Auf Lets Encrypt wechseln

Mitglied: wiesi200

wiesi200 (Level 5) - Jetzt verbinden

15.10.2016, aktualisiert 04.12.2017, 5462 Aufrufe, 3 Kommentare, 3 Danke

Hallo,

nach dem Theater was aktuell bei StartCom herrscht welches ich aktuell als Zertifikats Anbieter nutzte hab ich mich kurzerhand entschlossen auf Let's Encrypt zu wechseln.
Realistisch gesehen ist dieser Schritt zum aktuellen Zeitpunkt zwar noch nicht notwendig da bestehende Zertifikate noch gültig bleiben, aber man hat ja nicht's besseres zu tun.
Und nach Anfrage von @certifiedit.net habe ich mich entschlossen einen kleinen Erfahrungsbericht zu schreiben.

Zur Ausgangslage:
Ein Server mit CentOS 7, Nginx + mod_pagespeed + ngx_brotli, LibreSSL
Webseite die bereitgestellt werden und bereits per SSL verschlüsselt werden.

Grundsätzlich bietet für die Umstellung die Seite
https://certbot.eff.org/

genügend Hilfe für alle gängigsten Varianten an Betriebssystemen und Webservern.

Für mich bedeutete die Umstellung erst einmal das Verzeichnis ".well-known" auf der Webseite zugänglich zu machen.
Hier kann würde mir 2 Probleme die auftauchen können einfallen.

  • Der zugriff auf versteckte Verzeichnisse ist durch die Webserver Konfig verboten
  • Autoindex ist ausgeschalten was den Zugriff auf leere Verzeichnisse verhindert

Der Rest ist ein Kinderspiel

Zuerst mussen ein paar Grundlagen installiert werden

Dann kann das Zertifikat beantragt werden.

Je nach Webserver kann dies auch gleich automatisch eingerichtet werden. Persönlich habe ich das nicht getestet. Bei dem Gedanken das mein Konfiguration des Webservers angepasst wird ist mir auch etwas unwohl.

Sollte man feststellen das man mit den Standardeinstellungen nicht einverstanden ist z.B. der Default Key Size 2048bit. Stellt dies kein Problem dar man kann hier jederzeit ein neues den Wünschen entsprechendes Zertifikat beantragen.

Beim ersten abrufen muss man noch Kontaktdaten angeben.

Und das war's eigentlich auch schon.
Unter "/etc/letsencrypt/live" liegen die neuen Zertifikate die man dann verwenden kann.

Alles in allem nicht mal 5 Minuten Aufwand wenn die Webseite schon für HTTPS Konfiguriert ist und man Root Zugriff auf den Webserver hat.
Meiner Meinung nach sprechen langsam nur noch sehr wenig gründe dafür nicht auf HTTPS zu setzen.

Edit:
Da die Zertifikate von Let's Encrypt nur kurze Laufzeiten haben sollte man einen Cronjob einrichten der regemäßig das erneuern übernimmt.


Somit wird jeden Tag um 2:00 nachgefragt ob das Zertifikat zu erneuern ist, dies passiert dann frühestens 30 Tage vor Ablauf. Ansonsten bekommt man einfach eine Rückmeldung das keine Aktion erforderlich ist.
Danach die Konfig von Nginx neu laden.

Persönlich erneuere ich die Parameter für den Diffie Hellman Schlüsselaustausch auch noch.

Allgemeine Informationen zum einrichten der SSL Verschlüsselung kann man auch unter
https://mozilla.github.io/server-side-tls/ssl-config-generator/
finden.
Mitglied: certifiedit.net
17.10.2016 um 14:32 Uhr
Vielen Dank für die Nennung, fühle mich geehrt! :-) face-smile
Bitte warten ..
Mitglied: wiesi200
17.10.2016 um 15:46 Uhr
Persönlich wär ich wirklich nicht auf den Gedanken gekommen das man hierzu was schreiben könnte/sollte.
Aber vielleicht nimmt's ja dem ein oder anderen wirklich den Schrecken um "HTTPS" umzusetzen.

Und wenn man dann noch gleich HTTP2 umsetzt dann wird das Surfen im Netz doch gleich ein bisschen schöner.
Bitte warten ..
Mitglied: HardExit
23.11.2016, aktualisiert um 14:06 Uhr
Hi,

du könntest auch den befehl
benutzen anstelle eines zweiten cronjobs ;)
und wenn man Zertifikate nachträglich einen größeren Schlüssel geben möchte

Bitte warten ..
Heiß diskutierte Inhalte
Off Topic
Realistische Gehaltsvorstellung für eine "IT-Allroundkraft"
gelöst JiggyLeeVor 18 StundenFrageOff Topic17 Kommentare

Hallo an alle, ich hege momentan den Wunsch mich von der alten verstaubten Behörden Bürokratie und langweiliger Aufgaben los zu lösen und in einem ...

Windows 10
Windows 10 Geschwindigkeitprobleme trotz viel mehr Gb Ram
Matthes88Vor 23 StundenFrageWindows 1036 Kommentare

Hallo ihr lieben aaaalso : Da mein neuer Arbeitsspeicher (32gb) von meiner alten Windows 7 version (max mit 8gb kompatibel) nicht angenommen wurde, habe ...

Humor (lol)
Tipp: Dinge, die man besser nicht klaut
altmetallerVor 19 StundenTippHumor (lol)9 Kommentare

Hallo, so wurde meiner Hündin z.B. heute der (eingeschaltete) GPS-Tracker mit Mobilfunkanbindung quasi "direkt vom Halsband weggefunden". Akku hatte noch 60% :-P Und ich ...

Switche und Hubs
Suche Deutsche Sprachdatei für D-Link DGS-1210-24 D1 Switch
gelöst Oggy01Vor 1 TagFrageSwitche und Hubs8 Kommentare

Hallo, ich habe einen D-Link DGS-1210-24 Vers. D1 Switch bekommen und suche für diesen eine Deutsche Sprachdatei. Die Firmware ist auf dem aktuellen Stand ...

Windows Server
GPU Passthrough HYPER-V 2019
bintesVor 1 TagFrageWindows Server8 Kommentare

Hallo, ich habe ein ein Problem mit der Bereitstellung einer Grafikkarte an eine virtuelle Maschine. Hardware: - HPE ProLiant DL380 Gen9 V4 Rack Server ...

Video & Streaming
Videoaufnahme funktioniert nur bis zum ersten Reboot (0x80040217)
IllusionFACTORYVor 1 TagFrageVideo & Streaming11 Kommentare

Ich nehme über eine Video-Software von einem USB-Hardware-Encoder Video auf. Das funktioniert exakt bis zum ersten Reboot - danach bekomme ich beim Starten der ...

Windows Server
Windows Admin Center DC
maximidVor 1 TagFrageWindows Server3 Kommentare

Hallo, ich hätte mal eine Frage zu Windows Admin Center und zwar schaue ich es mir aktuell etwas an da mir die zentrale Verwaltung ...

SAN, NAS, DAS
Synology DS213j - Volume nach HDD Austausch vergrößern
gelöst JasperBeardleyVor 1 TagFrageSAN, NAS, DAS4 Kommentare

Moin, ich hab meinem NAS zwei neue 8TB spendiert, da die 3TB Platten jetzt 6 Jahre alt sind. Da die beiden Platten im JBOD ...