[Comm] Apache && mod_ssl

[Comm] Apache && mod_ssl

[Alexey S. Kuznetsov]

Привет всем!
 Начал возиться с mod_ssl. Появилось желание сделать такой
 сертификат, чтобы, при импортировании его броузером клиента, не выскакивало
 предупреждение о том, что сертификату нельзя доверять...
 Может его как-нибуть можно самому подписать там verisign-ом или ещё
 чем?

 Кстати ещё такой вопрос, когда генеришь сертификат скриптом из
 поставки mod_ssl необходимо вводить rsa (помойму) passphrase, которую
 потом необходимо вводить при /etc/rc.d/init.d/httpd start, а это не
 очень удобно, можно ли автоматизировать этот процесс?
  

-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: [Comm] Apache && mod_ssl

[Yuri N. Glibovetz]

Alexey S. Kuznetsov пишет:
>  Кстати ещё такой вопрос, когда генеришь сертификат скриптом из
>  поставки mod_ssl необходимо вводить rsa (помойму) passphrase, которую
>  потом необходимо вводить при /etc/rc.d/init.d/httpd start, а это не
>  очень удобно, можно ли автоматизировать этот процесс?

Снимите пароль с ключа:

# cp server.key server.key.origin
# openssl rsa -nodes -in server.key.origin -out server.key
# chown root:root server.key
# chmod 600 server.key

-- 
Чудес не бывает - бывают только глюки...

Linux Registered User #387540
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=387540

Re: [Comm] Apache && mod_ssl

[Alexey Borovskoy]

[-- Attachment #1: Type: text/plain, Size: 519 bytes --]

* Понедельник 11 Июль 2005 04:01 Alexey S. Kuznetsov

> Привет всем!
>  Начал возиться с mod_ssl. Появилось желание сделать такой
>  сертификат, чтобы, при импортировании его броузером клиента,
> не выскакивало предупреждение о том, что сертификату нельзя
> доверять... Может его как-нибуть можно самому подписать там
> verisign-ом или ещё чем?

Можно с помощью tinyca создать свой CA. И затем импортировать в 
браузер сертификат CA.

-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re[2]: [Comm] Apache && mod_ssl

[Alexey S. Kuznetsov]

Hello!

Sunday, July 10, 2005, 4:58:50 AM, you wrote:

> * Понедельник 11 Июль 2005 04:01 Alexey S. Kuznetsov

>> Привет всем!
>>  Начал возиться с mod_ssl. Появилось желание сделать такой
>>  сертификат, чтобы, при импортировании его броузером клиента,
>> не выскакивало предупреждение о том, что сертификату нельзя
>> доверять... Может его как-нибуть можно самому подписать там
>> verisign-ом или ещё чем?

> Можно с помощью tinyca создать свой CA. И затем импортировать в 
> браузер сертификат CA.

Нееее, нужно, чтобы любой броузер в локалке взял этот сертификат, и не
спрашивал подтверждения, как будто бы сертификат был подписан
verisign-ом. Такое вообще возможно как-нибудь осуществить?


-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: Re[2]: [Comm] Apache && mod_ssl

[Michael Isachenkov]

> 
> Нееее, нужно, чтобы любой броузер в локалке взял этот сертификат, и не
> спрашивал подтверждения, как будто бы сертификат был подписан
> verisign-ом. Такое вообще возможно как-нибудь осуществить?

А вы готовы выложить $300? Тогда можно. :)

-- 
Best regards, Michael Isachenkov

now: Гражданская оборона - Убивать

Re[4]: [Comm] Apache && mod_ssl

[Alexey S. Kuznetsov]

Hello!

Monday, July 11, 2005, 12:29:54 AM, you wrote:

>> 
>> Нееее, нужно, чтобы любой броузер в локалке взял этот сертификат, и не
>> спрашивал подтверждения, как будто бы сертификат был подписан
>> verisign-ом. Такое вообще возможно как-нибудь осуществить?

> А вы готовы выложить $300? Тогда можно. :)

я же написал "КАК БУД-ТО"

-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

[JT] Re: [Comm] Apache && mod_ssl

[Dmytro O. Redchuk]

On Mon, Jul 11, 2005 at 11:21:40AM -0700, Alexey S. Kuznetsov wrote:
> Hello!
> 
> Monday, July 11, 2005, 12:29:54 AM, you wrote:
> 
> >> 
> >> Нееее, нужно, чтобы любой броузер в локалке взял этот сертификат, и не
> >> спрашивал подтверждения, как будто бы сертификат был подписан
> >> verisign-ом. Такое вообще возможно как-нибудь осуществить?
> 
> > А вы готовы выложить $300? Тогда можно. :)
> 
> я же написал "КАК БУД-ТО"
Значит, нужно было писать "как-будто любой", или "как-будто взял", или
"как-будто не спрашивал"...

