PRODAT PUBLIC

h1. Zertifikate für das eigene Intranet (Freda-Service)

Um im eigenen Intranet Zertifikate verwenden zu können (z.B. HTTPS Verbindungen im Browser, um zu vermeiden, dass Passwörter OHNE Verschlüsselung durch das eigene Intranet gesendet werden), kann man:

* bei offiziellen  VA Root Anbieter Zertifikat beantragen (unkompliziert aber teuer)

* mittels LetsEncrypt 'selbsttätig Zertifikate erstellen' (kostenlos, aber mit hohem Aufwand bzw. technischem Know-How und technischen Voraussetzungen verbunden)

* selbstsignierte (erstellte) Zertifikate verwenden (kostenlos, umkompliziert, keine technischen Voraussetzungen - man kann dabei jedoch sehr leicht die Sicherheit des eigenen Netzes kompromitiieren)

Mit einem korekt erstelltem, selbstsigniertem CA (Root) Zertifikat (korrekt abgesichert, mit Verschlüsselung, entsprechender Passworthygiene und Zugriffsrechten), lassen sich für alle möglichen Anwendungsfälle im eigenen Intranet Zertifikate erstellen und verwalten.

Mittels "KeyStore Explorer":https://keystore-explorer.org/index.html, kann man dies sicher und einfach erledigen.

* KeyStore Explorer installieren

* Neuen KeyStrore erstellen {{collapse(Bild)

!clipboard-202303061537-5ap9c.png!

}}

* PKCS #12 auswählen

* Speichern

** Legen Sie ein Passwort fest, sofern Sie wünschen, das nur berechtigte grundsätzlich Zugriff haben

** Jeder einzelene Eintrag (Zertifikat) im KeyStore kann (und sollte !!!) ein eigenes Zugriffs-Passwort besitzen

** Dieses Zugriffs-Passwort bezieht sich NUR auf den Private-Key eines Eintrages

** Sollte also der KeyStore selber KEIN Passwort gesetzt haben, aber dafür jeder Eintrag im KeyStore ein Passwort gesetzt haben

*** Jeder kann den KeyStore öffnen und den Public Key oder das Zertifikat selber exportieren

*** Die sicherheitsrelevanten Private Keys benötigen jedoch das Zugriffs-Passwort eines Eintrages !!!

* Recommendation: 

** allgemeines 'ReadOnly' Passwort für den KeyStore setzen

** ROOT/CA Einträge mittels sicherem Passwort im KeyStore schützen (im Passwort-Safe der Firma hinterlegen)

** Alle signierten/erstellten Zertifikate basierend auf den Root/CA's können dann ohne extra Passwort im KeyStore erstellt werden

* Root-CA erstellen

* neues (mit dem Root-CA) signiertes Zertifikat erstellen

* Zertifikates-Dateien für den Freda-Service exportieren

** chain.cer, beinhaltet in diesem Falle nur das Root-CA Zertifikat, da wir keine Zertifikats-Kette erstellt haben

** cert.pem, Zertifikat für den Freda-Service

** cert.key, Private Key des Zertifikates (cert.pem)

h2. Step By Step

* KeyStore (Datei) öffnen, hier heißt dieser "demo-keystore.ks"

* Tools -> Generate Key Pair

* RSA KeySitze: 4096  auswählen/einstellen und OK drücken

* 

!clipboard-202303061603-zvxbg.png!