Kata sandi SSL pada apache2 restart

Saya menyiapkan sertifikat wildcard SSL dari Godaddy di Apache2. Setiap kali server dinyalakan, ia meminta kata sandi untuk kunci pribadi sertifikat SSL.

Apa cara terbaik untuk menghilangkan hambatan ini untuk memulai kembali, karena ketika rotasi logfile restart di tengah malam, server tidak muncul kembali, dan saya mendapat panggilan klien yang tidak menyenangkan di pagi hari, karena itu adalah server bersama .

apache-2.2 ssl

— ryw
sumber

Sementara pertanyaan aktual telah dijawab, izinkan saya menambahkan: Rotasi logfile tidak memerlukan restart. Muat ulang akan baik-baik saja dan tidak akan mengharuskan Anda menunjukkan kredensial.

— Jan Jungnickel

Terima kasih Jan - titik yang baik - Aku benar-benar tidak yakin mengapa slice tersebut restart - tampaknya terjadi sekitar 1x seminggu saya harus menggali lebih untuk mencari tahu mengapa

— ryw

Jawaban:

Untuk membuat apache menerima frasa sandi setiap kali restart, tambahkan ini ke httpd.conf:

SSLPassPhraseDialog exec:/path/to/passphrase-file

dalam file frasa sandi Anda:

#!/bin/sh
echo "passphrase"

dan membuat file frasa sandi dapat dieksekusi:

chmod +x passphrase-file

— air dingin
sumber

bekerja untuk saya juga! : D

— markcial

Ingatlah untuk mengatur izin yang tepat pada skrip yang berisi frasa sandi , jika tidak, Anda telah secara efektif menghapus keamanan yang diberikan frasa sandi tersebut kepada Anda. (Anda juga harus mengatur izin yang tepat pada kunci, seperti yang dijelaskan dalam jawaban Max).

— voretaq7

Bagaimana cara menyimpan kunci (dengan frasa sandi) dengan 600 izin dan skrip ini dengan 700 izin lebih aman daripada hanya menyimpan kunci tanpa frasa sandi dengan 600 izin mengingat bahwa pemilik kedua file perlu menjadi pengguna root, bukan?

— zelanix

Saya setuju; ini adalah keamanan yang tidak ada gunanya. Dengan segala cara, menghapus frasa sandi dari kunci, untuk memulai ulang otomatis; tetapi jangan berpikir Anda bisa dengan cara apa pun mengembalikan kerugian keamanan yang baru saja Anda buat. Ini sering merupakan trade-off yang baik, tetapi ini merupakan trade-off.

— MadHatter mendukung Monica

Untuk kelengkapan tautan ke dokumentasi Apache terkait: httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslpassphrasedialog

— alk

Anda perlu menghapus enkripsi dari file kunci pribadi Anda seperti ini:

openssl rsa -in server.key -out server.key.new

mv server.key.new server.key

Pastikan file kunci baru hanya dapat dibaca oleh root - jika tidak, siapa pun yang memiliki akses shell ke server ini akan dapat mengambil kunci pribadi dan menyamar sebagai server Anda.

Untuk membuat kunci hanya dapat dibaca oleh root, lakukan 'chmod 600 server.key.new' sebelum bertukar kunci.

— Max Alginin
sumber

saya mencoba ide Anda, masih mendapatkan tantangan pada sudo ./apache2 me-restart :(

— ryw

Memberi +1 karena itu bukan "ide", ini adalah prosedur yang sebenarnya

— codehead

Saya menggunakan istilah "ide" karena tidak berfungsi untuk saya.

— ryw

bagaimana passphrase membuat sertifikat ssl lebih aman jika Anda dapat menghapusnya semudah itu tanpa membutuhkan passphrase? (atau apakah itu meminta Anda untuk frasa sandi?)

— user2693017

@ user2693017 - Perintah openssl yang dijelaskan di sini akan meminta frasa sandi kunci pribadi terenkripsi. Tanpa mengetahui kata sandi, menghapusnya tidak akan berhasil.

— Michael Paesold