Întrebări frecvente

Puteți verifica integritatea unui certificat SSL și a unei perechi de chei private cu ajutorul aplicației
OpenSSL
și liniile de comandă ale acestuia.

Procesul constă în patru etape:

1. Verificați dacă cheia privată nu a fost modificată.
2. Verificați dacă valoarea modulului se potrivește cu cheia privată și cu perechea de certificate SSL
3. Efectuați cu succes criptarea cu cheia publică din certificat și decriptarea cu cheia privată
4. Confirmă integritatea fișierului, care este semnat cu cheia privată

Verificarea integrității cheii private

Executați următoarea comandă: openssl rsa -in [key-file .key] -check -noout

Iată un exemplu de cheie privată coruptă:

Alte erori care rezultă dintr-o cheie modificată/contrafăcută sunt enumerate mai jos:

• Eroare cheie RSA: p nu este prim
• Eroare de cheie RSA: n nu este egal cu p q
• Eroare cheie RSA: d e nu este congruent cu 1
• Eroare cheie RSA: dmp1 nu este congruent cu d
• Eroare cheie RSA: iqmp nu este inversul lui q

Dacă ați întâlnit una dintre erorile de mai sus, cheia privată a fost modificată și este posibil să nu funcționeze cu cheia publică. Luați în considerare crearea unei noi chei private și solicitarea unui certificat de înlocuire.

Iată un exemplu de cheie privată care respectă integritatea:

Verificați dacă valoarea modulului se potrivește cu cheia privată și cu perechea de certificate SSL

Dacă preferați să nu rulați comenzile, lipiți ambele fișiere în Comparator certificat și cheie și citiți rezultatul.

Notă:

Modulul cheii private și al certificatului trebuie să corespundă exact.

Pentru a vizualiza modulul certificatului, executați comanda:

openssl x509 -noout -modulus -in [certificate-file .cer]

Pentru a vizualiza modulul cheii private Modulus, executați comanda:

openssl rsa -noout -modulus -in [key-file .key]

Criptarea cu cheia publică de la și decriptarea cu cheia privată

1. Obțineți cheia publică din certificat:

openssl x509 -in [certificate-file .cer] -noout -pubkey > certificatefile.pub.cer

2. Criptați conținutul fișierului test.txt utilizând cheia publică

Creați un nou fișier numit test.txt (puteți folosi Notepad) cu conținutul „test de mesaj”. Executați următoarea comandă pentru a crea un mesaj criptat în fișierul cipher.txt.

openssl rsautl -encrypt -in test.txt -pubin -inkey certificatefile.pub.cer -out cipher.txt

3.Decriptarea dincipher.txt utilizând cheia privată
Executați următoarea comandă pentru a decripta conținutul cipher.txt.

openssl rsautl -decrypt -in cipher.txt -inkey [key-file .key]

Asigurați-vă că puteți decripta conținutul fișierului cipher.txt în terminalul dvs. Ieșirea din terminal trebuie să corespundă conținutului din fișierul test.txt.

În cazul în care conținutul nu se potrivește, cheia privată a fost falsificată și este posibil să nu funcționeze cu cheia dumneavoastră publică. Luați în considerare crearea unei noi chei private și solicitarea unui certificat de înlocuire. Iată un exemplu de mesaj decriptat:

4. Confirmați integritatea fișierului semnat cu cheia privată

Rulați următoarea comandă pentru a semna fișierul test.sig și test.txt cu cheia dvs. privată:

openssl dgst -sha256 -sign [key-file .key] -out test.sig test.txt

Acum, verificați fișierele semnate cu cheia dvs. publică extrasă la pasul 1.

openssl dgst -sha256 -verify certificatefile.pub.cer -signature test.sig test.txt

Asigurați-vă că ieșirea din terminal este exact ca în exemplul de mai jos:

În cazul în care cheia dvs. privată este falsificată, veți primi următorul mesaj:

În acest caz, trebuie să creați o nouă cheie privată și să solicitați un certificat de înlocuire.

