Разработчикам

Как получить PEM файлы для установки собственного SSL-сертификата?

RSS

Как получить PEM файлы для установки собственного SSL-сертификата?, Comodo

Пользователь 1703755

Посетитель

Сообщений: 51 Баллов: 5 Регистрация: 26.01.2018

17.03.2018 11:17:11

Добрый день!

Как получить PEM файлы для установки собственного SSL-сертификата?

Есть Comodo PositiveSSL.

Имеются файлы:

Код
AddTrustExternalCARoot.crt COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt domain.com.key domain_com.crt

Требования по установке собственного SSL-сертификата для BitrixVM 7.2.2 гласят (https://dev.1c-bitrix.ru/support/forum/forum32/topic103555/):

Код
The certificate, private key, and certificate chain must all be PEM-encoded /ssl/test1.bx.key.pem /ssl/test1.bx.cert.pem /ssl/test1.bx.ca-chain.cert.pem

Правильно ли я получаю PEM файлы?

Код

cat AddTrustExternalCARoot.crt COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt > domain.com.ca-chain.cert.pem
cat domain_com.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > domain.com.cert.pem
cat domain.com.key domain_com.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > domain.com.key.pem

Пользователь 136059

Гуру

Сообщений: 5443 Баллов: 649 Регистрация: 16.07.2012

17.03.2018 16:41:31

Могу ошибаться (каждый раз вспонимаю как это делается), но:

1) COMODO вроде как уже сразу выдает сертификаты в PEM, только называются они .crt / .key
Поэтому файлы сертификата и ключа получаются переименованием:

domain_com.crt > /ssl/test1.bx.cert.pem
domain.com.key > /ssl/test1.bx.key.pem

2) А вот промежуточные сервера нужно комплировать от самого первого к последнему (или наоборот)

AddTrustExternalCARoot.crt + COMODORSAAddTrustCA.crt + COMODORSADomainValidationSecureServerCA.crt

Правильность сборки вам покажет:
1) Nginx (он не запустится если ключ или сертификат будут не верны)
2) https://www.sslshopper.com/ssl-checker.html - он скажет что ошиблись в последовательности, если что
3) https://cryptoreport.websecurity.symantec.com/checker/
4) https://www.ssllabs.com/ssltest/

Прогоняем по всем - и вуаля)

Голосуй за идеи по развитию API Bitrix:
https://idea.1c-bitrix.ru/26707/
https://idea.1c-bitrix.ru/26709/
https://idea.1c-bitrix.ru/the-local-extension-folder-js/

Пользователь 1703755

Посетитель

Сообщений: 51 Баллов: 5 Регистрация: 26.01.2018

17.03.2018 17:47:45

Сделал:
1) Просто переименовал файлы .key и .crt в domain.com.key.pem и domain_com..cert.pem соответственно.
2) Цепочку сертификатов создал из файлов COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt AddTrustExternalCARoot.crt > domain.com.ca-chain.cert.pem (https://support.comodo.com/index.php?/Knowledgebase/Article/View/1145/1/how-do-i-make-my-own-bundle-...)
2) В меню виртуальной машины указал пути к файлам, задача в итоге завершилась успешно.

Результат:
1) В браузере строка зеленая.
2) Проверка sslshopper.com ругается на цепочку сертификатов

The certificate is not trusted in all web browsers. You may need to install an Intermediate/chain certificate to link it to a trusted root certificate. Learn more about this error. You can fix this by following Comodo's Certificate Installation Instructions for your server platform (use these instructions for InstantSSL). Pay attention to the parts about Intermediate certificates.

Пользователь 1703755

Посетитель

Сообщений: 51 Баллов: 5 Регистрация: 26.01.2018

17.03.2018 17:56:54

Промежуточные сертификаты формируются так:

cat COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > PositiveSSL.ca-bundle

Пробовал и этот вариант, обновил настройки BitrixVM.

Но результат тот же. Путь сертификации пустой.

Пользователь 1703755

Посетитель

Сообщений: 51 Баллов: 5 Регистрация: 26.01.2018

17.03.2018 18:07:02

cat domain_com.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > PositiveSSL.ca-bundle

cat AddTrustExternalCARoot.crt COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt > domain.com.ca-chain.cert.pem

cat COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt AddTrustExternalCARoot.crt > domain.com.ca-chain.cert.pem

Тоже не работает.

Пользователь 324803

Заглянувший

Сообщений: 11 Баллов: 1 Регистрация: 17.06.2016

19.03.2018 00:42:23

Цитата
cat файл.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > сертификат.pem

пробуйте

Пользователь 136059

Гуру

Сообщений: 5443 Баллов: 649 Регистрация: 16.07.2012

19.03.2018 07:58:58

Александр Ким, проверьте ссылкой симантека - он скажет какой лишний, а какие отсуствуют. Комодо иногда лишние поикладывает (не обязательно все сертификаты должны быть, там в цепочке дело)

Голосуй за идеи по развитию API Bitrix:
https://idea.1c-bitrix.ru/26707/
https://idea.1c-bitrix.ru/26709/
https://idea.1c-bitrix.ru/the-local-extension-folder-js/

Пользователь 35902

Заглянувший

Сообщений: 18 Баллов: 2 Регистрация: 15.01.2009

19.03.2018 08:32:23

Формат pem для понимания:

Код

 -----BEGIN RSA PRIVATE KEY-----
(Your Private Key: your_domain_name.key)
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
(Your Primary SSL certificate: your_domain_name.crt)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your Intermediate certificate: DigiCertCA.crt)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your Root certificate: TrustedRoot.crt)
-----END CERTIFICATE-----

Особое внимание к приватному ключу, обязательно должен быть без кодированной фразы\пароля обычно в ключе видно ENCRYPTED прямо в тексте, значит приватный ключ с пасскодом, nginx при рестарте будет его каждый раз запрашивать. Убираем пасскод:

Код
openssl rsa -in domain.com_with_pass.key -out domain.com.key

В вашем случае будет, что вы и указали:

Код
cat domain.com.key domain_com.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > domain.com.key.pem

И перед рестартом nginx, обязательно проверяйте конфигурацию: nginx -t Ошибка скажет что не так.

Пользователь 136059

Гуру

Сообщений: 5443 Баллов: 649 Регистрация: 16.07.2012

19.03.2018 09:07:12

Александр Фадеев, приватный ключ не обязательно должен быть в pem-файле.
У nginx всего 2 параметра (насколько мне известно): ssl_certificate и ssl_certificate_key.
Причем в ssl_certificate указывается именно полный pem-файл (от юдоменного до вышестоящего).

Однако тот факт, что битрикс требует отдельно файл сертификата и файл цепочки, наводит на мысль, что он сам это сделает (или должен сделать, но почему-то не сделал).

Голосуй за идеи по развитию API Bitrix:
https://idea.1c-bitrix.ru/26707/
https://idea.1c-bitrix.ru/26709/
https://idea.1c-bitrix.ru/the-local-extension-folder-js/

Пользователь 1703755 Посетитель Сообщений: 51 Баллов: 5 Регистрация: 26.01.2018	#10 19.03.2018 11:24:48 Сейчас.

Как получить PEM файлы для установки собственного SSL-сертификата?

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером