HTTPD - веб сервер Apache2

Для настройки безопасности вашего сервера используйте криптографию с открытым ключем (public key cryptography), чтобы создать пару публичного/частного ключей (public and private key pair). В большинстве случаев, вы посылаете запрос на сертификат, доказательство идентификации вашей компании и оплату в Certificate Authority (CA). CA проверяет ваш запрос на сертификат, вашу идентификацию и затем высылает сертификат для вашего сервера.

Альтернативный вариант - вы можете создать свой собственный сертификат, подписанный собственоручно. Однако, собственоручно подписанные сертефикаты не могут использоваться на большинстве предприятий. Собственоручно подписанные сертификаты не принимаются браузером автоматически. Пользователям задается вопрос, принимать ли сертификат и создавать ли защищенное соединение.

Как только у вас будет сертификат (не важно, подписанный в CA или собственоручно), вам нужно установить его на ваш сервер.

Вам нужен ключ и сертификат для управления вашим безопасным сервером, то есть вам нужно сгенерировать собственно подписанный сертификат или приобрести сертификат подписанный в CA. Подписанный в CA сертификат предоставляет две важные возможности вашему серверу:

В большинстве браузеров, поддерживающих SSL, есть список сертификатов CA, который они автоматически принимают. Если у браузера нету в списке сертификата, подписанного CA, браузер задаст вопрос пользователю, устанавливать соединение или нет.

Вы можете сформировать свой самоподписанный сертификат для вашего безопасного сервера, но надо помить, что самоподписанный сертификат не предоставляет ту же функциональность как сертификат подписанный подписью CA. Самоподписанный сертификат не признается автоматически большинством Веб браузеров, и подобный сертификат не предоставляет никакой гарантии относительно компании, обеспечивающей вебсайт. Сертификат подписанный подписью CA гарантирует оба этих важных критерия для безопасного сервера. Процесс получения сертификата подписанного CA достаточно прост. Далее следует краткий обзор:

Получаете вы сертификат от CA или генерируете его собственоручно, первым шагом должно быть создание ключа.

Для генерирования Certificate Signing Request (CSR) вам потребуется создать свой собственный ключ. Вы можете запустить описанные далее команды в терминале для создания ключа:

openssl genrsa -des3 -out server.key 1024

Generating RSA private key, 1024 bit long modulus
.....................++++++
.................++++++
unable to write 'random state'
e is 65537 (0x10001)
Enter pass phrase for server.key:

Теперь вы можете ввести ваш пароль. Для наилучшей безопасности он должен содержать не менее восьми символов. Минимальная длинна - четыре символа. Пароль должен содержать цифры и/или специальные символы и не являться словом из словаря. Запомните то, что вы введете.

Повторите пароль для достоверности. После правильного повтора пароля сервер сгенерирует ключ и запишет его в файл server.key.

Вы так же можете запустить защищенный веб сервер без паспорт-пароля. Это удобно потому, что вам не нужно будет вводить пароль каждый раз при запуске защищенного сервера. Но это очень небезопасно.

В любом случае, вы можете запускать ваш сервер и без паспорт-пароля не указывая параметр -des3 при генерации паспорта или указав следующую команду в терминале:

openssl rsa -in server.key -out server.key.insecure

Запустив вышеуказанную команду сервер сохранит небезопасный ключ в файле server.key.insecure. Вы можете использовать этот файл для генерации CSR без паспорт-пароля.

Для создания CSR, выполните следующую команду в терминале:

openssl req -new -key server.key -out server.csr

Будет выдано приглашение ввести ключевую фразу. Если вы ввели правильную ключевую фразу, вам будет предложено ввести название компании, название сайта, адрес эл. почты и т.д. После того как вы введете эти параметры, ваш CSR будет создан и сохранен в файле server.csr. Вы можете отправить данный CSR в CA для обработки. CAN использует данный CSR для выпуска сертификата. С другой стороны вы можете создать самоподписанный сертификат используя этот CSR

Для того, чтобы создать сертификат со своей подписью исполните следующую комманду в терминале:

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

Вышеприведенная команда предложит ввести ключевую фразу. При вводе правильной ключевой фразы, ваш сертификат будет создан и сохранен в файле server.crt.

Если ваш защищенный сервер будет использован в коммерческих целях, вам скорее всего необходим сертификат подписанный CA. В данном случае не рекомендуется использовать самоподписанный сертификат.

sudo cp server.crt /etc/ssl/certs
sudo cp server.key /etc/ssl/private

SSLEngine on

SSLOptions +FakeBasicAuth +ExportCertData +CompatEnvVars +StrictRequire

SSLCertificateFile /etc/ssl/certs/server.crt
SSLCertificateKeyFile /etc/ssl/private/server.key

Listen 443

sudo /etc/init.d/apache2 restart 

Документация Apache2

Документация Mod SSL