Sursa: Baza de cunoștințe Digicert’s Knowledge Base

Copiați link-ul

În directorul ~/public de pe serverul dvs., s-ar putea să găsiți folderul .well-known. URI-urile bine cunoscute sunt identificatori de resurse uniforme pentru servicii sau informații bine cunoscute, disponibile în mod constant pe toate serverele la adresele URL.

Unele servere creează automat folderul .well-known , dar uneori este posibil să fie necesar să îl adăugați manual. Acest director acționează ca un protocol bazat pe web pentru a prelua metadatele site-ului despre o gazdă înainte de a face o cerere.

Pentru ce este folosit folderul .well-known?

Atunci când comandați un certificat SSL, trebuie să dovediți că sunteți proprietarul domeniului ca parte a DCV. Dacă alegeți metoda HTTP/HTTPS, va trebui să creați directorul .well-known, folderul în care trebuie să încărcați un fișier TEXT pentru ca autoritatea de certificare să analizeze și să aprobe cererea SSL.

Fișierul ar trebui să fie accesibil prin intermediul unui link de pe un site web live. După ce adăugați fișierul de validare, sistemul CA crawler va scana site-ul dvs. web și va căuta fișierul. După ce îl găsește, ar trebui să treceți de validarea domeniului în câteva minute.

Copiați link-ul

Pentru a crea folderul bine-cunoscut, veți avea nevoie de acces la serverul dvs. prin intermediul unui client SFTP, al unui panou de control de găzduire web sau prin orice alt mijloc adecvat. Iată cum să creați folderul .well-known pe cele mai cunoscute platforme:

Cum se creează dosarul .well-known pe serverele bazate pe Linux?

Instrucțiunile de mai jos sunt valabile pentru serverele Ubuntu, Debian și CentOS.

1. Mergeți la directorul rădăcină al site-ului dvs.
2. Creați un director numit „.well-known”
3. În interiorul acestuia, creați un alt folder numit „pki-validation”
4. Încărcați fișierul TXT în directorul „pki-validation”.

Cum se creează folderul .well-known în cPanel?

1. Autentificați-vă în WHM sau săriți acest pas dacă nu aveți WHM
2. Localizați și conectați-vă la contul cPanel pentru numele de domeniu.
3. Faceți clic pe „File Manager”
4. Alegeți opțiunea „Web Root (public_html/www)” și faceți clic pe „Go”.
5. Creați un nou dosar numit .well-known
6. În interiorul acelui dosar, creați un alt dosar numit: pki-validation
7. Încărcați fișierul TXT în folderul pki-validation

Cum se creează dosarul .well-known în Plesk?

1. Utilizați opțiunea File Manager și accesați secțiunea Files (Fișiere) din meniul din dreapta.
2. Ar trebui să creați folderul.well-known în folderul rădăcină implicit al documentului pentru domeniul dumneavoastră, care în Plesk este httpdocs.
3. Pentru a crea dosarul, selectați New (Nou), apoi Create Directory (Creare director).
4. În interiorulfolderului .well-known, creați subfolderul pki-validation .
5. Utilizați butonul Upload (Încărcare ) pentru a adăuga fișierul TXT de validare în folderul pki-validation.

Cum se creează dosarul .well-known în serverele Windows IIS?

Serverele bazate pe Windows nu vă permit să puneți un punct în numele unui dosar, de aceea trebuie să urmați acești pași:

1. Mergeți la unitatea C:.
2. Creați un nou dosar numit bine-cunoscut
3. În interiorul folderului cunoscut, creați un alt folder numit pki-validation.
   Până acum, dosarele dvs. ar trebui să arate astfel: C:well-knownpki-validation
4. Încărcați fișierul TXT în dosarul pki-validation
5. Deschideți IIS Manager pe serverul dumneavoastră
6. Faceți clic dreapta pe site-ul dvs. și selectați Add Virtual Directory
7. În secțiunea Alias scrieți .well-known
8. În zona Calea psihică introduceți calea către folderul bine cunoscut. De exemplu:
   C:bine-cunoscut
9. Apăsați OK pentru a crea acest alias

Cum se creează un dosar .well-known în WordPress?

