Глава 12. OpenSSL - программное обеспечение для безопасной передачи данных

Если вы получите вывод вида:
gpg: Signature made Wed Feb 19 16:07:58 2003 MSK using RSA key ID E06D2CB1
gpg: Good signature from "levitte@openssl.org"
gpg: aka "Richard Levitte "
gpg: aka "Richard Levitte "
gpg: checking the trustdb
gpg: checking at depth 0 signed=1 ot(-/q/n/m/f/u)=0/0/0/0/0/1
gpg: checking at depth 1 signed=0 ot(-/q/n/m/f/u)=1/0/0/0/0/0

то значит, в вашем распоряжении находится подлинный и сохранивший целостность при передаче по сетям общего пользования архив с исходными кодами OpenSSL.

Шаг 2
Распакуйте архив с исходными кодами OpenSSL в каталоге /var/tmp:
[root@dymatel tmp]# tar xzpf openssl-0.9.7a.tar.gz

и перейдите во вновь созданный каталог, содержащий исходные коды OpenSSL:
[root@dymatel tmp]# cd openssl-0.9.7a/

Для демонстрации возможностей предлагаемых средств проверки подлинности архивов авторы вставили лишний байт, соответствующий символу "пробел" в архив openssl-0.9.7a.tar.gz и проверили его подлинность с помощью утилит md5sum и gpg:
[root@drwalbr tmp]# md5sum openssl-0.9.7a.tar.gz
c0312ab825c0c9465e411b1475ab5d47 openssl-0.9.7a.tar.gz

[root@drwalbr tmp]# gpg --verify openssl-0.9.7a.tar.gz.asc openssl-0.9.7a.tar.gz
gpg: Signature made Wed Feb 19 16:07:58 2003 MSK using RSA key ID E06D2CB1
gpg: BAD signature from "levitte@openssl.org"

Утилита md5sum выдала контрольную сумму:
c0312ab825c0c9465e411b1475ab5d47
не соответствующую контрольной сумме, указанной на сервере разработчиков программного продукта:
a0d3203ecf10989fdc61c784ae82e531
а утилита gpg сообщила о неправильной сигнатуре архивного файла:
gpg: BAD signature from "levitte@openssl.org"

Шаг 3
Для оптимизации откомпилированного кода OpenSSL применительно к процессору, используемому на вашей системе, в файле /var/tmp/openssl-0.9.7a/Configure замените сроку:
"linux-elf", "gcc:-DL_ENDIAN -DTERMIO -O3 -m486 -Wall::-D_REENTRANT::-ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn:linux-shared:-fPIC::.so.\$(SHLIB_MAJOR).\$(SHLIB_MINOR)",
на:
"linux-elf", "gcc:-DL_ENDIAN -DTERMIO -O3 -march=i686 -funroll-loops -fomit-frame-pointer -Wall::-D_REENTRANT::-ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn:linux-shared:-fPIC::.so.\$(SHLIB_MAJOR).\$(SHLIB_MINOR)",

Строку:
"debug-linux-elf", "gcc:-DBN_DEBUG -DREF_CHECK -DCONF_DEBUG -DBN_CTX_DEBUG -DCRYPTO_MDEBUG -DL_ENDIAN -DTERMIO -g -m486 -Wall::-D_REENTRANT::-lefence -ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn:linux-shared:-fPIC::.so.\$(SHLIB_MAJOR).\$(SHLIB_MINOR)",
на:
"debug-linux-elf", "gcc:-DBN_DEBUG -DREF_CHECK -DCONF_DEBUG -DBN_CTX_DEBUG -DCRYPTO_MDEBUG -DL_ENDIAN -DTERMIO -O3 -march=i686 -funroll-loops -fomit-frame-pointer -Wall::-D_REENTRANT::-lefence -ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn:linux-shared:-fPIC::.so.\$(SHLIB_MAJOR).\$(SHLIB_MINOR)",

Строку:
"debug-linux-elf-noefence", "gcc:-DBN_DEBUG -DREF_CHECK -DCONF_DEBUG -DBN_CTX_DEBUG -DCRYPTO_MDEBUG -DL_ENDIAN -DTERMIO -O3 -g -m486 -Wall::-D_REENTRANT::-ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn",
на:
"debug-linux-elf-noefence", "gcc:-DBN_DEBUG -DREF_CHECK -DCONF_DEBUG -DBN_CTX_DEBUG -DCRYPTO_MDEBUG -DL_ENDIAN -DTERMIO -O3 -march=i686 -funroll-loops -fomit-frame-pointer -Wall::-D_REENTRANT::-ldl:BN_LLONG ${x86_gcc_des} ${x86_gcc_opts}:${x86_elf_asm}:dlfcn",

