Comment générer un CSR (Certificate Signing Request) sous Linux ?

Introduction

À l’ère numérique d’aujourd’hui, la sécurité des sites Web est devenue un aspect extrêmement important à prendre en compte par les entreprises. La cybercriminalité est en hausse et les attaquants trouvent constamment de nouvelles façons d'exploiter les vulnérabilités des systèmes en ligne. L'un des principaux moyens de protéger les sites Web contre les cybermenaces consiste à mettre en œuvre des certificats SSL/TLS, qui permettent de crypter les données transmises entre le navigateur d'un utilisateur et un serveur Web.

Une demande de signature de certificat (CSR) est un élément essentiel pour l'obtention d'un certificat SSL/TLS. Il contient des informations sur le nom de domaine et l'organisation demandant le certificat, ainsi que d'autres détails requis à des fins de vérification.

Présentation de la génération d'un CSR sous Linux

La génération d'un CSR sous Linux peut être effectuée via diverses méthodes telles que l'utilisation de l'outil de ligne de commande OpenSSL ou d'outils GUI comme Certbot ou Acme.sh, entre autres. Chaque méthode nécessite des étapes spécifiques qui doivent être suivies attentivement afin d'obtenir un CSR valide. Le processus implique généralement la génération d'une clé privée, utilisée pour chiffrer les données envoyées entre le serveur Web et le navigateur, créant une demande de signature de certificat (CSR), qui comprend des informations sur le propriétaire du site Web et le nom de domaine, entre autres détails requis par les autorités de certification pour la validation. fins.

en soumettant votre fichier de demande contenant votre code rse à vos fournisseurs d'AC préférés comme ComodoSSL.com ou DigiCert.com qui valideront votre demande de soumission avant de vous délivrer un certificat SSL/TLS. Dans cet article, nous nous concentrerons sur la génération de CSR à l'aide de l'outil de ligne de commande OpenSSL sous Linux.

Se préparer à générer un CSR sous Linux

Prérequis pour générer un CSR

Avant de générer un CSR sous Linux, certains prérequis doivent être remplis. La première exigence est d’avoir un accès root au serveur.

Cela vous permet de disposer des privilèges nécessaires pour modifier les fichiers système critiques et exécuter des commandes avec des droits d'administrateur. De plus, vous devez avoir installé OpenSSL sur votre système.

Vérifier si OpenSSL est installé sur votre système

Pour vérifier si OpenSSL est déjà installé sur votre système, vous pouvez utiliser l'interface de ligne de commande (CLI) ou des outils GUI tels que Synaptic Package Manager ou Ubuntu Software Center. Pour vérifier à l'aide de la CLI, exécutez la commande suivante -

openssl version

Cela affichera la version d'OpenSSL installée sur votre système. S'il renvoie une erreur indiquant que la commande openssl est introuvable, cela signifie qu'OpenSSL n'est pas installé.

Alternativement, vous pouvez utiliser le gestionnaire de packages spécifique à votre distribution (par exemple, APT pour Ubuntu) en exécutant -

sudo apt-get install openssl

Cela installe OpenSSL avec ses dépendances. Une fois installé, vous pouvez vérifier qu'il a été correctement installé en vérifiant à nouveau sa version à l'aide de `openssl version`.

Avant de générer un CSR sous Linux, assurez-vous que vous disposez d'un accès root et que vous avez installé OpenSSL sur votre système en suivant les étapes ci-dessus. Il est crucial de répondre à ces exigences, car sans elles, la génération d'un CSR ne réussira pas et peut avoir un impact significatif sur la sécurité du site Web.

Générer un CSR à l'aide de l'outil de ligne de commande OpenSSL

Générer une demande de signature de certificat (CSR) est une étape cruciale dans le processus d'obtention d'un certificat SSL/TLS pour votre site Web. L'un des outils les plus couramment utilisés pour générer un CSR sous Linux est l'outil de ligne de commande OpenSSL. Cet outil vous permet de créer une nouvelle clé privée et CSR, toutes deux à l'aide d'une simple commande.

Instructions étape par étape

Pour générer un CSR à l'aide d'OpenSSL, suivez ces étapes -

Ouvrez la fenêtre de votre terminal et exécutez la commande suivante -

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr

Cette commande crée une nouvelle clé privée avec un cryptage de 2048 bits et génère en même temps un nouveau CSR.

