Come generare un CSR su Titan SFTP Server

Questo tutorial mostra come generare un CSR su Titan SFTP Server. Il modo in cui si raggiungono gli strumenti per i certificati dipende dalla console di amministrazione utilizzata dalla tua installazione, ed è questo il dettaglio importante da chiarire prima di iniziare.

Le versioni più recenti (la linea NextGen) gestiscono i certificati da una Administrator Console basata su browser, accessibile a un indirizzo come https://your-server:41443. Le installazioni precedenti e quelle gestite tramite desktop utilizzano il classico Titan FTP Server Administrator di Windows. Le due console collocano gli strumenti per i certificati in menu diversi, quindi i passaggi seguenti trattano prima la console browser attuale, poi la console desktop classica in una sezione a parte verso la fine.

In entrambi i casi, la procedura guidata integrata di Titan può produrre un CSR per un certificato pubblicamente attendibile così come un certificato autofirmato per i test, e il certificato che installi serve sia FTPS sia l’interfaccia web HTTPS.

Generare un CSR su Titan SFTP Server

Se hai già generato il tuo CSR e ricevuto il certificato firmato dalla tua CA, passa direttamente a come installare un certificato SSL su Titan SFTP Server.

Hai due opzioni:

• Usa il nostro CSR Generator per creare il CSR e la chiave privata sul tuo computer, poi copia entrambi i file sul server Titan.
• Segui i passaggi seguenti per creare il CSR direttamente in Titan, il che mantiene la chiave privata sul server che la utilizzerà.

Passaggio 1: apri gli strumenti per i certificati

1. Accedi alla Administrator Console di Titan nel tuo browser e seleziona il server che vuoi proteggere nella navigazione a sinistra.
2. Clicca su Services, quindi apri la scheda FTPS/SSL.
3. Clicca su Manage Certificates per aprire l’elenco dei certificati, quindi clicca su New per avviare la procedura guidata per i certificati. (Il pulsante Import accanto serve per caricare un certificato che possiedi già, non per crearne uno.)

Titan mantiene un unico archivio certificati per l’intero server, quindi lo stesso elenco appare sia che tu vi acceda dalla scheda FTPS/SSL sia dalla scheda HTTP/HTTPS. Un certificato creato qui può essere assegnato a entrambi i servizi.

Passaggio 2: compila i dettagli del certificato

La procedura guidata richiede i campi identificativi che compongono il soggetto del certificato. Inseriscili come segue:

• Common Name: il nome di dominio completamente qualificato (FQDN) che i client utilizzano per raggiungere il server, ad esempio ftp.tuosito.com. Per un server FTP, spesso questo non coincide con il nome host del tuo sito web, quindi usa il nome a cui si connettono effettivamente i tuoi utenti FTPS e web. Per un certificato wildcard, inserisci un asterisco davanti al dominio, come in *.tuosito.com.
• Organization: il nome legale completo della tua azienda, ad esempio Tua Azienda Srl. Per un certificato personale o convalidato a livello di dominio, inserisci il nome a cui è registrato il dominio.
• Department (Organizational Unit): il CA/Browser Forum ha eliminato questo campo a settembre 2022, e non è più consentito nei certificati TLS pubblicamente attendibili. Lascialo vuoto; la CA lo eliminerà comunque.
• Locality/City: il nome completo della città in cui ha sede la tua organizzazione, ad esempio San Francisco. Non abbreviarlo.
• State/Province: il nome completo dello stato o della provincia in cui è registrata la tua organizzazione, ad esempio California, scritto per esteso anziché abbreviato.
• Country: seleziona il tuo paese, oppure inserisci il suo codice ISO 3166-1 a due lettere, come US, GB o CA.
• Email Address: un indirizzo di contatto valido. Non ha alcun effetto sul rilascio del certificato, poiché la CA ti contatta tramite i dettagli di contatto del tuo ordine e non tramite il CSR.

Se la procedura guidata mostra i campi Valid From e Valid To, ignorali. Titan mostra date segnaposto, ma è la tua CA a impostare il vero periodo di validità al momento dell’emissione del certificato.

Digita questi campi con attenzione, ma senza preoccuparti eccessivamente. La CA costruisce il soggetto del certificato a partire dai propri registri di convalida, non dal tuo CSR. Su un certificato convalidato a livello di dominio, nessuno dei valori di organizzazione, località o stato compare nel certificato emesso. Su un certificato con convalida dell’organizzazione o con convalida estesa questi valori compaiono, ma solo dopo che la CA li ha confermati rispetto ai registri ufficiali, quindi un errore di battitura qui viene corretto durante la convalida anziché rimanere impresso nel certificato.

