Privaten Schlüssel erzeugen¶

In jedem Fall benötigt man zunächst einen privaten Schlüssel. Dieser sollte immer auf eigens verwalteten Systemen erzeugt und gespeichert werden und niemals Dritten in die Hände gegeben werden - auch nicht der signierenden CA.

Der private Schlüssel soll als /etc/ssl/private/apache.key erzeugt werden. Da normale Benutzer auf diesen Ordner keinen Zugriff haben, sollte zunächst ein Pseudo-Root-Terminal ^[1] mittels

sudo -i 

geöffnet werden.

Der private Schlüssel wird nun mit dem folgenden Kommando erzeugt:

openssl genrsa -out /etc/ssl/private/apache.key 2048 

Die Angabe 2048 stellt die Stärke bzw. Länge des RSA-Schlüssels in bit ein; Schlüssel mit weniger als 2048 bit gelten aktuell als nicht mehr sicher. Ab Ubuntu 14.04 ist die Einstellung 2048 Standard und muss nicht explizit angegeben werden. Der private Schlüssel ist nicht durch eine Passphrase geschützt. Das ist notwendig, da Apache sonst bei jedem Neustart die manuelle Eingabe der Passphrase verlangen würde oder diese in der Konfiguration im Klartext hinterlegt werden müsste.

openssl ecparam -out /etc/ssl/private/apache.key -name secp256k1 -genkey 

openssl ecparam -list_curves 

SSL-Zertifikat erzeugen¶

openssl req -new -x509 -key /etc/ssl/private/apache.key -days 365 -sha256 -out /etc/ssl/certs/apache.crt 

exit 

openssl req -new -key /etc/ssl/private/apache.key -out ~/apache.csr 

Konfiguration¶

Um TLS/SSL verwenden zu können, muss der Apache auf TCP-Port 443 lauschen. Diese Einstellung wird in der Datei /etc/apache2/ports.conf vorgenommen. Wichtig ist dabei der Abschnitt

<IfModule mod_ssl.c>
    Listen 443
</IfModule>

In älteren Ubuntu- bzw. Apache-Versionen ist dieser Abschnitt u.U. auskommentiert und damit abgeschaltet. Zur Aktivierung müssen lediglich die Kommentarzeichen (vorangestellte #) entfernt werden.

Nach dieser Änderung muss die Konfiguration des Apache neu eingelesen werden:

sudo service apache2 reload 

sudo a2enmod ssl
sudo service apache2 force-reload 

SSL-Webseite konfigurieren¶

Abschließend muss nur noch ein Virtual Host für TLS/SSL eingerichtet werden. Für die Konfiguration wird die Datei /etc/apache2/sites-available/ssl (Apache 2.4: /etc/apache2/sites-available/ssl.conf) mit folgendem Inhalt erstellt:

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/apache.crt
    SSLCertificateKeyFile /etc/ssl/private/apache.key
    
    # Pfad zu den Webinhalten
    DocumentRoot /var/www/
</VirtualHost>

Dieser VirtualHost wird nun mit

sudo a2ensite ssl.conf
sudo service apache2 force-reload 

bzw. vor Ubuntu 13.10

sudo a2ensite ssl
sudo service apache2 force-reload 

aktiviert.

Firefox¶

Selbstsignierte Zertifikate werden über entsprechende Warnhinweise prinzipiell als verdächtig bzw. unsicher eingestuft und der Client-Zugriff komplett blockiert. Daher müssen eigene Zertifikate erst heruntergeladen und über dauerhafte Ausnahmeregeln legimitiert werden. Falls Firefox dieses verweigert bzw. gar nicht erst anbietet, ruft man die Pseudo-Adresse about:config auf und setzt den Wert des Schlüssels

browser.xul.error_pages.expert_bad_cert

auf true. Inzwischen warnen auch andere Browser vor selbstsignierten Zertifikaten.

Port 443 schon von Apache selbst belegt¶

Erscheint beim Starten des Servers die Fehlermeldung

(98)Address already in use: make_sock: could not bind to address 0.0.0.0:443

no listening sockets available, shutting down

so sollten die Einträge in /etc/apache2/ports.conf überprüft werden. Dort darf der Eintrag

1

Listen 443

nur einmal vorhanden sein. Auch in anderen Dateien der Apache-Konfiguration darf diese Direktive nicht nochmal vorkommen!

SSL-Fehlermeldung beim Verbindungsaufbau¶

Erscheint beim Seitenaufruf im Browser die Fehlermeldung

ssl_error_rx_record_too_long

liegt das meist an fehlerhaft konfigurierten vHosts. Es sollten zwei NameServerHost-Einträge innerhalb der Dateien in /etc/apache2/sites-available/ vorhanden sein:

1
2

NameVirtualHost *:80
NameVirtualHost *:443

Der Eintrag für Port 80 sollte im Abschnitt default und der Eintrag für Port 443 im Abschnitt ssl sein.

SSL erzwingen¶

Oftmals wird gewünscht, dass gewisse Seiten nur über https:// erreicht werden können. Ein klassisches Beispiel sind Webmailer wie Squirrelmail oder RoundCube Webmail . Dies kann in vielen Fällen einfach mit der Apache Redirect-Directive oder mit dem Apache-Modul mod_rewrite erreicht werden.

Um die Sicherheit noch weiter zu erhöhen, kann das HTTP Strict Transport Security (HSTS)-Verfahren eingesetzt werden. Dadurch werden z. B. Man-in-the-middle-Angriffe erschwert. Um diese Funktion nutzen zu können, muss zuerst das Modul mod_headers aktiviert werden:

sudo a2enmod headers 

Anschließend muss in der vHost-Konfigurationsdatei (Port 443) folgende Zeile ergänzt werden:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains;"

Mit der max-age-Angabe wird dem Browser mitgeteilt, dass die entsprechende Website in den nächsten 365 Tagen (= 31536000 Sekunden) nur noch via HTTPS aufgerufen werden soll. Um die Änderungen wirksam zu machen, wird die Konfiguration neu geladen:

sudo /etc/init.d/apache2 reload