Comment Installer Correctement Un Certificat Ssl Startssl - Comodo ... ?

[CaptainIgloo]

Merci pour le tuto, exactement ce que je souhaitais.

MAIS je reste comme un nez de boeuf devant un aspect ou 2.

J'ai fais la démarche chez StartSSL, j'ai un domaine ...

J'ai bien reçu un certificat, que j'ai tenté d'exporter depuis Internet EXplorer 7.

J'obtiens, suivant les options de cette exportation, un fichier *.pfx (c'est l'option exporter avec la clef privée) ou bien un *.cer (sans la clef privée).

Mais où sont ce foutu certif (*.crt) et cette foutue clef serveur (.key) cités ? Comment voit-on que la clef serveur est décryptée ou non ?

Bref je suis dans le potage et je compte sur votre aide.

Squale

T'en fais pas Squale, les certificats, les PKI, le SSL sont très connus mais reste souvent un mystère et cela même pour les informaticiens d'expérience.

Il te faut lire et relire un max de documentation, ou appliquer strictement un tuto sans savoir ce que tu fais vraiment. La première option est la bonne.

Tous le monde comprend l'intérêt mai persone ne sait bien l'expliquer ...

s

[OniK]

Ok !

En parcourant les differentes offres de services d'enregistrement de domaines, je trouve qu'il y a à boire et à manger.

En dehors de tous services d'hébergements lourds, il est vrai que je peux trouver une offre très intéressante à moins de 30

[CaptainIgloo]

C'est certain je suis pas fan de google ...

J'arrive aussi au même résultat (et j'ai aussi noté 1&1).

Cependant, je n'ai pas la réponse à ma question de réplication MySQL.

L'intérêt d'utiliser un hébergeur est très simple, la disponibilité et continuité de service.

Il n'y à pas de SLA pour les particuliers chez les FAI alors qu'il y en a sur les offres hébergées. Dans tous les cas la qualité de service en ASP sera toujours meilleurs que d'utiliser mon infra interne ...

De plus 1,2 Mb d'UPLoad ma ligne n'est pas suffissante pour faire du webmapping (Mapserver).

[OniK]

ben perso si tu veux du basic je ne peux te conseiller que 1&1 ou OVH ...

apres si tu veux etre totalement "libre" va simplement chez infomaniak ! 90 euro la premiere anne et 120 les suivantes ...

et la tu seras heureux

apres pour ton prob MySQL perso chez infomaniak fais ce que je veux avec sur mes DB de mes site pro

mais 1&1 etc je peux pas te dire j'ai juste mon domaine perso chez eux ...

[squale]

@Onik,

Merci pour tes conseils.

Trop tard pour le coup du domaine, mais à postériori je ne vois pas comment j'aurais pu suivre tes conseils de prudence (car un certificat de class 1, le seul gratuit, n'autorise pas les sous domaines et donc on s'enregistre avec son domaine, basta). Comme j'ai également un sous-domaine, j'ai bien tenté de l'enregistrer mais je me suis fait jeter.

pour recuperer tes certif tu dois aller sur toolbox - retrive certificate ( t'auras la liste de tes certif mail et web )

Je suis obtu, je n'arrive à rien qui colle avec tes infos.

Dans la ToolBox de StartSSl, Retrieve Certificate (en se limitant à la Class1) on a :

* StartCom Root CA qui donne un ca.cer qui a la tête d'un certificat non crypté.

* Server Certificate Bundle with CRLs qui donne un ca-bundle.cer, qui semble être un "tas" de certificats non cryptés les uns derrière les autres

* Class1 Intermediate Serveur CA qui donne un sub.class1.server.ca.cer

* Class1 Intermediate Client CA qui donne un sub.class1.client.ca.cer

Voilà on a fait le tour.

[OniK]

re

Merci pour tes conseils.

Trop tard pour le coup du domaine, mais à postériori je ne vois pas comment j'aurais pu suivre tes conseils de prudence (car un certificat de class 1, le seul gratuit, n'autorise pas les sous domaines et donc on s'enregistre avec son domaine, basta). Comme j'ai également un sous-domaine, j'ai bien tenté de l'enregistrer mais je me suis fait jeter.

