Domande frequenti

Puoi verificare l’integrità di un certificato SSL e di una coppia di chiavi private con l’utility utilità OpenSSL e le sue linee di comando.

Il processo consiste in quattro fasi:

1. Verifica che la chiave privata non sia stata alterata.
2. Verifica che il valore del modulo corrisponda alla chiave privata e alla coppia di certificati SSL.
3. Esegui con successo la crittografia con la chiave pubblica del certificato e la decrittografia con la chiave privata.
4. Conferma l’integrità del file, che è stato firmato con la chiave privata

Verifica l’integrità della chiave privata

Esegui il seguente comando: openssl rsa -in [key-file.key] -check -noout

Ecco un esempio di chiave privata corrotta:

Di seguito sono elencati altri errori derivanti da una chiave alterata o contraffatta:

• Errore chiave RSA: p non è primo
• Errore chiave RSA: n non è uguale a p q
• Errore chiave RSA: d e non congruente a 1
• Errore chiave RSA: dmp1 non congruente a d
• Errore chiave RSA: iqmp non è l’inverso di q

Se hai riscontrato uno dei suddetti errori, la tua chiave privata è stata manomessa e potrebbe non funzionare con la tua chiave pubblica. Valuta la possibilità di creare una nuova chiave privata e di richiedere un certificato sostitutivo.

Ecco un esempio di chiave privata che rispetta l’integrità:

Verifica che il valore del modulo corrisponda alla chiave privata e alla coppia di certificati SSL.

Se preferisci non eseguire i comandi, incolla entrambi i file nel Verificatore di Corrispondenza tra Certificato e Chiave e leggi il risultato.

Nota: Il modulo della chiave privata e del certificato devono corrispondere esattamente.

Per visualizzare il modulo del certificato, esegui il comando:

openssl x509 -noout -modulo -in [certificate-file.cer]

Per visualizzare la chiave privata Modulus esegui il comando:

openssl rsa -noout -modulo -in [file-chiave.key]

Crittografa con la chiave pubblica e decrittografa con la chiave privata

1. Ottieni la chiave pubblica dal certificato:

openssl x509 -in [certificate-file.cer] -noout -pubkey > certificatefile.pub.cer

2. Crittografa il contenuto del file test.txt usando la chiave pubblica

Crea un nuovo file chiamato test.txt (puoi usare il Blocco Note) con il contenuto “messaggio di prova”. Esegui il seguente comando per creare un messaggio criptato nel file cipher.txt.

openssl rsautl -encrypt -in test.txt -pubin -inkey certificatefile.pub.cer -out cipher.txt

3. Decifrare cipher.txt utilizzando la chiave privata
Esegui il seguente comando per decifrare il contenuto di cipher.txt.

openssl rsautl -decrypt -in cipher.txt -inkey [key-file.key]

Assicurati di poter decifrare il contenuto del file cipher.txt nel tuo terminale. L’output del terminale deve corrispondere al contenuto del file test.txt.

Se il contenuto non corrisponde, la chiave privata è stata manomessa e potrebbe non funzionare con la tua chiave pubblica. Valuta la possibilità di creare una nuova chiave privata e di richiedere un certificato sostitutivo. Ecco un esempio di messaggio decifrato:

4. Conferma l’integrità del file firmato con la chiave privata

Esegui il seguente comando per firmare i file test.sig e test.txt con la tua chiave privata:

openssl dgst -sha256 -sign [key-file.key] -out test.sig test.txt

A questo punto, verifica i file firmati con la tua chiave pubblica estratta al punto 1.

openssl dgst -sha256 -verify certificatefile.pub.cer -signature test.sig test.txt

Assicurati che l’output del terminale sia esattamente come nell’esempio seguente:

Se la tua chiave privata viene manomessa, riceverai il seguente messaggio:

In questo caso, dovrai creare una nuova chiave privata e richiedere un certificato sostitutivo.

Fonte: Base di conoscenza di Digicert

Copia link

All’interno della directory ~/public del tuo server, potresti trovare la cartella .well-known. Gli URI noti sono identificatori di risorse uniformi per servizi o informazioni note, disponibili in modo coerente su tutti i server all’interno degli URL.

Alcuni server creano la cartella .well-known automaticamente, ma a volte è necessario aggiungerla manualmente. Questa cartella funge da protocollo web per recuperare i metadati di un sito su un host prima di effettuare una richiesta.

A cosa serve la cartella .well-known?

Quando ordini un certificato SSL, devi dimostrare la proprietà del dominio come parte del DCV. Se scegli il metodo HTTP/HTTPS, dovrai creare la directory .well-known, la cartella in cui dovrai caricare un file di testo che la CA dovrà scansionare e approvare la tua richiesta SSL.

Il file deve essere accessibile tramite un link al sito web. Dopo aver aggiunto il file di convalida, il sistema CA crawler scansionerà il tuo sito web e cercherà il file. Una volta trovato, la convalida del dominio dovrebbe essere superata in pochi minuti.

