Dans la plupart des cas, pour configurer un serveur sécurisé utilisant le chiffrement par clé publique, vous envoyez votre demande de certificat (avec votre clé publique) à l'autorité de certification, accompagné d'une preuve de votre identité et de votre paiement. La CA vérifie votre identité et la demande de certificat, puis vous renvoie un certificat pour votre serveur sécurisé. Une alternative consiste a créer votre propre certificat auto-signé.

Pour continuer sur l'exemple de HTTPS, un certificat signé par une autorité de certification (CA) fournit deux fonctionnalités importantes absentes dans un certificat auto-signé :

Most Web browsers, and computers, that support SSL have a list of CAs whose certificates they automatically accept. If a browser encounters a certificate whose authorizing CA is not in the list, the browser asks the user to either accept or decline the connection. Also, other applications may generate an error message when using a self-signed certificate.

Le processus d'acquisition d'un certificat signé par un CA est relativement simple et facile. En voici un survol rapide :

Que vous ayez obtenu votre certificat d'une autorité de certification, ou qu'il s'agisse d'un certificat auto-signé, la première étape consiste à générer une clé.

Lorsqu'un certificat est utilisé par des démons tels que Apache, Postfix, Dovecot etc., avoir une clé sans phrase de passe est souvent convenable. Ne pas avoir de phrase de passe permet le démarrage automatique de ces démons, ce qui est généralement préférable.

Cette section décrit la mise en place d'une clé avec et sans phrase de passe. La clé sans phrase de passe sera ensuite utilisée pour générer un certificat pouvant servir pour divers services ou démons.

Pour générer les clés pour une demande de signature de certificat (CSR), exécutez la commande suivante dans un terminal :

openssl genrsa -des3 -out server.key 2048

Generating RSA private key, 2048 bit long modulus
..........................++++++
.......++++++
e is 65537 (0x10001)
Enter pass phrase for server.key:

Vous pouvez maintenant saisir votre mot de passe. Pour une meilleure sécurité, il doit contenir au minimum huit caractères. La longueur minimum lorsque vous spécifiez -des3 (algorithme de cryptographie) est de quatre caractères. Il devrait contenir des chiffres et/ou des signes de ponctuation et ne pas se trouver dans un dictionnaire de mots. Rappelez vous également que votre mot de passe est sensible à la casse (NdT : au sens typographique majuscules/minuscules).

Re-saisissez le mot de passe pour vérification. Lorsque vous l'avez retapé correctement, la clé du serveur est générée et stockée dans le fichier server.key.

Créez maintenant le clef non sécurisée (celle sans phrase de passe) et échangez le nom des clés :

openssl rsa -in server.key -out server.key.insecure
mv server.key server.key.secure
mv server.key.insecure server.key

La clé non sécurisée se nomme maintenant server.key et vous pouvez utiliser ce fichier pour générer le CSR sans saisir de mot de passe.

Pour créer la CSR, lancer la commande suivante dans un terminal :

openssl req -new -key server.key -out server.csr

Il vous sera alors demandé d'entrer la phrase de passe. Si elle est correcte, il vous sera alors demandé d'entrer le nom de l'entreprise, le nom du site, courriel, etc. Une fois toutes ces informations renseignées, votre CSR sera créé et conservé dans le fichier server.csr.

Vous pouvez maintenant soumettre ce fichier CSR à une autorité de certification (CA) pour traitement. La CA utilisera ce fichier CSR et émettra le certificat. D'un autre côté, vous pouvez créer un certificat auto-signé en utilisant ce CSR.

Pour créer le certificat auto-signé, utilisez la commande suivante dans un terminal :

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

La commande ci-dessus vous demandera de saisir votre mot de passe. Une fois le mot de passe correct saisi, votre certificat sera créé et stocké dans le fichier server.crt.

Vous pouvez installer le fichier de clé server.key et le fichier de certificat server.crt, ou le fichier de certificat émis par votre autorité de certification, en exécutant les commandes suivantes dans un terminal :

sudo cp server.crt /etc/ssl/certs
sudo cp server.key /etc/ssl/private

Vous devez maintenant simplement configurer les applications ayant la capacité d'utiliser le chiffrement par clé publique, pour qu'elles utilisent les fichiers de certificat et de clé. Par exemple, Apache peut servir les documents en HTTPS, Dovecot peut servir le courrier en IMAPS et POP3S, etc.

Si les services de votre réseau nécessitent plusieurs certificats, il peut être intéressant de mettre en place votre propre autorité de certification (AC) interne. En effet, cela permet aux différents services utilisant des certificats de faire confiance aisément aux autres services utilisant des certificats émis par la même AC.