2 rien l'ami ^_^v

en fait un class1 te permet de securiser xxx.domaine.com + domaine.com

donc un sous domaine + ton domaine ... d'ou l'utilite de ne jamais securiser www.domaine.com comme "sous domaine"

tu comprendras mieux en suivant la procedure CSR

deja avant tout as tu deja valide ton domaine ?????

sur validation wizard ... tu dois recevoir un mail avec un code a rentrer sur leur site ...

apres tu vas sur certificate wizard pour la procedure CSR qui te permetras d'avoir ta clef et ton certif ...

Je suis obtu, je n'arrive à rien qui colle avec tes infos.

Dans la ToolBox de StartSSl, Retrieve Certificate (en se limitant à la Class1) on a :

* StartCom Root CA qui donne un ca.cer qui a la tête d'un certificat non crypté.

* Server Certificate Bundle with CRLs qui donne un ca-bundle.cer, qui semble être un "tas" de certificats non cryptés les uns derrière les autres

* Class1 Intermediate Serveur CA qui donne un sub.class1.server.ca.cer

* Class1 Intermediate Client CA qui donne un sub.class1.client.ca.cer

Voilà on a fait le tour.

la t'es pas au bon endroit ... je te conseille firefox ou IE8 pour le site de startssl ... ya qq bug sous IE7

ce que tu me decrit est ds StartCom CA Certificates ...

Donc le ".crt : ton certif" c'est lequel ?

Et "le .key : ta clef", where is ?

J'ai bien tenter de bidouiller avec les *.pfx donné par IE7, mais là le Syno me jette car il veut du UTF-8.

laisse tomber le pfx ...

donc tu valides ton domaine puis la procedure CSR ds certificate wizard tu selectionne web server ssl

puis tu commence le CSR

a la fin t'auras ta vlef privee ... ne la perd pas vu que ya pas moyen de la recuperer !!!!

apres pour recuperer ton .crt tu vas donc ds toolbox - retrieve certificate

tu selectionne le certif que tu veux

et vla ton certif tu le recopie ds un fichier txt que tu renome en .crt

apres y te reste plus qu'a suivre mon tuto

Je reste dans la bouse. Jetter moi une corde, SVP

Squale

j'espere que t'y arriveraa ce coup ci ... sinon dit moi ou ca bloque

@+

OniK

[squale]

Respect Onik, tu t'es cass

[squale]

Tiens une curiosit

[squale]

J'ai profité de ce lundi pour me connecter "en vrai" c'est à dire depuis une autre installation, poste fraîchement installé avec W7/IE8.

L'arrivée sur le syno donne un 1° message : Le certificat du site Web ne peut pas être vérifié. Souhaitez-vous continuer ? suivi du fait que le Nom du serveur est serveur.domaine.com et que l'éditeur est serveur.domaine.com.

Bref, merdouille et crotte de caniche, c'est toujours pas transparent

Si on répond que on continue, 2° message : La signature numérique de l'application à été vérifiéee. Souhaitez-vous exécuter l'application ?. On a la possibilité de consulter le détail du certificat et là on retrouve l'adresse mail déclarée lors de l'inscription. Voil un point qui craint : il faut absolument déposer sa demande avec une adresse mail du type webmaster.domaine.com ou contact.domaine.com ...

Bref ce n'est non seulement pas transparent mais c'est encore plus long que le classique "Le certificat de sécurité de ce site Web présente un problème" et quasi aussi louche

Mais là ou est achevé, c'est de constater le manque d'efficacité réelle de cette application FileStation. Non, non ce n'est pas de la provoc ... mais un constat en réel entre 2 installations pourtant équipées du haut débit en dégroupé, le tout à moins de 1000 m du central.

L'appli est bien propre au niveau design, mais le JAVA, il lui faut son temps ... et puis l'ergonomie n'est pas celle de Windows et perdra n'importe quel utilisateur moyen (qui naturellement, voulant rapatrier un fichier fera un clic droit, copier ... et sera surpris de ne pouvoir faire le coller que sur le Syno ... et il lui faudra chercher longtemps le "charger" planqué dans la boîte déroulante).

