Cum se generează un CSR pe Titan SFTP Server

Acest tutorial vă arată cum să generați un CSR pe Titan SFTP Server. Modul în care ajungeți la instrumentele de certificate depinde de consola de administrare pe care o folosește instalarea dvs., iar acesta este detaliul important de clarificat înainte de a începe.

Versiunile recente (linia NextGen) gestionează certificatele dintr-o Consolă de Administrare bazată pe browser, pe care o deschideți la o adresă precum https://your-server:41443. Instalările mai vechi și cele gestionate desktop folosesc clasicul Titan FTP Server Administrator pentru Windows. Cele două console plasează instrumentele de certificate sub meniuri diferite, așa că pașii de mai jos acoperă mai întâi consola actuală bazată pe browser, apoi consola desktop clasică, într-o secțiune separată, spre final.

Oricum ar fi, expertul integrat al Titan poate produce un CSR pentru un certificat de încredere publică, precum și un certificat autosemnat pentru testare, iar certificatul pe care îl instalați deservește atât FTPS, cât și interfața web HTTPS.

Generați un CSR pe Titan SFTP Server

Dacă ați generat deja CSR-ul și ați primit certificatul semnat de la CA, treceți direct la instalarea unui certificat SSL pe Titan SFTP Server.

Aveți două opțiuni:

• Folosiți Generatorul CSR pentru a crea CSR-ul și cheia privată pe propriul calculator, apoi copiați ambele fișiere pe serverul Titan.
• Urmați pașii de mai jos pentru a crea CSR-ul direct în Titan, ceea ce păstrează cheia privată pe serverul care o va folosi.

Pasul 1: Deschideți instrumentele de certificate

1. Conectați-vă la Consola de Administrare Titan din browser și selectați serverul pe care doriți să-l securizați din navigarea din stânga.
2. Faceți clic pe Services, apoi deschideți fila FTPS/SSL.
3. Faceți clic pe Manage Certificates pentru a deschide lista de certificate, apoi pe New pentru a porni expertul de certificate. (Butonul alăturat Import servește la încărcarea unui certificat pe care îl aveți deja, nu la crearea unuia nou.)

Titan păstrează un singur depozit de certificate pentru întregul server, astfel încât aceeași listă apare indiferent dacă o accesați din fila FTPS/SSL sau din fila HTTP/HTTPS. Un certificat creat aici poate fi atribuit oricăruia dintre servicii.

Pasul 2: Completați detaliile certificatului

Expertul solicită câmpurile de identitate care compun subiectul certificatului. Introduceți-le astfel:

• Common Name: numele de domeniu complet calificat (FQDN) pe care clienții îl folosesc pentru a ajunge la server, de exemplu ftp.yoursite.com. Pentru un server FTP, acesta nu este adesea același nume de gazdă ca al site-ului dvs. web, așa că folosiți numele la care se conectează efectiv utilizatorii dvs. FTPS și web. Pentru un certificat wildcard, puneți un asterisc în fața domeniului, ca în *.yoursite.com.
• Organization: denumirea legală completă a companiei dvs., de exemplu Your Company LLC. Pentru un certificat personal sau validat la nivel de domeniu, introduceți numele pe care este înregistrat domeniul.
• Department (Unitate Organizațională): CA/Browser Forum a retras acest câmp în septembrie 2022, iar acesta nu mai este permis în certificatele TLS de încredere publică. Lăsați-l necompletat; CA îl va elimina oricum.
• Locality/City: numele complet al orașului în care se află organizația dvs., de exemplu San Francisco. Nu îl abreviați.
• State/Province: numele complet al statului sau provinciei în care este înregistrată organizația dvs., de exemplu California, scris în întregime, nu abreviat.
• Country: selectați țara dvs. sau introduceți codul ISO 3166-1 din două litere, precum US, GB sau CA.
• Email Address: o adresă de contact validă. Nu are efect asupra emiterii, deoarece CA vă contactează prin datele de contact din comanda dvs., nu prin CSR.

Dacă expertul afișează câmpurile Valid From și Valid To, ignorați-le. Titan afișează date de tip substituent (placeholder), dar CA-ul dvs. stabilește perioada reală de valabilitate la emiterea certificatului.

Completați aceste câmpuri cu atenție, dar fără să vă faceți griji excesive. CA construiește subiectul certificatului din propriile înregistrări de validare, nu din CSR-ul dvs. La un certificat validat la nivel de domeniu, niciuna dintre valorile organizației, localității sau statului nu apare deloc în certificatul emis. La un certificat cu validare organizațională sau cu validare extinsă, acestea apar, dar numai după ce CA le confirmă în raport cu înregistrările oficiale, astfel încât o greșeală de scriere aici este corectată în procesul de validare, nu rămâne fixată în certificat.