:О)

> 
> -- 
> Sincerely,
> Alexey S. Kuznetsov
> AK2351-RIPE

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

[Comm] Re: Apache && mod_ssl

[Michael Shigorin]

On Mon, Jul 11, 2005 at 11:21:40AM -0700, Alexey S. Kuznetsov wrote:
> >> Нееее, нужно, чтобы любой броузер в локалке взял этот
> >> сертификат, и не спрашивал подтверждения, как будто бы
> >> сертификат был подписан verisign-ом. Такое вообще возможно
> >> как-нибудь осуществить?
> > А вы готовы выложить $300? Тогда можно. :)
> я же написал "КАК БУД-ТО"

И нахрена тогда бы Verisign свои бабки стриг?
Простите на наивном вопросе, конечно.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: Apache && mod_ssl

[Mike Lykov]

В сообщении от Понедельник 11 Июль 2005 19:39 Michael Shigorin написал:
> > >> Нееее, нужно, чтобы любой броузер в локалке взял этот
> > >> сертификат, и не спрашивал подтверждения, как будто бы
> > >> сертификат был подписан verisign-ом. Такое вообще возможно
> > >> как-нибудь осуществить?

Автору вопроса - этот вопрос аналогичен тому, что "а можно как-нибудь вскрыть 
вон тот сейф"? или "а подберите мне ключи вон к той квартире"? ;)

Подпись осуществляется именно доверенным центром как раз для того, чтобы быть 
уверенным, что это тот сертификат, за кого он себя выдает. если бы можно было 
сделать то, что вы предлагаете, то вся эта система подписей не имела бы 
смысла.

> > > А вы готовы выложить $300? Тогда можно. :)
> > я же написал "КАК БУД-ТО"
> И нахрена тогда бы Verisign свои бабки стриг?
> Простите на наивном вопросе, конечно.

Кстати, уже давно не только verisign имеет право, а так же некая фирма thawte, 
и даже, насколько я читал, питерская фирма e-key...
У них может, дешевле?

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re[2]: [Comm] Re: Apache && mod_ssl

[Alexey S. Kuznetsov]

Hello!

Monday, July 11, 2005, 10:25:24 PM, you wrote:

>> > > А вы готовы выложить $300? Тогда можно. :)
>> > я же написал "КАК БУД-ТО"
>> И нахрена тогда бы Verisign свои бабки стриг?
>> Простите на наивном вопросе, конечно.

> Кстати, уже давно не только verisign имеет право, а так же некая фирма thawte,
> и даже, насколько я читал, питерская фирма e-key...
> У них может, дешевле?

Да мне вообще не нужно их покупать, мне главное, чтобы сеанс
шифровался, просто больше удобства для тупых юзеров бы было, а то
вдруг нажмут на кнупку "не импортировать сертификат"...


-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE

Re: Re[2]: [Comm] Re: Apache && mod_ssl

[Mike Lykov]

В сообщении от Вторник 12 Июль 2005 20:49 Alexey S. Kuznetsov написал:

> шифровался, просто больше удобства для тупых юзеров бы было, а то
> вдруг нажмут на кнупку "не импортировать сертификат"...

узерам нужно не потакать в их тупизне, а учить.
Составить инструкцию - "нажимать на кнопку обязательно".
кто не нажал - сам виноват ;)

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Apache && mod_ssl

[Alexey Borovskoy]

[-- Attachment #1: Type: text/plain, Size: 1071 bytes --]

* Понедельник 11 Июль 2005 12:50 Alexey S. Kuznetsov

> Hello!
>
> Sunday, July 10, 2005, 4:58:50 AM, you wrote:
> > * Понедельник 11 Июль 2005 04:01 Alexey S. Kuznetsov
> >
> >> Привет всем!
> >>  Начал возиться с mod_ssl. Появилось желание сделать такой
> >>  сертификат, чтобы, при импортировании его броузером
> >> клиента, не выскакивало предупреждение о том, что
> >> сертификату нельзя доверять... Может его как-нибуть можно
> >> самому подписать там verisign-ом или ещё чем?
> >
> > Можно с помощью tinyca создать свой CA. И затем
> > импортировать в браузер сертификат CA.
>
> Нееее, нужно, чтобы любой броузер в локалке взял этот
> сертификат, и не спрашивал подтверждения, как будто бы
> сертификат был подписан verisign-ом. Такое вообще возможно
> как-нибудь осуществить?

Положите в один файл сертификат CA и сертификат сервера.
При открытии такого контейнера, должен появится запрос на 
добавление сертификата CA. А потом останется выставить уровень 
доверия сертификату.

-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]