Copia link

Per creare la cartella well-known, dovrai accedere al tuo server tramite un client SFTP, un pannello di controllo del web hosting o qualsiasi altro mezzo appropriato. Ecco come creare la cartella .well-known sulle piattaforme più diffuse:

Come creare la cartella .well-known sui server basati su Linux?

Le istruzioni che seguono sono valide per i server Ubuntu, Debian e CentOS.

1. Vai alla directory principale del tuo sito web
2. Crea una directory chiamata “.well-known”.
3. Al suo interno, crea un’altra cartella chiamata “pki-validation”.
4. Carica il file TXT nella directory “pki-validation”.

Come creare la cartella .well-known in cPanel?

1. Accedi a WHM, oppure salta questo passaggio se non hai WHM
2. Individua e accedi all’account cPanel del tuo nome di dominio
3. Clicca su “File Manager”.
4. Scegli l’opzione “Root Web (public_html/www)” e clicca su “Vai”.
5. Crea una nuova cartella chiamata .well-known
6. All’interno di questa cartella crea un’altra cartella chiamata: pki-validation
7. Carica il tuo file TXT all’interno della cartella pki-validation

Come creare la cartella .well-known in Plesk?

1. Usa l’opzione File Manager e vai alla sezione File nel menu di destra.
2. Dovresti creare la cartella.well-known nella cartella principale del tuo dominio, che in Plesk è httpdocs.
3. Per creare la cartella, seleziona Nuovo, quindi Crea cartella.
4. All’interno dellacartella .well-known, crea la sottocartella pki-validation .
5. Usa il pulsante Carica per aggiungere il file TXT di convalida nella cartella pki-validation.

Come creare la cartella .well-known nei server Windows IIS?

I server basati su Windows non consentono di inserire un punto nel nome di una cartella, pertanto è necessario seguire questi passaggi:

1. Vai all’unità C:
2. Crea una nuova cartella chiamata well-known
3. All’interno della cartella well-known, crea un’altra cartella denominata pki-validation.
   Finora le tue cartelle dovrebbero avere il seguente aspetto: C:well-knownpki-validation
4. Carica il file TXT nella cartella pki-validation
5. Apri IIS Manager sul tuo server
6. Fai clic con il tasto destro del mouse sul tuo sito web e seleziona Aggiungi directory virtuale.
7. Nella sezione Alias scrivi .well-known
8. Nell’area Percorso psichico inserisci il percorso della cartella nota. Ad esempio:
   C:well-known
9. Premi OK per creare questo alias

Come creare una cartella .well-known in WordPress?

Puoi creare una cartella .well-known in WordPress in tre modi diversi.

1. Utilizzo di un plugin speciale
2. Attraverso il pannello del tuo hosting web
3. Tramite un client SFTP come FileZilla

Non consigliamo di utilizzare un plugin perché potrebbe causare problemi di compatibilità e sicurezza nel tempo. Utilizza invece le nostre istruzioni qui sopra per creare la cartella .well-known in cPanel, il pannello di hosting più diffuso.

Se non hai cPanel, usa un client SFTP. Collegati al tuo server e all’interno della cartella ~/public cerca la cartella .well-knwon. Se non c’è, clicca con il tasto destro del mouse sulla cartella public, scegli Crea directory e rinomina la nuova directory .well-known.

Come creare una cartella .well-known in AWS?

1. Usa il comando bash per creare la cartella .well-known.nell’istanza AWS EC2:
   mkdir-p .well-known/pki-validation
2. Metti il tuo file di convalida nella sottocartella pki-validation:
   nano.well-known/pki-validation/HashFileName.txt

Come creare un file .well-known in macOS X Server?

Collegati al tuo server tramite il client FTP integrato o l’interfaccia a riga di comando.

FTP

1. Premi Comando+K
2. Nella finestra Connetti al server, inserisci l’indirizzo del server FTP. Ad esempio, ftp://ftp.yourdomain.com. Clicca su Connetti.
3. Inserisci quindi il tuo nome utente e la tua password FTP e premi di nuovo Connect.
4. Trova la directory principale del tuo dominio.
5. Crea una directory chiamata .well-known
6. All’interno della cartella. well-known, crea un’altra cartella chiamata pki-validation.
7. Carica il file TXT all’interno della directory pki-validation

Interfaccia a riga di comando

Puoi utilizzare SSH e il protocollo Secure Copy per caricare il file TXT.

scp AC3E5D6I8G12935LSJEIK.txt

your_username@hostname:tld://Library/WebServer/Documents/.well-known/pki-validation

Dove ‘AC3E5D6I8G12935LSJEIK.txt’ è il nome del file di convalida, ‘your_username’è il nome utente del tuo account server, ‘hostname.tld’ è il nome host del tuo server Mac OSX e ‘/Library/WebServer/Documents/’ è la directory predefinita della cartella principale del documento.

Per tutti i tipi di server, se hai fatto tutto correttamente, dovresti essere in grado di aprire il seguente URL e vedere il codice hash insieme a “comodoca.com” in qualsiasi browser web:

http://mywebsite.com/.well-known/pki-validation/HashFileName.txt

Copia link

Sì, puoi vedere quali informazioni include il tuo CSR utilizzando il nostro strumento CSR Decoder. Il processo è opposto alla crittografia.

