Certyfikaty TLS (SSL)

W celu skorzystania z usługi ACME upewnij się, że spełnione są poniższe wymagania:

1. Działający klient ACME zainstalowany na Twoim serwerze WWW - rekomendowany CertBotot. Instrukcja instalacji CertBota jest dostępna na stronie projektu EFF
2. Oprogramowanie klasy OpenSSL. Zalecane jest używanie aktualnej, stabilnej wersji.
   Na rynku istnieje również wiele alternatywnych rozwiązań np. KeyStore Explorer, Google Tink itp. Poniższa instrukcja opiera się na openSSL i zakłada, że na komputerze jest już prawidłowo zainstalowany software. Komendy mają przykładowy charakter. Prośba o zwrócenie szczególnej uwagi na nazwy tworzonych plików. Powielanie komend może spowodować nadpisywanie danych!
3. Dane autoryzacyjne w postaci: --eab-kid=IDENTYFIKATOR_KLUCZA; --eab-hmac-key=KLUCZ_HMAC, które otrzymałeś w podsumowaniu zamówienia na certyfikat TLS z obsługą ACME.
4. Zamówienie jest potwierdzone.

certbot register -m TWOJ_EMAIL --agree-tos  \
--server https://acme.elektronicznypodpis.pl/directory \
--eab-kid=IDENTYFIKATOR_KLUCZA
--eab-hmac-key=KLUCZ_HMAC

Dla nowej pary kluczy

Za pomocą jednej komendy wygeneruj klucz prywatny w pliku: key.pem oraz żądanie CSR w pliku req.pem.
Dla OV, w temacie certyfikatu, oprócz nazwy własnej CN podaj obowiązkowo pola C - kraj (country), ST - województwo (state), L -miejscowość (locality), O - nazwa organizacji (organization).  Domena podana w nazwie własnej musi być również zawarta w rozszerzeniu subjectAltName.

openssl req -new -utf8 -subj "/C=PL/ST=mazowieckie/L=Warszawa/O=Nazwa Organizacji/CN=domena-testowa.pl"  -addext "subjectAltName = DNS:domena-testowa.pl"  -newkey rsa:2048 -keyout key.pem -out req.pem –nodes

Dodatkowe domeny można określić w powyższej komendzie, zmieniając odpowiednio przełącznik -addext:
-addext "subjectAltName = DNS:domena-testowa.pl,DNS:subdomena1.domena-testowa.pl,DNS:subdomena2.domena-testowa.pl"

 Dla istniejącej pary kluczy

openssl req -new -utf8 -subj "/C=PL/ST=mazowieckie/L=Warszawa/O=Nazwa Organizacji/CN=domena-testowa.pl"  -addext "subjectAltName = DNS:domena-testowa.pl"  -key key.pem -out req.pem

Przekaż wcześniej przygotowane żądanie req.pem na serwer ACME.

sudo certbot certonly --manual -d  domena-testowa.pl  \

         --server https://acme.elektronicznypodpis.pl/directory \
         --eab-kid=IDENTYFIKATOR_KLUCZA
         --eab-hmac-key=KLUCZ_HMAC
         --csr req.pem
         --preferred-challenges dns

W powyższej komendzie wskazano preferowaną metodę walidację poprzez DNS (--preferred-challenges dns). Alternatywnie można użyć http (--preferred-challenges http).

Podobnie jak w przypadku odnowień certyfikatów DV, certyfikaty OV utworzone za pomocą opcji --manual nie obsługują automatycznego odnawiania, chyba że użyte są w połączeniu ze skryptami przekazanymi w parametrach:
--manual-auth-hook, który automatycznie ustawia wymagane wartości HTTP i/lub DNS oraz
--manual-cleanup-hook, który automatycznie czyści ustawione wcześniej wartości HTTP i/lub DNS

openssl req -new -utf8 -subj "/C=PL/ST=mazowieckie/L=Warszawa/O=Nazwa Organizacji/CN=domena-testowa.pl"  -addext "subjectAltName = DNS:domena-testowa.pl"  -newkey rsa:2048 -keyout key.pem -out req.pem –nodes

Przekaż wcześniej przygotowane żądanie req.pem na serwer ACME.

sudo certbot certonly --manual -d  domena-testowa.pl \

         --server https://acme.elektronicznypodpis.pl/directory \
         --eab-kid=IDENTYFIKATOR_KLUCZA
         --eab-hmac-key=KLUCZ_HMAC
         --csr req.pem
         --preferred-challenges dns
         --manual-auth-hook authenticator.sh
         --manual-cleanup-hook cleanup.sh

Powyższa komenda zakłada, że w ścieżce istnieją skrypty: authenticator.sh oraz cleanup.sh

Skrypty automatyzujące ustawienia wartości wymaganych przez serwer ACME dla każdego środowiska mogą być indywidualne. Przykłady ich zastosowań dla http czy DNS można znaleźć w dokumentacji CertBot

Aby wyświetlić listę znanych CertBot’owi certyfikatów, uruchom komendę:

certbot certificates

W celu wyświetlenia informacji na temat konkretnego certyfikatu, użyj przełącznika – cert-name jak poniżej:

certbot certificates --cert-name domena-testowa.pl

Jeśli posiadasz plik klucz prywatny odpowiadający certyfikatowi, który chcesz unieważnić, użyj --key-path, aby wskazać ten klucz oraz --cert-path, aby określić ścieżkę do certyfikatu.

sudo certbot revoke --reason keycompromise  \

               --cert-path /home/user/0001_cert.pem
               --key-path /home/user/key.pem
               --server 'https://acme.elekronicznypodpis.pl'

Brak wskazania powodu odwołania w opcji – reason będzie skutkował przekazaniem na serwer powodu domyślnego - niewyspecyfikowanego (unspecified)

Serwer nie wspiera zawieszania certyfikatów, czyli wartości certificateHold w przełączniku --reason.