Wie man ein CSR auf Cerberus FTP Server generiert

Dieses Tutorial zeigt Ihnen wie Sie einen CSR auf Cerberus FTP Server erzeugen. Cerberus hat die CSR-Erzeugung aus dem alten Windows-Dialog entfernt und in den browserbasierten Server Manager verlegt, mit Version 13.1 (September 2023), und den nativen Menüpunkt im selben Release gestrichen. Die Versionsnummerierung wechselte danach zu einem Kalenderschema, sodass jeder Build ab 2024.1, einschließlich der aktuellen 2026er-Releases, das unten beschriebene Webformular verwendet. Das Produkt gehört inzwischen zu Redwood Software und wird als Cerberus FTP Server by Redwood veröffentlicht, doch die hier behandelten Einstellungen sind unverändert.

CSR auf Cerberus FTP Server erzeugen

Wenn Sie Ihren CSR bereits erzeugt und das signierte Zertifikat von Ihrer CA erhalten haben, springen Sie direkt zur Installation eines SSL-Zertifikats auf Cerberus FTP Server.

Sie haben zwei Möglichkeiten:

• Nutzen Sie unseren CSR Generator, um den CSR und den privaten Schlüssel auf Ihrem eigenen Rechner zu erstellen, und kopieren Sie anschließend beide Dateien auf den Cerberus-Server.
• Folgen Sie den nachstehenden Schritten, um den CSR direkt in Cerberus zu erstellen, wodurch der private Schlüssel auf dem Server bleibt, der ihn verwenden wird.

Schritt 1: Das CSR-Formular öffnen

1. Öffnen Sie den Server Manager und wählen Sie den Tab Security.
2. Scrollen Sie im Bereich General zum Abschnitt TLS Server Key Pair. Ältere Builds bezeichnen diesen Abschnitt als Server Key Pair.
3. Klicken Sie auf Create A CSR. Das Fenster Create A Certificate Signing Request öffnet sich.

Da dieses Formular in der webbasierten Administrationsoberfläche liegt, können Sie einen CSR aus der Ferne erstellen, ohne sich an der Serverkonsole anmelden zu müssen. Im selben Abschnitt befindet sich auch die Schaltfläche Create Self Signed Cert, mit der ein Zertifikat nur für interne Testzwecke erzeugt wird. Ein selbstsigniertes Zertifikat wird von Clients nicht vertraut, daher benötigen Sie den CSR-Weg und ein von einer öffentlichen CA signiertes Zertifikat, wenn Ihre FTPS- und HTTPS-Nutzer sich ohne Warnungen verbinden sollen.

Schritt 2: Die Zertifikatsdetails ausfüllen

Das Formular fragt in dieser Reihenfolge nach folgenden Angaben. Jedes Feld außer Contact Email erfordert einen Wert.

• Common Name: der vollqualifizierte Domainname (FQDN), über den Clients den Server erreichen, zum Beispiel ftp.yoursite.com. Bei einem FTP-Server ist dies oft nicht derselbe Hostname wie bei Ihrer Website, verwenden Sie daher den Namen, mit dem sich Ihre FTPS- und Webclient-Nutzer tatsächlich verbinden. Für ein Wildcard-Zertifikat setzen Sie ein Sternchen vor die Domain, wie bei *.yoursite.com.
• State/Province: der vollständige Name des Bundeslandes oder der Provinz, in dem Ihre Organisation registriert ist, zum Beispiel California. Nicht abkürzen.
• Organization: der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Your Company LLC. Für ein persönliches oder domainvalidiertes Zertifikat geben Sie den Namen an, auf den die Domain registriert ist.
• Organization Unit: das alte Abteilungsfeld. Das CA/Browser Forum hat es im September 2022 abgeschafft, es ist in öffentlich vertrauenswürdigen TLS-Zertifikaten nicht mehr zulässig, sodass die CA verwirft, was Sie hier eintragen. Cerberus verlangt trotzdem einen Wert, geben Sie also etwas Neutrales wie IT oder NA ein.
• Locality (City): der vollständige Stadtname, zum Beispiel San Francisco.
• Contact Email: das einzige Feld in dieser Liste, das leer bleiben darf. Es hat keine Auswirkung auf die Ausstellung, da die CA Sie über die Kontaktdaten Ihrer Bestellung erreicht und nicht über den CSR.
• 2-Digit Country Code: der zweistellige ISO-3166-1-Code für Ihr Land, in ein Textfeld eingetragen statt aus einer Liste ausgewählt, zum Beispiel US, GB oder CA.

