Administration av SSL i Lighttpd

Introduktion

Vid beställning av ett SSL-certifikat krävs en Certificate Signing Request (CSR), som genereras utifrån en privat nyckel.

Om du själv vill skapa den privata nyckeln och generera CSR-filen, följ instruktionerna under Generering av CSR och därefter Installation av SSL-certifikat.

Har du redan privat nyckel och certifikat redo kan du gå direkt till Installation av SSL-certifikat.

Denna guide är baserad på OpenSSL 1.1.1f och Lighttpd 1.4.55 med standardkonfiguration.

Guiden beskriver hur du skapar, installerar och konfigurerar SSL i Lighttpd på Linux.

Instruktionerna passar bland annat för Ubuntu, Redhat och CentOS. Det kan förekomma mindre skillnader i sökvägar och kommandon för andra Linux-distributioner.

1. För att se vilken version av OpenSSL som är installerad, kör följande kommando:

openssl version

2. För att se vilken version av Lighttpd som är installerad, kör följande kommando:

lighttpd -v

3. Med Mozilla SSL Configuration Generator kan du generera en SSL-konfiguration som du sedan anpassar för din server.

Du kan välja mellan följande nivåer. Vi rekommenderar Intermediate om det inte finns en särskild anledning att välja något annat. Aktivera inte HSTS om du inte är helt säker på vad du gör.

• Modern: Ger högre säkerhet men lägre kompatibilitet då den utesluter en del äldre webbläsare och enheter.

Rekommenderas om alla klienter är kända, till exempel på en webbplats som endast används internt.

• Intermediate: En bra balans mellan hög säkerhet och god kompatibilitet.

Generellt rekommenderat för servrar som nås av okända klienter, till exempel en webbshop. Den optimerar säkerheten men tillåter fortfarande äldre klienter att besöka webbplatsen.

• Old: Låg säkerhet, högsta kompatibilitet.

Denna inställning rekommenderas endast om kompatibilitet är viktigare än säkerhet, eftersom den tillåter föråldrade SSL-standarder med kända sårbarheter.

• HSTS: (HTTP Strict Transport Security) är en header som talar om för klienten att domänen endast får besökas via HTTPS framöver. Detta sparas av klienten under den max-age som sätts, oavsett om headern tas bort från servern igen. Det finns ingen väg tillbaka om något blir fel.

Följ en noggrann guide, var konservativ och använd 300 sekunder (5 min) i minst en vecka innan du gradvis ökar värdet.

Var försiktig med subdomäner och preload om inte allt på domänen redan körs via HTTPS.

• OCSP Stapling: Det är en stor fördel att aktivera OCSP. Det gör att servern hämtar certifikatets status periodvis och levererar den till klienterna, istället för att varje enskild klient måste kontrollera statusen varje gång de ansluter till din webbplats.

Generering av CSR

I detta exempel använder vi ett enskilt DNS-namn som fungerar för både standard- och SAN-certifikat. För ett Wildcard-certifikat ska Common Name ändras till *.fairssl.dk

För att genomföra en beställning och generera CSR-koden behöver du samla in följande information till certifikatet:

• Common Name (CN): Den primära fullständiga domänadressen. T.ex.: www.fairssl.dk
• Organization Name (O): Organisationens fullständiga juridiska namn. T.ex.: FairSSL A/S
• Organizational Unit (OU): Avdelningen som ska använda certifikatet. Kan lämnas tom eller fyllas med företagsnamnet. T.ex. IT
• Locality (L): Ort/Stad. T.ex.: Stockholm
• State (S): Län eller region. T.ex.: Stockholm
• Country (C): ISO-standard landskod med två bokstäver, måste vara versaler. T.ex.: SE

För att skapa både den privata nyckeln och CSR-begäran använder vi verktyget OpenSSL. OpenSSL finns vanligtvis installerat under /usr/local/ssl/bin om du har en standardinstallation.

Skapa privat nyckel

1. Logga in på servern med ett administratörskonto.

2. Kör följande kommando för att skapa en 2048-bit Diffie-Hellman-parameter:

sudo openssl dhparam -out /etc/ssl/private/dhparam.pem 2048

3. Kör följande kommando för att skapa en privat nyckel utan lösenord (Lighttpd kräver en nyckel utan lösenord):

sudo openssl genrsa -out /etc/ssl/private/www.fairssl.dk.key 2048

Vi skapar den privata nyckeln i /etc/ssl/private/ eftersom det är en säker mapp avsedd för detta ändamål.

Skicka aldrig nyckeln till oss via e-post.

Nyckelfilen ska förvaras säkert och bör inte lämna serveron. Det går inte att använda kortare nycklar som t.ex. RSA 1024 bit.

Skapa CSR

1. Kör följande kommando för att skapa en CSR med den privata nyckel du skapade tidigare:

sudo openssl req -new -key /etc/ssl/private/www.fairssl.dk.key -out /etc/ssl/private/www.fairssl.dk.csr

Ange den information du samlade in tidigare följt av [ENTER]. Se till att Country Name anges med versaler. Lämna de sista tre fälten tomma enligt följande exempel:

Country Name: SE

State or Province Name: Stockholm

Locality Name: Stockholm

Organization Name: FairSSL A/S

Organizational Unit Name: IT

Common Name: www.fairssl.dk

Email Address:

A Challenge Password:

An Optional Company Name:

2. Du kan nu kontrollera att din CSR är korrekt skapad med följande kommando:

sudo openssl req -noout -text -in /etc/ssl/private/www.fairssl.dk.csr

3. Öppna CSR-filen i en textredigerare (t.ex. sudo nano etc/ssl/private/www.fairssl.dk.csr) och kopiera hela texten, inklusive alla bindestreck i början och slutet.

Klistra in denna text i CSR-fältet vid beställning av certifikatet.

Här är ett exempel på en komplett CSR-text:

En CSR innehåller ingen hemlig information och det innebär ingen säkerhetsrisk att skicka den till oss via vanlig okrypterad e-post.

Installation av SSL-certifikat

1. Logga in på servern med ett administratörskonto.

2. Skapa följande filer i mappen där du sparade din privata nyckel (t.ex. /etc/ssl/private/www.fairssl.dk.pem):

intermediate.pem: Kopiera texten från ditt intermediate-certifikat (mellanliggande certifikat) till filen.

www.fairssl.dk.pem: Öppna din privata nyckel i en textredigerare (t.ex. sudo nano /etc/ssl/private/www.fairssl.dk.key). Kopiera hela nyckeltexten till filen. Kopiera därefter in texten från ditt SSL-certifikat som du fått i e-postmeddelandet i samma fil, inklusive alla bindestreck.

3. Öppna nu lighttpd.conf i en textredigerare (t.ex.: sudo nano /etc/lighttpd/lighttpd.conf).

Kopiera in konfigurationen du skapade i Introduktionen och anpassa den för webbplatsen.

Om du redan har en befintlig HTTPS-konfiguration behöver du bara uppdatera sökvägarna i den.

4. När du är klar startar du om servern:

/etc/init.d/lighttpd restart

Vi rekommenderar att du testar installationen med vår SSL-scanner på: https://www.fairssl.se/sv/verktyg/ssl-scanner

Intermediate-certifikat

Här hittar du intermediate-certifikat från de olika utfärdarna.

Vi rekommenderar att du använder det intermediate-certifikat som skickades med din beställning. Hämta endast härifrån om du har tappat bort det, eftersom det medföljande certifikatet alltid är korrekt för just ditt servercertifikat.

Intermediate-certifikat