Шаг 4
В исходных кодах OpenSSL предполагается, что интерпретатор perl находится в каталоге /usr/local/bin/. Если вы точно следовали нашим рекомендациям по первичной установке системы, то интерпретатор должен находится в каталоге /usr/bin/perl. Для того, чтобы программа установки OpenSSL могла воспользоваться интерпретатором perl, выполните команду:
[root@dymatel openssl-0.9.7a]# perl util/perlpath.pl /usr/bin/perl

Шаг 5
Сконфигурируйте исходные коды OpenSSL:
[root@dymatel openssl-0.9.7a]#./configure linux-elf no-asm shared \
--prefix=/usr \
--openssldir=s/usr/share/ss1

Шаг 6
Откомпилируйте исходные коды, проверьте правильность компиляции и наличие соответствующих библиотек, проинсталлируйте файлы OpenSSL, создайте и сохраните список инсталлированных файлов:
[root@dymatel openssl-0.9.7a]# LD_LIBRARY_PATH=`pwd` make all build-shared
[root@dymatel openssl-0.9.7a]# LD_LIBRARY_PATH=`pwd` make tests apps tests
[root@dymatel openssl-0.9.7a]# find /* > /root/openssl1
[root@dymatel openssl-0.9.7a]# make install build-shared
[root@dymatel openssl-0.9.7a]# cd /usr/lib
[root@dymatel lib]# mv libcripto.so.0.9.7 ../../lib/
[root@dymatel lib]# mv libssl.so.0.9.7 ../../lib/
[root@dymatel lib]# ln -sf ../../lib/libcripto.so.0.9.7 libcripto.so
[root@dymatel lib]# ln -sf ../../lib/libcripto.so.0.9.7 libcripto.so.0
[root@dymatel lib]# ln -sf ../../lib/libssl.so.0.96 libssl.s0
[root@dymatel lib]# ln -sf ../../lib/libssl.so.0.96 libssl.s0.0
[root@dymatel lib]# mv /usr/share/ssl/man/man1/* /usr/share/man/man1/
[root@dymatel lib]# mv /usr/share/ssl/man/man3/* /usr/share/man/man3/
[root@dymatel lib]# mv /usr/share/ssl/man/man5/* /usr/share/man/man5/
[root@dymatel lib]# mv /usr/share/ssl/man/man7/* /usr/share/man/man7/
[root@dymatel lib]# rm -rf /usr/share/ssl/man/
[root@dymatel lib]# rm -rf /usr/share/ssl/lib/
[root@dymatel lib]# strip /usr/bin/openssl
[root@dymatel lib]# mkdir -p /usr/share/ssl/crl
[root@dymatel lib]# cd /var/tmp/openssl-0.9.7a/
[root@dymatel openssl-0.9.7a]# find /* > /root/openssl2
[root@dymatel openssl-0.9.7a]# diff /root/openssl1 /root/openssl2 > /root/ openssl.installed
[root@dymatel openssl-0.9.7a]# mv /root/openssl.installed /very_reliable_place/openssl.installed.YYYYMMDD

Шаг 7
Удалите архив и каталог с исходными кодами OpenSSL:
[root@dymatel /]# cd /var/tmp/
[root@dymatel tmp]# rm -rf openssl-0.9.7a /
[root@dymatel tmp]# rm -f opensal-0.9.7a.tar.gz

Конфигурирование OpenSSL осуществляется с использованием следующих файлов:
- главного конфигурационного файла /usr/shared/ssl/openssl.cnf;
- скрипта для самостоятельной подписи (без привлечения сертификационного центра подписи сертификата) /usr/shared/ssl/misc/sign.

Шаг 1
Отредактируйте в соответствии с приведенными ниже рекомендациями и вашими потребностями файл/usr/shared/ssl/openssl.cnf:

Шаг 2
Группа разработчиков OpenSSL предъявляет некоторые требования, затрудняющие использование файлов CA.pl или CA.sh для самостоятельной подписи ключей. Для подписи ключей авторы рекомендуют самостоятельно воспользоваться скриптом, разработанным Ральфом С. Энгелчолом (Ralf S. Engelschall). Создайте файл /usr/share/ssl/misc/sign следующего содержания:
#!/bin/sh
##
## sign.sh -- Sign a SSL Certificate Request (CSR)
## Copyright (c) 1998-1999 Ralf S. Engelschall, All Rights Reserved.
##

# argument line handling
CSR=$1
if [ $# -ne 1 ]; then
echo "Usage: sign.sign .csr"; exit 1
fi
if [ ! -f $CSR ]; then
echo "CSR not found: $CSR"; exit 1
fi
case $CSR in
*.csr ) CERT="`echo $CSR | sed -e 's/\.csr/.crt/'`" ;;
* ) CERT="$CSR.crt" ;;
esac

