Как мне перевыпустить сертификат OpenSSL snakeoil?

15

В свете недавнего фиаско с разбитым сердцем, я тоже пытался повысить безопасность на некоторых серверах. Мой вопрос заключается в том, как переиздать сертификат Snakeoil, поставляемый с Openssl?

Сертификат, который он использует в настоящее время, был выпущен в 2012 году, так что до этого инцидента. Таким образом, похоже, что протокол здесь состоит в том, чтобы переиздать все сертификаты, и я не могу найти информацию о том, как это сделать для snakeoil.

Я единственный, кто использует этот сертификат для PHPmyadmin, так что мне вообще нужно его обновлять?

openssh Фучжоу
источник
2
Вы знаете, почему это называется "змеиный жир"? Клавиши же на всех установках - так там действительно нет необходимости , чтобы воссоздать их в настоящее время . В любом случае: создание новых - это хорошая идея ™.
Гюнтберт,
Моя случайно как-то сломалась. Я не знаю или все равно, как работают SSL-сертификаты. Просто хотел, чтобы мой Postgres начал.
Судо
1
Они не одинаковы, они выданы на имя хоста.
Приостановлено до дальнейшего уведомления.

Ответы:

17

Вы можете использовать этот однострочник для восстановления обоих файлов за один раз. Вам нужно будет перезапустить Apache после повторного создания сертификата.

openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/ssl/private/ssl-cert-snakeoil.key -out /etc/ssl/certs/ssl-cert-snakeoil.pem

Если вас вообще беспокоит безопасность (и вам следует), то вам следует восстановить сертификаты на всех уязвимых критических серверах с последующим полным перезапуском службы или перезагрузкой системы.

Если вы просто запускаете игровую приставку в своей локальной сети, это одно, но все, что у вас есть в Интернете, вам обязательно нужно переиздать.

jkt123
источник
Отлично, спасибо. Доберусь до переиздания, приятно видеть один лайнер.
foochow
1
Поскольку это старый вопрос, но он был вновь поднят: сегодня у нас есть Let's encrypt, который предоставляет бесплатные автоматизированные сертификаты. Там нет причин, чтобы не использовать его, если коробка общается через общедоступный интернет.
Видарло
Круто, исправил это для меня. У Postgres были проблемы с этим.
Судо
1

Здесь я обнаружил, что есть эта команда:

sudo make-ssl-cert generate-default-snakeoil --force-overwrite
Tomeg
источник