Apache Webserver SSL Verschlüsselung einrichten

Google, Amazon, Twitter, Onlineshops… sie alle bieten eine verschlüsselte Verbindung zu ihren Servern an, wenn es um sensible Daten geht, die über das Internet ausgetauscht werden sollen. Mit OpenSSL und dem SSL Modul könnt ihr eurem eigenen Apache Webserver die Verschlüsselung beibringen.

(Folgt bitte meinem aktualisierten Beitrag für Ubuntu 14.04: https://legacy.thomas-leister.de/apache2-webserver-ssl-verschluesselte-verbindungen-ermoeglichen/)

Wie (fast) immer benötigen wir das Terminal ;) Öffnet es und wechselt über den Befehl

sudo -s

in die Root Konsole.
Zu Erstellen eines eigenen Zertifikats brauchen wir das Paket „OpenSSL“, das unter Ubuntu bereits vorinstalliert ist.

Zuerst erstellen wir ein Verzeichnis für unser Zertifikat:

mkdir /etc/apache2/mycert

Danach wechseln wir direkt in das neue Verzeichnis, damit die nächsten Befehle nicht so lang werden ;)

cd /etc/apache2/mycert

Im ersten Schritt der Zertifikatserzeugung erstellen wir den Private Key, den wir einfach „server“ nennen…

openssl genrsa -out server.key 1024

… und generieren daraus eine CSR Datei (Zertifizierungsanforderung). Diese enthält verschiedene Attribute, die das Zertifikat später enthalten soll.:

openssl req -new -key server.key -out server.csr

Nach Eingabe des Befehls werdet ihr nach Name, Mailadresse, Wohnort, etc gefragt. Wichtig ist in unserem Fall eigentlich nur „CommonName“: hier gebt ihr die Adresse des Servers an. Bei einem lokalen Testserver kann man hier „localhost“ benutzen; wenn der Server unter einer Domain im Internet erreichbar ist, muss man hier aber den Domainnamen (z.B. meinedomain.de) angeben. Ansonsten könnt ihr die Felder einfach mit ENTER überspringen und leer lassen. Das „Challenge Password“ solltet ihr nicht setzen und ebenfalls mit ENTER überspringen.

Eingabe der Daten für die Zertifikatsanfrage

Aus der CSR Datei können wir im dritten Schritt mit dem folgenden Befehl das endgültige Zertifikat erstellen. Die Zahl hinter „-days“ gibt die Gültigkeitsdauer des Zertifikats in Tagen an; in diesem Fall ist das Zertifikat 10 Jahre lang gültig.

openssl x509 -req -days 3650 -in server.csr -signkey server.key -out server.crt

Das fertige Zertifikat liegt jetzt unter /etc/apache2/mycert/server.crt. Damit der Webserver mit SSL umgehen kann, muss noch das Apache2 SSL Modul aktiviert werden:

a2enmod ssl

In der Virtual Hosts Datei muss noch sichergestellt werden, dass Apache2 auch auf Port 443 (SSL) horcht. Öffnet die Virtual Hosts Datei …

gedit /etc/apache2/ports.conf

… und überprüft, ob bei euch dieser Eintrag vorhanden ist:

<IfModule mod_ssl.c>
Listen 443
</IfModule>

Dieser Eintrag kann bei euch auch etwas anders aussehen; wichtig ist, dass vor „Listen 443“ kein Hashzeichen (#) steht. Alles, was nach einem solchen Hashzeichen steht, ist ein Kommentar und wird vom Apache Webserver nicht beachtet.

Zuletzt muss noch die httpd.conf Datei geändert werden:

gedit /etc/apache2/httpd.conf

Die Datei ist wahrscheinlich leer. Fügt einfach folgendes hinzu und speichert die Datei:

<VirtualHost *:443>
DocumentRoot /var/www
ServerName localhost
SSLEngine on
SSLCertificateKeyFile /etc/apache2/mycert/server.key
SSLCertificateFile /etc/apache2/mycert/server.crt
</VirtualHost>

So, jetzt muss der Server noch mit

service apache2 restart

neu gestartet werden, damit die Änderungen übernommen werden.

Euer Server sollte jetzt auch über https://localhost erreichbar sein. Beim ersten Aufruf warnt euch euer Browser vor dem Zertifikat, weil es ein selbst erstelltes ist und bietet euch die Möglichkeit, für dieses Zertifikat eine Ausnahme hinzuzufügen. Das solltet ihr natürlich tun ;)

Firefox Warnt vor der Verbindung mit dem Server, weil wir uns das Zertifikat selbst ausgestellt haben. Macht aber nichts, die Verschlüsselung funktioniert trotzdem ;)