me connecter à mon compte à partir de mon Minitel ;-)

Passons.

Il faut saisir un compte e-mail valide, et puis attendre que tout les filtres anti-spam soient franchis avec succès…

Après quelques longues minutes , on reçoit un mail contenant le code secret à faire valider dans le navigateur.

Ceci fait, le fameux certificat est injecté dans votre navigateur et vous pouvez voir une magnifique interface….

:!: Exporter immédiatement ce certificat, et protéger le. C'est important.

Mes clés

“StartSSL.com” vous propose de créer des clés pour vous.

Si vous avez déjà des clés, c'est inutile.

Si vous n'en avez pas et que vous êtes habile de vos doigts, autant les créer soi-même…

Créer ses clés

# export MONDOMAINE="thierry-jaouen.fr"

La clé privée, le fameux “.key” : 

# openssl genrsa -des3 -out $MONDOMAINE.key 2048

Il faut choisir une “pass-phrase”, qu'on va se faire un plaisir de virer. 

# chmod 0600 $MONDOMAINE.key

Virer la “pass-phrase” : 

# mv $MONDOMAINE.key $MONDOMAINE.key-passphrase
# openssl rsa -in $MONDOMAINE.key-passphrase -out $MONDOMAINE.key
# chmod 0600 $MONDOMAINE.key

Créer son propre CSR

On a une clé privée, et à partir de ce matériel, on va créer un “certificat de demande de signature”.

( CSR = Certificate Signing Request ) 

# export MONDOMAINE="thierry-jaouen.fr"
# export MONSUJET="/C=FR/ST=France/L=Paris/O=Eez.fr/OU=www/CN=$MONDOMAINE/emailAddress=ca@eez.fr"
:!: En fait “StartSSL.com” va ignorer ce sujet, mais c'est toujours intéressant de voir comment on ajoute un sujet ;-)

Le “.csr” : 

# openssl req -new -sha256 -key $MONDOMAINE.key -out $MONDOMAINE.csr -batch -subj $MONSUJET

Voir le rendu: 

# openssl req -in $MONDOMAINE.csr -noout -text

C'est le contenu de ce “.csr” qu'on faire signer par “StartSSL.com”.

Signer les clés

C'est gratuit pour faire signer un domaine avec 1 seul sous domaine.

Par exemple, moi c'est : 

thierry-jaouen.fr
www.thierry-jaouen.fr

Sachant cela, on peut poursuivre en faisant signer le contenu du “.csr” par “StartSSL.com”.

En retour, dans la même interface, on peut voir le contenu d'un fichier “.crt” .

On fait un copier/coller en direction d'un fichier, pour moi c'est: 

thierry.jaouen.fr-startssl.crt

On peut examiner son contenu et s'apercevoir qu'effectivement, le “Subject” a été ignoré ;-) 

# openssl x509 -in thierry-jaouen.fr-startssl.crt -noout -text

Intermédiaire

C'est fini ?

Pas tout à fait.

Après un passage par “ssllabs.com”, je vois un avertissement qui fait baisser ma note a “B” …
J'ai toujours: 

Chain issues	                  Incomplete, Extra certs

Il manque un certificat “intermédiaire” a coller dans son certificat signé…

Selon la classe de certificat, on récupère l'un des 3 fichiers suivant:

Dans mon cas, le certificat “gratos”, c'est la “classe 1”.

Donc: 

$ wget https://www.startssl.com/certs/sub.class1.server.ca.pem

Ensuite, on créé un “bundle unified” ainsi. 

# cat thierry-jaouen.fr-startssl.crt sub.class1.server.ca.pem > thierry-jaouen.fr-startssl-unified.crt

Sources:

En pratique

Nginx

server {
  listen 10.4.4.4:80;
  listen 10.4.4.4:443 ssl;

  server_name .thierry-jaouen.fr;

  ssl_certificate /etc/nginx/ssl/thierry-jaouen.fr-startssl-unified.crt;
  ssl_certificate_key /etc/nginx/ssl/thierry-jaouen.fr.key;

  # etc... j'ai largement simplifié.
        
  location / {

    proxy_pass http://192.168.1.123:80/;
    access_log off;

  }

}

Apache

http://www.startssl.com/?app=21

Conclusion

Même si le cadenas reste “grisé” sous Firefox,
j'ai gagné un “A” chez Qualys SSL Labs : https://www.ssllabs.com/ssltest/

Voila.