tls-server-certificaat

1 Inleiding

2 Recht op aanvraag TLS certificaat

3 Aanvraag server certificaat

4 Aanvraag persoonlijk certificaat

1

Inleiding

Dit document beschrijft de procedure voor het aanvragen van TLS certificaten. Certificaten worden geleverd door DigiCert. Hierdoor wordt de betrouwbaarheid gewaarborgd. Certificaten van DigiCert worden door alle gangbare browsers en andere clients ondersteunt.

Deze procedure is geschreven voor de systeem- en applicatiebeheerder die een TLS certificaat wil aanvragen. Een beheerder wordt geacht voldoende kennis te hebben voor het aanmaken van een CSR en het installeren van de benodigde certificaten. De beheerder dient tevens geautoriseerd te zijn om dat te doen.

2

Recht op aanvraag TLS certificaat

Alle certificaten, die de Universiteit Twente verstrekt volgens de in dit document beschreven procedure, zijn gratis.

Iedere medewerker, die officieel in dienst is bij de Universiteit Twente, en iedere student, die studeert aan de Universiteit Twente, heeft recht op een persoonlijk certificaat. Een persoonlijk certificaat kan gebruikt worden voor het ondertekenen en versleutelen van e-mail en voor identificatie richting websites e.d.

Server certificaten kunnen aangevraagd worden door dezelfde personen die een persoonlijk certificaat aan kunnen vragen.

Certificaten kunnen alleen worden aangevraagd voor domeinen die volgens een onafhankelijke derde partij (b.v. SIDN) in eigendom zijn van de universiteit. Servers binnen die domeinen kunnen van deze certificaten worden voorzien. Voor persoonlijke websites, sites van verenigingen etc. onder een eigen domein kunnen geen certificaten worden aangevraagd. Indien een vereniging een certificaat wenst, dienen ze het houderschap van het domein over te dragen aan de Universiteit Twente.

Deelnemers aan de eScience Grid Computing community hebben ook recht op een eScience server certificaat voor de servers en clients die verbinding maken met een eScience grid.

3

Aanvraag server certificaat

Aanvragen voor server certificaten kunnen gedaan worden via de ICTS servicedesk, via e-mail of de self-service pagina. Als je vaak certificaten aanvraagt, bestaat de mogelijkheid om de aanvraag rechtstreeks bij DigiCert te doen. Als je hiervoor in aanmerking denkt te komen, dien dan een verzoek in bij de ICTS Servicedesk.

Vergeet niet aan te geven voor welke omgeving het certificaat bestemd is. Je krijgt dan namelijk het certificaat en eventueel benodigde chaining certificaten in het voor jouw systeem optimale formaat aangeleverd.

Een CSR dient in PEM-formaat beschikbaar te zijn. Een CSR wordt aangemaakt met een sleutel.

Deze sleutel moet minimaal een sterkte hebben van RSA 2048 bits. De hash moet voldoen aan SHA-256.

In de CSR moeten de volgende gegevens worden ingevuld:

·

C (Country) - NL

·

ST (State) - OV

·

L (Locality) - Enschede

·

O (Organization) - University of Twente

·

OU (Organizational Unit) - de officiele (Engelse) benaming of afkorting van de eenheid binnen de universiteit

·

CN (common Name) - De hostname waarvoor het certificaat gebruikt moet worden

De eerste vier (C, ST, L, O) staan vast en worden eventueel tijdens de aanvraag aangepast naar de correcte waarde. CN is een verplicht veld en bevat de primaire hostnaam. OU is optioneel.

Indien je een aanvraag indient voor een eScience server certificaat, dien je dit expliciet te melden. Verder geldt dat een dergelijk certificaat maar 13 maanden geldig zal zijn en dat alle velden ASCII dienen te zijn. Dit is zo afgesproken binnen de "grid community". Dit type certificaat is dus alleen bestemd voor deelnemers aan sScience Grid Computing.

Een wildcard in de CN is alleen mogelijk als je geen SAN gebruikt. Een wildcard kan ook alleen gebruikt worden in het host-part van de CN. We staan echter geen wildcards toe als de scope te groot wordt. Een aanvraag voor *.eenheid.utwente.nl wordt niet toegekend. Een aanvraag voor *.vereniging.utwente.nl wel. In dat geval krijg je automatisch een SAN van vereniging.utwente.nl. Als je dus een TLS certificaat wenst voor de websites van de vereniging is dit een goede keuze. Je kunt alsnog een apart certificaat aanvragen voor bijvoorbeeld de mailserver.

Als je wilt dat een enkel certificaat geschikt is voor meer hosts, dan moet je Subject Alternative Names (SAN's) gebruiken. Hierbij is het gebruik van wildcards niet mogelijk. Je moet dus alle mogelijke namen opnoemen. Bij een wijziging dien je een nieuw certificaat aan te vragen.

De verdere verwerking om tot een ondertekend certificaat te komen wordt door ICTS binnen enkele dagen uitgevoerd.

Certificaten worden standaard aangevraagd voor 3 jaar.

Indien de aanvraag is afgehandeld, ontvang je een e-mail met het getekende certificaat.

Vergeet niet om, voor een correcte werking van clients, ook het Chaining Certificate te installeren op de server. Als je hebt aangegeven voor welke omgeving het certificaat bestemd is, krijg je het in het optimale formaat aangeleverd.

4

Aanvraag persoonlijk certificaat

Een persoonlijk certificaat kan rechtstreeks aangevraagd worden via de website van DigiCert: www.digicert.com/sso. Doe dat niet op een publieke computer. Je certificaat wordt namelijk opgeslagen in de browser.

Vul als Identity Provider “Universiteit Twente” in. Je kunt ook gewoon beginnen met “Twente” te tikken en als “Universiteit Twente” verschijnt, die selecteren. Daarna moet je inloggen op de login-pagina van de Universiteit Twente. De eerste keer zal gevraagd worden of de getoonde informatie aan DigiCert mag worden doorgegeven. Controleer de gegevens en geef, indien alles in orde is, je goedkeuring.

Op de volgende pagina kun je zien welke certificaten je hebt. Je kunt ze intrekken (revoke) of een nieuwe aanvragen. Voor dat laatste kies je als product “Premium”. Klik vervolgens op “Request Certificate”.

Het certificaat wordt vervolgens gegenereerd en in de browser opgeslagen. Maak hier een backup van. Dat kan meestal via de “Advanced - Certificates” opties of instellingen van de browser. Zorg voor een goed wachtwoord.

Nu kan het certificaat ingelezen worden in je mailclient en/of andere browsers die je gebruikt op dezelfde of andere computers. Let er op dat je het certificaat niet op publieke computers installeert.