# make sure environment exists
if [ ! -d ca.db.certs ]; then
mkdir ca.db.certs
fi
if [ ! -f ca.db.serial ]; then
echo '01' >ca.db.serial
fi
if [ ! -f ca.db.index ]; then
cp /dev/null ca.db.index
fi

# create an own SSLeay config
cat >ca.config <[ ca ]
default_ca = CA_own
[ CA_own ]
dir = /usr/share/ssl
certs = /usr/share/ssl/certs
new_certs_dir = /usr/share/ssl/ca.db.certs
database = /usr/share/ssl/ca.db.index
serial = /usr/share/ssl/ca.db.serial
RANDFILE = /usr/share/ssl/ca.db.rand
certificate = /usr/share/ssl/certs/ca.crt
private_key = /usr/share/ssl/private/ca.key
default_days = 365
default_crl_days = 30
default_md = md5
preserve = no
policy = policy_anything
[ policy_anything ]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
EOT

# sign the certificate
echo "CA signing: $CSR -> $CERT:"
openssl ca -config ca.config -out $CERT -infiles $CSR
echo "CA verifying: $CERT <-> CA cert"
openssl verify -CAfile /usr/share/ssl/certs/ca.crt $CERT
# cleanup after SSLeay
rm -f ca.config
rm -f ca.db.serial.old
rm -f ca.db.index.old

# die gracefully
exit 0

Шаг 3
Измените права доступа к файлу и назначьте владельцем файла суперпользователя root:
[root@dymatel /]# chmod 700 /usr/share/ssl/misc/sign
[root@dymatel /]# chown 0.0 /usr/share/ssl/misc/sign

Для проверки работоспособности OpenSSL создайте на вашей системе SSL-сертификат Web-сервера Apache. Для создания ключей RSA и запросов на подтверждение подлинности сертификатов (Certificate Signing Requests, CSR) используется утилита /usr/bin/openssl.

Шаг 1
Выберите пять любых больших файлов со случайным (уникальным) содержанием, скопируйте их в каталог /usr/share/ssl и переименуйте в random1, random2, random3, random4, random5. Для выбора пяти случайных файлов и размещения их в /usr/share/ssl используйте команды:
[root@dymatel /]# cp /var/log/messages /usr/share/ssl/random1
[root@dymatel /]# cp /var/log/messages.1 /usr/share/ssl/random2
[root@dymatel /]# cp /var/log/messages.2 /usr/share/ssl/random3
[root@dymatel /]# cp /var/log/messages.3 /usr/share/ssl/random4
[root@dymatel /]# cp /var/log/messages.4 /usr/share/ssl/random5

Шаг 2
Создайте закрытый ключ RSA для Web-сервера, защищенный паролем:
[root@dymatel /]# cd /usr/share/ssl
[root@dymatel ssl]# openssl genrsa -des3 -rand
random1:random2:random3:random4:random5 -out www.dymatel.und.key 1024
1540748 semi-random bytes loaded
Generating RSA private key, 1024 bit long modulus
........++++++
.................................................++++++
e is 65537 (0x10001)

Введите пароль для защиты вашего RSA-ключа:
Enter pass phrase for www.dymatel.und.key: $ecretn0e_Sl0vo

Подтвердите пароль:
Verifying - Enter pass phrase for www.dymatel.und.key: $ecretn0e_Sl0vo

Шаг 3
Сохраните ключ, содержащийся в файле www.dymatel.und.key, и защищающий его пароль в надежном месте, например, на дискете.

Шаг 4
Создайте запрос на подтверждение подлинности сертификата:
[root@dymatel ssl]# openssl req -new -key www.dymatel.und.key -out www.dymatel.und.csr

Введите пароль, защищающий ключ www.dymatel.und.key:
Enter pass phrase for www.dymatel.und.key: $ecretn0e_Sl0vo
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.

Подтвердите заданные ранее в файле /usr/shared/ssl/openssl.cnf название страны, области, города, организации, Web-сервера, почтового адреса администратора сервера:
Country Name (2 letter code) [RU]:
State or Province Name (full name) [Moscow Region]:
Locality Name (eg, sity) [Ybileynyi]:
Organization Name (eg, company) [SIP RIA]:
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) [www.dymatel.und]:
Email Address [root@dymatel.und]:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Файл www.dymatel.und.csr, содержащий запрос на подтверждение подлинности сертификата, отправьте в коммерческий сертификационный центр, оплатите его услуги, и через некоторое время вы получите файл www.dymatel.und.crt, который вы сможете использовать для подтверждения подлинности сертификата. Если вы не желаете прибегать к услугам коммерческих сертификационных центров и желаете подписать его самостоятельно, то выполните операции, описанные в шагах 5, 6,7,8 и 9.