Puteți crea un dosar .well-known în WordPress în trei moduri diferite.

1. Utilizarea unui plugin special
2. Prin panoul de găzduire web
3. Printr-un client SFTP, cum ar fi FileZilla

Nu vă recomandăm să utilizați un plugin, deoarece acesta poate cauza probleme de compatibilitate și securitate în timp. În schimb, utilizați instrucțiunile noastre de mai sus pentru a crea folderul .well-known în cPanel, cel mai popular panou de găzduire.

Dacă nu aveți cPanel, utilizați un client SFTP. Conectați-vă la serverul dvs. și căutați directorul .well-knwon în folderul ~/public. Dacă nu se află acolo, faceți clic dreapta pe folderul public, alegeți Create directory (Creați un director ) și denumiți noul director .well-known (bine-cunoscut).

Cum se creează un dosar .well-known în AWS?

1. Utilizați comanda bash pentru a crea dosarul .well-known.folder în instanța AWS EC2:
   mkdir -p .well-known/pki-validation
2. Puneți fișierul de validare în subfolderul pki-validation:
   nano .well-known/pki-validation/HashFileName.txt

Cum se creează .well-known în macOS X Server?

Conectați-vă la server prin intermediul clientului FTP încorporat sau al interfeței de linie de comandă.

FTP

1. Apăsați Command+K
2. În fereastra Connect to Server (Conectare la server ), introduceți adresa serverului FTP. De exemplu, ftp://ftp.yourdomain.com. Faceți clic pe conectare.
3. Apoi, introduceți numele de utilizator și parola FTP și apăsați din nou Connect.
4. Găsiți directorul rădăcină al domeniului dumneavoastră.
5. Creați un director numit .well-known
6. În interiorul. binecunoscut, creați un alt dosar numit pki-validation.
7. Încărcați fișierul TXT în interiorul directorului pki-validation

Interfața liniei de comandă

Puteți utiliza SSH și protocolul Secure Copy pentru a încărca fișierul TXT.

scp AC3E5D6D6I8G12935LSJEIK.txt

your_username@hostname:tld://Library/WebServer/Documents/.well-known/pki-validation

Unde „AC3E5D6D6I8G12935LSJEIK.txt” este numele fișierului de validare, „your_username” este numele de utilizator al contului dvs. de server, „hostname.tld” este numele de gazdă al serverului Mac OSX și „/Library/WebServer/Documents/” este directorul implicit al dosarului rădăcină al documentului.

Pentru toate tipurile de servere, dacă ați făcut totul corect, ar trebui să puteți deschide următorul URL și să vedeți codul hash împreună cu „comodoca.com” în orice browser web:

http://mywebsite.com/.well-known/pki-validation/HashFileName.txt

Copiați link-ul

Da, puteți vedea ce informații include CSR-ul dumneavoastră, utilizând instrumentul nostru CSR. Acesta face un proces care este opus criptării.

Copiați link-ul

Se emite imediat un CSR. Acesta vă va fi emis imediat ce completați generatorul de CSR SSL de mai sus.

Copiați link-ul

Indiferent dacă introduceți accidental sau intenționat unele informații incorecte în timp ce utilizați instrumentul de generare a CSR, CSR și cheia privată vă vor fi emise imediat. Cu toate acestea, odată ce utilizați codul CSR pentru a solicita un certificat SSL, este posibil să vi se elibereze sau nu un certificat SSL. Autoritatea de Certificare are dreptul de a aproba sau de a refuza emiterea certificatului SSL dacă ați introdus informații incorecte despre dumneavoastră și compania dumneavoastră.

Dacă vă dați seama că ați introdus informații incorecte în timpul generării CSR-ului, trebuie pur și simplu să puneți deoparte, să ignorați sau să ștergeți CSR-ul și cheia privată existente. După aceea, ar trebui să generați un nou cod CSR (care va genera automat și o nouă cheie privată), folosind informații corecte despre dumneavoastră și despre compania dumneavoastră. Folosiți CSR-ul mai nou atunci când solicitați un certificat SSL, iar apoi cheia privată mai nouă atunci când instalați certificatul SSL pe site-ul și serverul dumneavoastră.