Passaggio 3: scegli la lunghezza della chiave

Imposta la lunghezza della chiave prima di generare la richiesta. RSA a 2048 bit è l’impostazione predefinita e il minimo accettato da una CA pubblica, ed è la scelta giusta per la maggior parte dei server FTP. Puoi passare a 3072 o 4096 bit se la tua politica di sicurezza lo richiede, tenendo presente che chiavi RSA più grandi aggiungono tempo all’handshake su un server di trasferimento molto trafficato. Se la tua versione offre ECDSA, questa fornisce chiavi più piccole e handshake più veloci, ma resta sulle curve NIST P-256, P-384 o P-521, poiché nessun’altra curva è ammessa nei certificati pubblicamente attendibili, e scegliela solo se sai che i client che si connettono al tuo server la supportano.

Passaggio 4: proteggi la chiave privata con una password

Se Titan te lo richiede, crea e conferma una password per la chiave privata. Questo cifra il file della chiave a riposo, il che è una buona pratica su un server che accetta connessioni esterne. Registra la password nel tuo gestore di password prima di continuare, perché Titan non può recuperarla e ti verrà richiesta quando importerai il certificato emesso. Se preferisci non impostarne una, lasciando il campo vuoto viene generata una chiave non cifrata.

Passaggio 5: genera il CSR

Nella pagina finale, scegli di inviare il certificato a un CSR per la firma anziché autofirmarlo. L’autofirma produce un certificato che i client non considerano attendibile, il che va bene per i test interni ma non per gli utenti che devono connettersi senza avvisi. Conferma la scelta e salva la richiesta. Titan produce due elementi: il CSR stesso (un file .csr, che invii alla tua CA) e la chiave privata corrispondente (un file .pem), che rimane sul server. A seconda della console, Titan scrive entrambi i file in una cartella a tua scelta oppure offre il CSR per il download mantenendo la chiave sul server, quindi prendi nota di dove finisce ciascun file e assicurati di poter ritrovare la chiave in seguito.

Passaggio 6: invia il CSR alla tua CA

Apri il file CSR con un qualsiasi editor di testo, come il Blocco note, e copia tutto il contenuto, incluse la prima e l’ultima riga:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Incolla quel testo nel campo CSR del modulo d’ordine del tuo fornitore SSL. Quando il modulo chiede quale software server utilizzi, scegli Other, poiché Titan raramente compare nell’elenco con il proprio nome. Prima di inviare, esegui il testo attraverso il nostro CSR Decoder per confermare che il Common Name, il tipo di chiave e la lunghezza della chiave siano risultati come previsto. Individuare un errore a questo punto richiede un minuto; individuarlo dopo l’emissione significa dover richiedere una riemissione.

Lascia la chiave privata dove Titan l’ha salvata. Non viene mai inviata alla CA, deve rimanere sul server, e sarà Titan a puntare ad essa, insieme alla sua password, quando arriverà il certificato firmato. Eseguine anche il backup in un luogo sicuro, seguendo le nostre indicazioni sulla conservazione della chiave privata. Se la chiave viene persa, il certificato emesso diventa inutilizzabile e devi ricominciare con un nuovo CSR.

Generare un CSR nel classico Titan FTP Server Administrator

Se amministri Titan tramite la classica console desktop di Windows anziché tramite la Administrator Console basata su browser, gli strumenti per i certificati si trovano in un menu diverso, ma la procedura guidata raccoglie gli stessi dettagli.

1. Apri Titan FTP Server Administrator e, nel riquadro a sinistra, espandi fino al server che vuoi proteggere ed effettua l’accesso.
2. Espandi Your Domain > Your Server e clicca su Security.
3. Clicca su Certificate Management. Nella finestra Certificate Manager che si apre, clicca su Create.
4. Nella SSL Certificate Wizard, compila gli stessi campi identificativi descritti sopra (Common Name, Organization, Locality/City, State/Province, Country e Email Address), lasciando vuoto il campo obsoleto Department, quindi clicca su Next.
5. Imposta Key Length su 2048 bit (o superiore) e clicca su Next.
6. Crea e conferma una password per proteggere la tua chiave privata, e ricordala per l’installazione.
7. Seleziona Generate CSR for signing by a Trusted Certificate Authority, clicca sul pulsante con i tre puntini per scegliere una cartella per il file .csr e la chiave privata .pem, quindi clicca su OK e chiudi il Certificate Manager.

Da qui la procedura è identica: apri il file .csr, copiane il contenuto e invialo alla tua CA come descritto nel Passaggio 6.