Vous serez invité à saisir certaines informations sur votre organisation, telles que le code du pays, l'état/province, la ville/localité, le nom de l'organisation et le nom commun (nom de domaine). Vous pouvez laisser certains champs vides en appuyant sur Entrée si vous ne souhaitez pas fournir certaines informations.

You are about to be asked to enter information that will be incorporated into your certificate request. 

What you are about to enter is what is called a Distinguished Name or a DN. 
There are quite a few fields but you can leave some blank For some fields there will be a default value, 
If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:US 
State or Province Name (full name) [Some-State]:California Locality Name (eg, city) []:San Francisco 
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Company Ltd. Organizational Unit Name (eg, section) []: 
Common Name (e.g. server FQDN or YOUR name) []:example.com Email Address []:

Après avoir fourni toutes les informations requises, l'outil générera deux fichiers dans votre répertoire actuel - "example.com.key" et "example.com.csr". La première est votre clé privée et la seconde est votre CSR.

Expliquer chaque option utilisée dans la commande

Examinons maintenant de plus près chaque option utilisée dans la commande OpenSSL : - req : Cela indique à OpenSSL de créer un nouveau CSR.

nouveau - Cela indique à OpenSSL que nous souhaitons générer un nouveau CSR au lieu d'utiliser un existant.
newkey rsa:2048 - Cela indique à OpenSSL de créer une nouvelle clé privée RSA avec un cryptage de 2048 bits.
nœuds - Cela indique à OpenSSL de ne pas chiffrer la clé privée. En d’autres termes, il crée une clé privée non chiffrée (texte clair).
keyout example.com.key - Ceci spécifie l'endroit où vous souhaitez enregistrer votre clé privée. Remplacez « exemple.com » par votre nom de domaine réel.
out example.com.csr - Ceci spécifie où vous souhaitez enregistrer votre CSR. Encore une fois, remplacez « exemple.com » par votre nom de domaine réel.

Erreurs courantes à éviter

Voici quelques erreurs courantes que vous devez éviter lors de la génération d'un CSR à l'aide d'OpenSSL -

Une faute de frappe concernant votre organisation peut entraîner des erreurs lors d'une demande ultérieure de certificat SSL/TLS. Assurez-vous de saisir tous les champs obligatoires avec précision et de revérifier avant de soumettre.
Oublier d'inclure ou de mal saisir une adresse e-mail peut entraîner des retards dans la réception de notifications importantes concernant le statut de votre demande de certificat SSL/TLS ou la date d'expiration.
L’utilisation d’un cryptage faible pour votre clé privée (moins de 2 048 bits) peut compromettre la sécurité de votre site Web et permettre aux pirates de voler les données sensibles des utilisateurs.
Utilisez toujours un cryptage fort pour une sécurité maximale.

Générer un CSR à l'aide des outils GUI (facultatif)

Bien que la génération d'un CSR via la ligne de commande soit la méthode la plus courante, certains utilisateurs peuvent trouver plus pratique d'utiliser des outils d'interface utilisateur graphique (GUI). Il existe différents outils GUI disponibles qui peuvent être utilisés pour générer un CSR sous Linux.

Mentionnez quelques outils GUI qui peuvent être utilisés pour générer

OpenSSL Certificate Manager - Cet outil fait partie du package OpenSSL et fournit une interface graphique pour gérer les certificats, y compris la génération de CSR. Il est disponible sur la plupart des distributions Linux et offre une interface facile à utiliser pour créer des CSR.
XCA - Il s'agit d'un outil de gestion de certificats et de clés open source qui prend en charge la création de certificats SSL/TLS, y compris les CSR.
Il offre des fonctionnalités avancées telles que des modèles de certificats, la sauvegarde des clés, la prise en charge de la révocation, etc.
Keytool IUI -Si vous recherchez un outil basé sur Java pour générer des CSR sous Linux, alors Keytool IUI pourrait être votre meilleur choix.

Il utilise l'utilitaire de ligne de commande Java Keytool sous le capot mais offre une interface utilisateur graphique intuitive avec plusieurs fonctionnalités utiles.

Conclusion

Générer un CSR sous Linux est une étape cruciale pour sécuriser votre site Web avec des certificats SSL/TLS. Bien qu'il existe différentes méthodes pour ce faire, l'utilisation de l'outil de ligne de commande OpenSSL reste le choix le plus populaire en raison de sa simplicité et de son efficacité.

Si vous êtes nouveau sur Linux ou si vous n'êtes pas à l'aise avec l'interface de ligne de commande, l'utilisation de l'un des outils GUI mentionnés ci-dessus peut vous faciliter la tâche.