Copiați link-ul

CSR-ul conține următoarele informații criptate: țara, statul, orașul/localitatea dumneavoastră, numele organizației, departamentul din cadrul organizației, numele de domeniu pentru care doriți să se emită certificatul SSL și adresa de e-mail la care vor fi trimise codul CSR și cheia privată după ce ambele vor fi generate.

Copiați link-ul

Un certificat SSL Multi-Domain Wildcard este creat special pentru a permite utilizatorilor să securizeze mai multe domenii și subdomenii folosind un singur certificat SSL.

NOTĂ #1: Orice certificat SSL Wildcard multidomeniu trebuie să înceapă cu un domeniu fără Wildcard. Aceasta înseamnă că, de fiecare dată când configurați și solicitați un certificat SSL Wildcard Multi-Domain Wildcard, trebuie să generați un CSR (Certificate Signing Request) pentru un singur domeniu (cum ar fi: example.com), fără niciun semn asterisc „*”. Aceasta este o cerință care vine din partea autorităților de certificare. Toate SAN-urile suplimentare (al doilea, al treilea, al patrulea domeniu) pot fi domenii Wildcard.

De exemplu, un certificat SSL Multi-Domain Wildcard, care are 3 SAN (4 domenii) în mod implicit, vă permite să securizați următoarele:

1. Un domeniu principal și mai multe domenii Wildcard:
   1. example.com – inclus în CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mysite.com
   4. *.abcxyz.com
2. Un domeniu principal și mai multe domenii Wildcard (cu subdomenii de nivel 1 și 2):
   1. example.com – inclus în CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mob.example.com
   4. *.mysite.com
3. Mai multe domenii și mai multe domenii Wildcard (cu subdomenii de nivel 1 și 2):
   1. example.com – inclus în CSR (Certificate Signing Request)
   2. *.example.com
   3. mysite.com
   4. *.mob.mysite.com

NOTA 2: Dacă adăugați un element SAN precum *.domain.com, veți proteja subdomeniile nelimitate ale acestuia, dar nu și domeniul principal. De exemplu, dacă doriți să securizați două domenii și toate subdomeniile acestora, trebuie să configurați SSL-ul în următorul format:

1. domain.com – inclus în CSR (Certificate Signing Request)
2. *.domain.com
3. mysite.com
4. *.mysite.com

Puteți adăuga subdomenii la serverul dvs. și acestea vor fi acoperite automat de certificatul Wildcard SSL. Nu este nevoie să reemiteți certificatul Wildcard SSL de fiecare dată când adăugați subdomenii la acesta. Subdomeniile nou adăugate vor fi acoperite automat de certificatul Wildcard SSL.

Copiați link-ul

„Certificat SSL” înseamnă „Certificat Security Socket Layers”. Acest protocol a fost creat pentru a proteja datele care circulă între două mașini prin criptarea datelor.

Toate informațiile de pe internet sunt transferate de la o locație la alta sub forma limbajului HTTP (Hyper Text Transfer Protocol). Dar HTTP este neprotejat și este susceptibil la șmecherii și hoții de pe internet. De aceea, certificatele SSL au fost dezvoltate pentru a proteja informațiile care circulă pe internet.

Este posibil să știți despre certificatele SSL după unele lucruri obișnuite pe care le vedeți în browserul dumneavoastră: lacătul, „HTTPS” pe fila browserului (atunci când HTTP este protejat de SSL, acesta moștenește litera „S”).

Toate acestea sunt indicii că site-ul web pe care îl utilizați are criptare SSL și că informațiile sale sunt protejate împotriva atacurilor cibernetice.

Copiați link-ul

Garanția unui certificat SSL este o asigurare care acoperă orice daune pe care le puteți suferi ca urmare a unei încălcări a securității datelor sau a unui hacker care a fost cauzată de un defect al certificatului. Garanțiile SSL au o valoare cuprinsă între 5.000 și 1.500.000 de dolari. Acest lucru înseamnă că certificatele de valoare mai mare sunt însoțite de garanții mai extinse.

Copiați link-ul