Voir la source de Commandes:Génération de certificats SSL client

== But ==
Créer un certificat x509 pour une application cliente.

== Étape préliminaire ==
Avant de pouvoir générer des certificats et dans le cas ou vous ne désirez pas faire signer vos certificats pas une autorité de certification reconnue (comme Verisign), il est impératif de disposer d'au moins un certificat pour notre autorité de certification (CA). Si cela, n'a pas déjà été fait, reportez-vous à la [[Commandes:Génération d'un certificat SSL de l'autorité de certification|génération du certificat de l'autorité de certification]].

== Création d'une demande de certificat ==
* Se placer dans le répertoire '''/etc/pki/CA''' sous CentOS/RedHat/Fedora et '''/etc/ssl''' sous ubuntu:
* La première étape consiste à générer un couple clé privée/clé publique pour le certificat:
 openssl genrsa -out private/amon-pw.key -des3 1024

 Generating RSA private key, 1024 bit long modulus
 ..........++++++
 ..........................................++++++
 e is 65537 (0x10001)
 Enter pass phrase for amon-pw.key:
 Verifying - Enter pass phrase for amon-pw.key:
* Pour éviter que l'application cliente soit obligé de demander la passphrase au démarrage, enlever la du certificat:
 openssl rsa -in private/amon-pw.key -out private/amon.key
 rm private/amon-pw.key
* La seconde étape consiste à créer la demande de certificat en y intégrant notre couple clé privée/clé publique:
 openssl req -new -key private/amon.key -out amon.req

 You are about to be asked to enter information that will be incorporated
 into your certificate request.
 What you are about to enter is what is called a Distinguished Name or a DN.
 There are quite a few fields but you can leave some blank
 For some fields there will be a default value,
 If you enter '.', the field will be left blank.
 -----
 Country Name (2 letter code) [FR]:
 State or Province Name (full name) [Herault]:
 Locality Name (eg, city) [Saint-Jean-de-Védas]:
 Organization Name (eg, company) [Minetti]:
 Organizational Unit Name (eg, section) []:Client
 Common Name (eg, your name or your server's hostname) []:amon.srv.minetti.org
 Email Address []:root@minetti.org
 
 Please enter the following 'extra' attributes
 to be sent with your certificate request
 A challenge password []:
 An optional company name []:
On obtient le fichier '''amon.req''' qu'on envoi à l'autorité de certification pour être signé.

Reportez-vous au chapitre [[Commandes:Gestion des certificats par l'autorité de certification#Signature d'un certificat|Gestion des certificats par l'autorité de certification]] pour procéder à la signature du certificat.

== Réception du certificat signé ==
Placer le nouveau certificat x509 signé dans '''/etc/pki/tls''' et restreindre son accès:
 chown root.ldap certs/amon.pem
 chmod 640 certs/amon.pem

== Renouvellement d'une demande de certificat ==
Le renouvellement s'obtient en créant une nouvelle demande de certificat à partir de l'actuel certificat:
 openssl x509 -x509toreq -in certs/amon.pem -signkey private/amon.key -out amon.req
On obtient le fichier '''amon.req''' qu'on envoi à l'autorité de certification pour être signé.

Reportez-vous au chapitre [[Commandes:Gestion des certificats par l'autorité de certification#Signature d'un certificat|Gestion des certificats par l'autorité de certification]] pour procéder à la signature du certificat.

== Intégration d'une paire de clé dans un keystore Java ==
Pour intégrer un certificat avec sa clé privé dans un keystore Java, il faut commencer par créer un fichier au format PKCS12:
 openssl pkcs12 -export -inkey certificat.key -in certificat.pem -out certificat.p12 -name "mon certificat"

Ensuite, il n'y a plus qu'a l'importer dans le keystore Java:
 keytool -importkeystore -srckeystore certificat.p12 -srcstoretype PKCS12 -srcstorepass minetti -destkeystore minetti.jks -deststoretype JKS -deststorepass minetti

== Quelques commandes utiles ==
Pour créer un fichier au format PKCS12 (export):
 openssl pkcs12 -export -inkey certificat.key -in certificat.pem -out certificat.p12 -name "mon certificat"

Pour extraire un certificat d'un fichier au format PKCS12:
 openssl pkcs12 -in certificat.p12 -out certificat.pem -nokeys -clcerts

Pour extraire les clés d'un fichier au format PKCS12:
 openssl pkcs12 -in certificat.p12 -out certificat.key -nocerts -nodes

Pour visualiser le contenu d'un certificat:
 openssl x509 -purpose -in certificat.pem -text -noout

Pour visualiser le sujet d'un certificat:
 openssl x509 -subject -in certificat.pem -noout

Pour visualiser l'adresse e-mail du propriétaire d'un certificat:
 openssl x509 -email -in certificat.pem -noout