Geben Sie diese Angaben sorgfältig ein, machen Sie sich aber keine allzu großen Sorgen darüber. Die CA baut den Zertifikatsinhaber-Eintrag aus ihren eigenen Validierungsunterlagen auf, nicht aus Ihrem CSR. Bei einem domainvalidierten Zertifikat erscheinen die Werte für Organisation, Ort und Bundesland überhaupt nicht im ausgestellten Zertifikat. Bei einem organisationsvalidierten oder Extended-Validation-Zertifikat erscheinen sie, aber erst, nachdem die CA sie anhand offizieller Unterlagen bestätigt hat, ein Tippfehler wird also während der Validierung korrigiert und nicht ins Zertifikat übernommen.

Schritt 3: Schlüsseltyp, Schlüssellänge und Signaturalgorithmus wählen

Diese drei Auswahlfelder bestimmen, welche Art von Schlüsselpaar Cerberus erstellt. An dieser Stelle des Formulars führt eine falsche Wahl zu einem CSR, den keine öffentliche CA signieren kann, daher lohnt sich ein Moment der Aufmerksamkeit.

• Key Type: Cerberus bietet RSA, DSA, ECDSA, EdDSA 25519 und EdDSA 448. Nur RSA und ECDSA sind gemäß den Baseline Requirements des CA/Browser Forums in öffentlich vertrauenswürdigen TLS-Zertifikaten zulässig. Ein CSR auf Basis von DSA, EdDSA 25519 oder EdDSA 448 wird von jeder öffentlichen CA abgelehnt, wählen Sie also eines der ersten beiden. RSA ist die sichere Standardwahl und die weiter verbreitet unterstützte der beiden; entscheiden Sie sich für ECDSA nur, wenn Sie wissen, dass die Clients, die sich mit Ihrem Server verbinden, es unterstützen.
• Key Length: die Optionen ändern sich je nach Schlüsseltyp. Bei RSA ist 2048 die Standardeinstellung und das Minimum, das eine öffentliche CA akzeptiert; wechseln Sie nur auf 3072 oder 4096, wenn Ihre eigene Sicherheitsrichtlinie dies verlangt, wobei größere RSA-Schlüssel mehr Handshake-Zeit auf einem stark ausgelasteten Übertragungsserver kosten. Bleiben Sie bei ECDSA bei den NIST-Kurven P-256, P-384 oder P-521, da keine andere Kurve zulässig ist.
• Signing Algorithm: lassen Sie hier sha256 stehen. Cerberus kennzeichnet die älteren Optionen mit (Legacy), und manche CAs weisen einen mit SHA-1 selbstsignierten CSR zurück. Diese Einstellung signiert nur den CSR selbst und hat keinen Einfluss auf den Algorithmus, mit dem die CA Ihr Zertifikat signiert, eine Änderung bringt also keinen Vorteil.

Schritt 4: Passwort für den privaten Schlüssel und Download-Option festlegen

• Private Password: optional, aber empfehlenswert, da es die private Schlüsseldatei im Ruhezustand verschlüsselt. Cerberus speichert dieses Passwort nirgendwo, und es kann nicht wiederherstellt werden. Notieren Sie es in Ihrem Passwort-Manager, bevor Sie fortfahren, denn Sie werden danach gefragt, wenn Sie das ausgestellte Zertifikat laden und im Tab Security Needs Key Password aktivieren.
• Download the CSR after creation: aktivieren Sie dies, um eine Kopie des CSR in den Download-Ordner Ihres Browsers zu erhalten. Es wird nur der CSR herunterladen. Der private Schlüssel wird niemals an den Browser gesendet.