Шаг 5
Создайте закрытый RSA-ключ для своего собственного центра сертификации:
[root@dymatel ssl]# openssl genrsa -des3 -out ca.key 1024
Generating RSA private key, 1024 bit long modulus
............++++++
...............++++++
e is 65537 (0x10001)

Введите пароль, защищающий ключ:
Enter pass phrase for ca.key: $ecretnoe_Slov0
Подтвердите пароль:
Verifying - Enter pass phrase for ca.key: $ecretnoe_Slov0

Шаг 6
Сохраните ключ и защищающий его пароль в надежном месте, например на дискете.

Шаг 7
Создайте и подпишите для ключа ca.key сертификат:
[root@dymatel ssl]# openssl req -new -x509 -days 365 -key ca.key -out ca.crt
Enter pass phrase for ca.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.

Введите название страны, области, города, организации, Web-сервера, почтового адреса администратора сервера:
Country Name (2 letter code) [RU]:
State or Province Name (full name) [Moscow Region]:
Locality Name (eg, sity) [Ybileynyi]:
Organization Name (eg, company) [SIP RIA]:
Organizational Unit Name (eg, section) []: Sertification Department
Common Name (eg, YOUR name) [www.dymatel.und]:
Email Address [root@dymatel.und]:

Шаг 8
Поместите все созданные файлы в соответствующие каталоги:
[root@dymatel ssl]# mv www.dymatel.und.key private/
[root@dymatel ssl]# mv ca.key private/
[root@dymatel ssl]# mv ca.crt certs/

Шаг 9
Подпишите созданный ранее запрос на подтверждение подлинности сертификата www.dymatel.und.csr:
[root@dymatel ssl]# /usr/share/ssl/misc/sign www.dymatel.und.csr
CA signing: www.dymatel.und.csr -> www.dymatel.und.crt:
Using configuration from ca.config
Enter PEM pass phrase:
Check that the request matches the signature
Signature ok
The Subjects Distinguished Name is as follows
countryName :PRINTABLE:'RU'
stateOrProvinceName :PRINTABLE:'Moscow region'
localityName :PRINTABLE:'Ybileyniy'
organizationName :PRINTABLE:'SIP RIA'
organizationalUnitName:PRINTABLE:'Sertification Department'
commonName :PRINTABLE:'www.dymatel.und'
emailAddress :IA5STRING:'root@dymatel.und'
Certificate is to be certified until Mar 19 12:24:10 2004 GMT (365 days)

Подтвердите необходимость подписи сертификата:
Sign the certificate? [y/n]:y

Еще раз подтвердите необходимость подписи сертификата:
1 out of 1 certificate requests certified, commit? [y/n]:y
Write out database with 1 new entries
Data Base Updated
CA verifying: www.dymatel.und.crt <-> CA cert
www.dymatel.und.crt: OK

Шаг 10
Поместите файл www.dymatel.und.crt в /usr/share/ssl/cert:
[root@dymatel ssl]# mv www.dymatel.und.crt certs/

и удалите www.dymatel.und.csr:
[root@dymatel ssl]# rm -f www.dymatel.und.csr

ЗАМЕЧАНИЕ Если во время подписывания сертификата выдается сообщение об ошибках, вероятно, это является следствием того, что при вводе полного доменного имени системы вы ввели mydomain.ru вместо www.mydomain.ru или информация, введенная при создании ca.crt (шаг 7) и www.mydomain.ru.csr (шаг 4) идентична.

Шаг 11
Для повышения безопасности измените права доступа к вновь созданным файлам:
[root@dymatel /]# chmod 750 /usr/share/ssl/private/
[root@dymatel /]# chmod 400 /usr/share/ssl/certs/ca.crt
[root@dymatel /]# chmod 400 /usr/share/ssl/certs/www.dymatel.und.crt
[root@dymatel /]# chmod 400 /usr/share/ssl/private/ca.key
[root@dymatel /]# chmod 400 /usr/share/ssl/privafce/www.dymatel.und.key

Шаг 12
Для того, чтобы созданный и подписанный вами сертификат мог использоваться Web-сервером Apache, в конфигурационный файл httpd.conf добавьте строки:
SSLCertificateFile /usr/share/ssl/certs/www.dymatel.und.crt
SSLCertificateFile /usr/share/ssl/private/www.dymatel.und.key

В этом случае при обращении к вашему серверу по протоколу HTTPS сведения о вашем сертификате (при использовании самостоятельной подписи и браузера MS Internet Explorer 5.x) будут иметь вид, представленный на рис. 12.1.

Рис. 12.1 Сведения о сертификате Web-сервера http://www.dymatel.und.