Momentan kennen die Browser unsere neuen, selbst erstellen Zertifikate (Root-CA, Intermediate-CA und Server-Zertifikat) noch nicht und vertrauen ihnen also auch nicht. Deshalb muss man das neue CA-Root-Zertifikat an die für den jeweiligen Browser richtigen Stelle importieren. Die anderen Zertifikate werden dann anhand des Wurzelzertifikats geprüft.
Internet Explorer, Edge und Chrome nutzen unter Windows den Zertifikatsspeicher des Betriebssystems. Wenn man das CA-Root-Zertifikat dort als vertrauenswürdige Stammzertifizierungsstelle hinterlegt, erschlägt man gleich mehrere Browser mit einer Klappe.
Vorbereitungen
Windows kennt von Hause aus das PFX- bzw. PKCS #12-Format für Zertifikate, sodass wir unsere PEM-Dateien erst einmal konvertieren dürfen:
cd /local/assono-ca/root/
openssl pkcs12 -in assono-cert.pem -export -nokeys -out assono-cert.pfx
Enter Export Password:
Verifying - Enter Export Password:Da kein privater Schlüssel drinsteckt, darf das Passwort gerne leer bleiben.
Noch einmal in die erzeugte Datei reinschauen:
openssl pkcs12 -info -in assono-cert.pfx
Enter Import Password:
MAC: sha1, Iteration 2048
MAC length: 20, salt length: 8
PKCS7 Encrypted data: pbeWithSHA1And40BitRC2-CBC, Iteration 2048
Certificate bag
Bag Attributes: <No Attributes>
subject=C = DE, ST = Schleswig-Holstein, L = Schnwentinental, O = assono GmbH, CN = assono, emailAddress = tbahn@assono.de
issuer=C = DE, ST = Schleswig-Holstein, L = Schnwentinental, O = assono GmbH, CN = assono, emailAddress = tbahn@assono.de
-----BEGIN CERTIFICATE-----
[…]
-----END CERTIFICATE-----Die Datei /local/assono-ca/root/assono-cert.pfx auf den Windows-Rechner kopieren (z. B. mit WinSCP).
Das CA-Root-Zertifikat in Windows 10 importieren
Doppelklick auf die Datei öffnet den Zertifikatimport-Assistenten:
Kontrolle
Den certmgr.msc starten:
Internet Explorer
Internet Explorer starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:
Google Chrome
Chrome-Browser starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:
Microsoft Edge
Edge-Browser starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:
Einer von den großen, wichtigen Browsern unter Windows macht sein eigenes "Ding", was Zertifikate angeht: Mozilla Firefox. Der kommt im nächsten Teil dran.