Copia link

Il CSR viene rilasciato immediatamente. Ti verrà rilasciata non appena avrai compilato il Generatore di CSR SSL di cui sopra.

Copia link

Sia che tu inserisca accidentalmente o intenzionalmente delle informazioni errate durante l’utilizzo dello strumento di generazione del CSR, il CSR e la chiave privata ti verranno comunque rilasciati immediatamente. Tuttavia, una volta utilizzato il codice CSR per richiedere un certificato SSL, è possibile che ti venga rilasciato o meno un certificato SSL. È esclusivamente a discrezione dell’Autorità di Certificazione approvare o rifiutare il rilascio del Certificato SSL se hai inserito informazioni errate su di te e sulla tua azienda.

Se ti accorgi di aver inserito informazioni errate durante la generazione del CSR, devi semplicemente mettere da parte, ignorare o cancellare il CSR e la chiave privata esistenti. Successivamente, dovrai generare un nuovo codice CSR (che genererà automaticamente anche una nuova chiave privata), utilizzando le informazioni corrette su di te e sulla tua azienda. Utilizza il nuovo CSR quando richiedi un certificato SSL e la nuova chiave privata quando installi il certificato SSL sul tuo sito web e sul tuo server.

Copia link

Il CSR contiene le seguenti informazioni criptate: il tuo paese, lo stato, la città, il nome dell’organizzazione, il dipartimento della tua organizzazione, il nome del dominio per il quale vuoi che venga emesso il certificato SSL e l’indirizzo e-mail al quale verranno inviati il codice CSR e la chiave privata una volta generati entrambi.

Copia link

Un certificato SSL Wildcard multidominio è stato creato appositamente per consentire agli utenti di proteggere più domini e sottodomini utilizzando un unico certificato SSL.

NOTA #1: Qualsiasi certificato SSL Wildcard multidominio deve iniziare con un dominio non Wildcard. Ciò significa che ogni volta che configuri e richiedi un certificato SSL Wildcard multidominio, devi generare un CSR (Certificate Signing Request) per un singolo dominio (ad esempio: example.com), senza il segno dell’asterisco “*”. Questo è un requisito richiesto dalle Autorità di Certificazione. Tutti i SAN aggiuntivi (2°, 3°, 4° dominio) possono essere domini Wildcard.

Ad esempio, un certificato SSL Wildcard multidominio che ha 3 SAN (4 domini) per impostazione predefinita, ti permette di proteggere quanto segue:

1. Un dominio principale e più domini Wildcard:
   1. example.com – incluso nel CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mysite.com
   4. *.abcxyz.com
2. Un dominio principale e più domini Wildcard (con sottodomini di primo e secondo livello):
   1. example.com – incluso nel CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mob.example.com
   4. *.mysite.com
3. Diversi domini e più domini Wildcard (con sottodomini di primo e secondo livello):
   1. example.com – incluso nel CSR (Certificate Signing Request)
   2. *.example.com
   3. mysite.com
   4. *.mob.mysite.com

NOTA #2: Se aggiungi un elemento SAN come *.domain.com, proteggerai i suoi sottodomini illimitati ma non il dominio principale. Ad esempio, se vuoi proteggere due domini e tutti i loro sottodomini, devi configurare il tuo SSL nel seguente formato:

1. domain.com – incluso nel CSR (Certificate Signing Request)
2. *.domain.com
3. mysite.com
4. *.mysite.com

Puoi aggiungere sottodomini al tuo server e questi saranno automaticamente coperti dal tuo certificato SSL Wildcard. Non è necessario riemettere il tuo certificato SSL Wildcard ogni volta che aggiungi dei sottodomini. I nuovi sottodomini aggiunti saranno automaticamente coperti dal tuo Certificato SSL Wildcard.

Copia link

Il “certificato SSL” è l’acronimo di “Security Socket Layers Certificate”. Questo protocollo è stato creato per proteggere i dati che viaggiano tra due macchine attraverso la crittografia dei dati.

Tutte le informazioni di Internet vengono trasferite da una posizione all’altra sotto forma di linguaggio HTTP (Hyper Text Transfer Protocol). Ma l’HTTP di per sé non è protetto ed è suscettibile a truffatori e ladri di Internet. Ecco perché i certificati SSL sono stati sviluppati per proteggere le informazioni che viaggiano su Internet.

Potresti conoscere i certificati SSL grazie ad alcuni elementi comuni che vedi nel tuo browser: il lucchetto, la scritta “HTTPS” sulla scheda del browser (quando HTTP è protetto da SSL eredita la lettera “S”).

Queste sono tutte indicazioni che il sito web che stai utilizzando è dotato di crittografia SSL e le sue informazioni sono al sicuro dagli attacchi informatici.

Copia link

La garanzia di un certificato SSL è un’assicurazione che copre i danni che potresti subire a causa di una violazione dei dati o di un hack causato da un difetto del certificato. Le garanzie SSL hanno un valore che va da 5.000 a 1.500.000 dollari. Ciò significa che i certificati di valore più elevato sono accompagnati da garanzie più estese.

Copia link