Pasul 3: Alegeți dimensiunea cheii

Stabiliți lungimea cheii înainte de a genera solicitarea. RSA de 2048 de biți este valoarea implicită și minimul pe care îl va accepta o CA publică, fiind alegerea potrivită pentru majoritatea serverelor FTP. Puteți trece la 3072 sau 4096 de biți dacă politica dvs. de securitate o impune, ținând cont că cheile RSA mai mari adaugă timp la handshake pe un server de transfer aglomerat. Dacă versiunea dvs. oferă ECDSA, aceasta produce chei mai mici și handshake-uri mai rapide, dar rămâneți la curbele NIST P-256, P-384 sau P-521, deoarece nicio altă curbă nu este permisă în certificatele de încredere publică, și alegeți-o doar dacă știți că aplicațiile client care se conectează la serverul dvs. o acceptă.

Pasul 4: Protejați cheia privată cu o parolă

Dacă Titan vă solicită acest lucru, creați și confirmați o parolă pentru cheia privată. Aceasta criptează fișierul cheii în repaus, ceea ce reprezintă o practică bună pe un server care acceptă conexiuni externe. Notați parola în managerul dvs. de parole înainte de a continua, deoarece Titan nu o poate recupera și vi se va solicita atunci când importați certificatul emis. Dacă preferați să nu setați una, lăsând câmpul necompletat veți obține o cheie necriptată.

Pasul 5: Generați CSR-ul

Pe pagina finală, alegeți să trimiteți certificatul la un CSR pentru semnare, nu să-l autosemnați. Autosemnarea produce un certificat în care aplicațiile client nu au încredere, ceea ce este în regulă pentru testare internă, dar nu pentru utilizatorii care trebuie să se conecteze fără avertismente. Confirmați alegerea și salvați solicitarea. Titan produce două elemente: CSR-ul propriu-zis (un fișier .csr, pe care îl trimiteți la CA-ul dvs.) și cheia privată corespunzătoare (un fișier .pem), care rămâne pe server. În funcție de consolă, Titan fie scrie ambele fișiere într-un folder ales de dvs., fie oferă CSR-ul pentru descărcare, păstrând cheia pe server, așa că notați unde ajunge fiecare fișier și asigurați-vă că puteți găsi din nou cheia.

Pasul 6: Trimiteți CSR-ul la CA-ul dvs.

Deschideți fișierul CSR cu orice editor de text, cum ar fi Notepad, și copiați totul, inclusiv prima și ultima linie:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Lipiți acel text în câmpul CSR din formularul de comandă al furnizorului dvs. SSL. Când formularul întreabă ce software de server folosiți, alegeți Other, deoarece Titan este rareori listat cu numele exact. Înainte de a trimite, verificați textul cu Decodorul CSR pentru a confirma că numele comun, tipul cheii și dimensiunea cheii au rezultat așa cum ați intenționat. Depistarea unei greșeli aici durează un minut; depistarea ei după emitere înseamnă o reemitere.

Lăsați cheia privată acolo unde a salvat-o Titan. Ea nu ajunge niciodată la CA, trebuie să rămână pe server, iar când sosește certificatul semnat, veți indica Titan către aceasta, împreună cu parola ei. Faceți-i și o copie de siguranță într-un loc sigur, urmând recomandările noastre privind stocarea cheii private. Dacă cheia se pierde, certificatul emis devine inutilizabil și trebuie să reluați procesul cu un CSR nou.

Generarea unui CSR în clasicul Titan FTP Server Administrator

Dacă administrați Titan prin consola desktop clasică pentru Windows, nu prin Consola de Administrare bazată pe browser, instrumentele de certificate se află sub un meniu diferit, dar expertul colectează aceleași detalii.

1. Deschideți Titan FTP Server Administrator și, în panoul din stânga, extindeți până la serverul pe care doriți să-l securizați, apoi autentificați-vă.
2. Extindeți Your Domain > Your Server și faceți clic pe Security.
3. Faceți clic pe Certificate Management. În fereastra Certificate Manager care se deschide, faceți clic pe Create.
4. În SSL Certificate Wizard, completați aceleași câmpuri de identitate descrise mai sus (Common Name, Organization, Locality/City, State/Province, Country și Email Address), lăsând necompletat câmpul învechit Department, apoi faceți clic pe Next.
5. Setați Key Length la 2048 de biți (sau mai mult) și faceți clic pe Next.
6. Creați și confirmați o parolă pentru a proteja cheia privată și rețineți-o pentru instalare.
7. Selectați Generate CSR for signing by a Trusted Certificate Authority, faceți clic pe butonul cu cele trei puncte pentru a alege un folder pentru fișierul .csr și cheia privată .pem, apoi faceți clic pe OK și închideți Certificate Manager.

De aici procesul este identic: deschideți fișierul .csr, copiați conținutul acestuia și trimiteți-l la CA-ul dvs., așa cum este descris la Pasul 6.