Unabhängig davon, ob Sie das Kästchen aktivieren, schreibt Cerberus beide Dateien in den Zertifikatsordner auf dem Server, standardmäßig C:ProgramDataCerberus LLCCerberus FTP Servercertificates. Das Formular zeigt den genauen Pfad an, den es verwenden wird. Beachten Sie, dass der Ordner weiterhin den Namen Cerberus LLC aus der Zeit vor der Übernahme trägt, das ist korrekt, obwohl das Produkt inzwischen unter Redwood vertrieben wird.

Schritt 5: Den CSR erstellen und an Ihre CA senden

Überprüfen Sie die Angaben noch einmal und klicken Sie dann auf Create. Anders als beim alten Desktop-Assistenten erscheint im Webformular kein Ordnerauswahldialog. Cerberus speichert den CSR und den passenden privaten Schlüssel sofort im Zertifikatsordner und lädt den CSR herunter, wenn Sie das angefordert haben.

Öffnen Sie die CSR-Datei mit einem beliebigen Texteditor, zum Beispiel Notepad, und kopieren Sie alles, einschließlich der ersten und letzten Zeile:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Fügen Sie diesen Text in das CSR-Feld im Bestellformular Ihres SSL-Anbieters ein. Wenn das Formular nach der verwendeten Serversoftware fragt, wählen Sie OTHER, da Cerberus dort selten namentlich aufgeführt wird. Lassen Sie den Text vor dem Absenden durch unseren CSR Decoder laufen, um zu bestätigen, dass Common Name, Schlüsseltyp und Schlüsselgröße wie beabsichtigt herausgekommen sind. Einen Fehler hier zu entdecken dauert eine Minute; ihn nach der Ausstellung zu entdecken bedeutet eine Neuausstellung.

Lassen Sie den privaten Schlüssel dort, wo Cerberus ihn abgelegt hat. Er geht niemals an die CA, muss auf dem Server bleiben, und Sie werden Cerberus zusammen mit seinem Passwort darauf verweisen, wenn das signierte Zertifikat eintrifft. Sichern Sie ihn zusätzlich an einem sicheren Ort, gemäß unserer Anleitung zur Speicherung des privaten Schlüssels. Geht der Schlüssel verloren, ist das ausgestellte Zertifikat unbrauchbar, und Sie müssen mit einem neuen CSR wieder von vorn beginnen.

CSR-Erzeugung in Cerberus 13.0 und früheren Versionen

Bei Builds älter als 13.1 ist das CSR-Werkzeug ein nativer Dialog und kein Webformular. Öffnen Sie das Menü Tools in der Cerberus-Desktop-Oberfläche und wählen Sie Generate a CSR. Der alte Dialog mit dem Titel Generate a Certificate Signing Request fragt nach weitgehend denselben Identitätsangaben, mit zwei bemerkenswerten Unterschieden: Er verfügt über ein zusätzliches, optionales Feld Street für die Adresse Ihrer Organisation, und er wählt das Land aus einer Dropdown-Liste aus, statt nach einem zweistelligen Code zu fragen. Außerdem bietet er nur Key Type und Key Length an, ohne Einstellung für den Signaturalgorithmus. Klicken Sie auf Generate, worauf ein Ordnerauswahldialog erscheint, in dem Sie festlegen können, wo die Dateien des privaten Schlüssels und des CSR abgelegt werden. Dieser Menüpunkt ist in der browserbasierten Verwaltungskonsole nicht verfügbar und wurde in 13.1 vollständig entfernt.

Falls Sie noch eine dieser Versionen einsetzen, planen Sie ein Upgrade, statt mit dem alten Dialog zu arbeiten. Die 13.x-Reihe endete im Dezember 2023 mit 13.2.1, sodass Sicherheitskorrekturen jetzt nur noch an die kalenderversionierten Releases gehen, und genau diese Builds bieten auch die größere Auswahl an Schlüsseltypen sowie ein CSR-Formular, das Sie aus der Ferne erreichen können.

Häufig gestellte Fragen