Generisanje Ključa i Certificate Signing Request (CSR)

Kreiranje privatnog ključa i zahteva za sertifikat (javni ključ) može se rešiti u OpenSSL-u jednom komandom i unošenjem potrebnih informacija. Zahtev za sertifikat (CSR) i generisanje privatnog ključa takođe se lako mogu izvršiti u administraciji SSLmentor kupca.

OpenSSL

Za rad sa sertifikatima, potrebno je imati instaliranu OpenSSL biblioteku. Pogledajte stranicu OpenSSL za Windows i Mac OSX za uputstva i linkove za preuzimanje.

Generisanje zahteva za sertifikat (CSR) i privatnog ključa

Komanda kreira privatni ključ kao i zahtev za sertifikat. Mora se navesti putanja za smeštanje datoteka u drugi direktorijum.

openssl req -new -newkey rsa:2048 -nodes -out request.csr -keyout private.key

Za generisanje ključa i zahteva za sertifikat važno je da zahtev sadrži ispravne informacije. Odabir rsa: 2048 znači postavljanje dužine ključa. Za veću sigurnost moguće je postaviti rsa: 3072 ili rsa: 4096.
Važno! Uvek morate popuniti ime domena i kod zemlje prema ISO standardu. Ostavite stavku "A challenge password" praznu!

Verifikacija Zahteva za Sertifikat (CSR)

Da biste proverili da li je Zahtev za Sertifikat (CSR) ispravan, možemo pokrenuti komandu sa dodatnim parametrom "-verify". Preporučuje se izvršiti verifikaciju pre slanja zahteva nadležnom telu za sertifikaciju. Alternativno, preporučujemo testiranje CSR-a korišćenjem alata od DigiCert-a - Proverite svoj CSR.

openssl req -in request.csr -text -noout -verify

Informacije unete u zahtevu za sertifikat

Sledeće informacije se unose prilikom generisanja ključeva (primer popunjavanja dat je posle strelice).

• Common name [CN]: ime domena -> www.sslmentor.com
• Organization [O]: tačno ime kompanije, vlasnika domena -> Web security s.r.o.
• Organizational unit [OU]: odeljenje kompanije -> internet / eshop / it / ...
  Od 1. septembra 2022, javni TLS sertifikati neće imati OU i će ignorisati OU.
• City/locality [L]: grad -> Prag
• State/province [S]: -> Češka republika
• Country/region [C]: kod zemlje prema ISO -> CZ
• Key Size: 2048 bita

Preporučujemo da unesete ime domena tačno kako je postavljeno na serveru i kako se prikazuje u pretraživaču. Iako nadležne institucije za sertifikaciju unose obe varijante u sertifikat (sa i bez www ispred imena domena), obe varijante neće biti unete za višedomenske sertifikate.
Maksimalan broj karaktera za Common name [CN] i Organization [O] je 64. Više pravila možete pronaći na Osnovni zahtevi i RFC 5280 povrede.

Country/region [C]:

• RS - Srbija
• GB - Velika Britanija
• US - Sjedinjene Američke Države
• DE - Nemačka
• CZ - Češka republika
• HU - Mađarska
• AT - Austrija
• PL - Poljska

Kod zemlje mora biti unet tačno prema ISO standardu VELIKIM SLOVIMA.
Pregled ISO kodova zemalja možete pronaći na veb sajtu Međunarodne organizacije za standardizaciju www.iso.org.

Šta je Challenge password?

Prilikom generisanja sertifikata, nudi se unos "A challenge password" (Izazovna lozinka). Uvek ostavite prazno, inače će CA odbiti narudžbinu. Izazovna lozinka je definisana u RFC 2985 kao lozinka za opoziv sertifikata.

Minimalne informacije za DV sertifikate

Sertifikati domena (DV) sadrže samo informacije o domenu i sve ostale podatke unete u aplikaciji briše nadležna institucija za sertifikaciju.
Na primer, informacije u SSL telu sertifikata PositiveSSL su samo:

• CN = domain.com
• OU = PositiveSSL
• OU = Domain Control Validated

Minimalne informacije koje moraju biti unete za sertifikate domena kako bi sertifikat bio izdat su Common name [CN] i Country/region [C]. Ipak, preporučujemo da popunite sve informacije zbog mogućeg odbijanja od strane nadležne institucije za sertifikaciju.

---

Kuda dalje?

• OpenSSL - izvoz sertifikata u PFX
• OpenSSL - provera privatnog i javnog ključa
• OpenSSL za Windows i Mac
• Formati sertifikata (PEM, KEY, CSR, PFX, ...)