Bref passons à ce rapatriement. Allez on dispose, depuis le serveur, d'un débit de 110 Ko/s réel environ (c'est le UP du serveur) ... mais qui au travers du Syno, du lan1, du routeur 1, du réseau Internet, du routeur 2, de l'appli en JAVA .... vont se transformer en 24 - 25 Ko/s en vitesse de croisière établie (en ayant viré les antivirus).

Et nous voilà revenu "presque" au temps des modems réseau commuté.

Finalement, un grand coup de Filezilla et on obtient quasi 100 Ko/s soit 4 fois plus (Filezilla car il est capable de récupérer les conneri$$ du Syno qui balance son adresse interne lors du basculement en mode passif ET qui ne veux pas rester en mode actif).

C'est mieux, mais on reste loin de nos conditions de mises au point sur le réseau local en Gigabit ... et il ne faut pas le perdre de vue.

Finalement, je vais reprendre mon disque dur USB "un poil optimisé" pour aller chez les gens, il y aura moins de perte de temps.

C'était mon 1/4 d'heure désabusé

Squale

[OniK]

salut squale,

Respect Onik, tu t'es cassé la tête dans les grandes largeurs.

Et bien un grand merci puisque tout est devenu nickel.

2 rien ^_^v

et content que tout marche nikel !

Bon, le 1° secret était effectivement de ne pas utiliser IE7 qui enchaîne les erreurs dans l'onglet Certificate Wizard. J'ai pu impunément rentré un password sur seulement 8 caractères (au lieu de 10) sans aucune erreur, puis quand on fait suivant, 9 fois sur 10, on a le petit rond qui tourne et puis rien du tout ...

Avec W7 et IE8, comme tu le dis très bien, on se fait jeter sur les 8 caractères, le sablier ne dure que quelques secondes et une fenêtre s'ouvre avec de quoi faire un copié / collé de sa clef personnelle (je ne suis jamais arrivé à afficher cet encart avec IE7).

Du coup tout s'enchaîne normalement (et tes copies d'écran servent de bretelles) ... et effectivement on a le choix d'enregister un sous domaine (on a donc le domaine et 1 sous domaine pour la version gratuite).

oui IE7 faut meme pas essayer ...

et oui le certif gratuit te permet de securiser ton domaine + un sous domaine ... et aussi ne pas oublier que tu peux faire un nombre illimite de certif ... + des certif mail S/MIME

Donc un très grand merci et à bientôt, car si j'ai bien compris ce certificat initial n'est valable que 30 jours et il faudra le renouveller

non la tu t'embrouilles ... en fait ton domaine est valide pour 30 jours ... ( en gros si tu revalides pas ton domaine apres 30j tu peux plus faire de nouveaux certifs sans avoir revalider ton domaine avant ... )

par contre ton certif web lui est valable 1 an !

le S/MIME lui n'est valide que 30 jours

nb : pour ceux qui comme moi change de machine au milieu de la manip, il suffit d'exporter le certificat initial de StartSSL au format *.pfx (c'est à dire avec la clef personnelle) de la 1° machine et de l'importer bêtement dans la 2°.

oui et surtout bien garder une copie de ce certif pcq sinon adieu ton acces a ton compte utilisateur ...

Tiens une curiosité : plus de message "Le certificat de sécurité de ce site Wen présente un problème" lors de l'accès par l'adresse publique. Par contre on a toujours ce message lorsque l'on entre avec son adresse locale (le 192.168.x.y) aussi bien en http (qui poursuivra en https) qu'en https.

Normal ?????

oui c tout a fait normale ... si tu veux un certif qui reprend tes ip interne ou adresse lan ben la faut passer par un certif auto signe ...

J'ai profité de ce lundi pour me connecter "en vrai" c'est à dire depuis une autre installation, poste fraîchement installé avec W7/IE8.

L'arrivée sur le syno donne un 1° message : Le certificat du site Web ne peut pas être vérifié. Souhaitez-vous continuer ? suivi du fait que le Nom du serveur est serveur.domaine.com et que l'éditeur est serveur.domaine.com.

Bref, merdouille et crotte de caniche, c'est toujours pas transparent

la c tres strange ...

t'as u cette erreur sur la partie admin ou autre ????

Si on répond que on continue, 2° message : La signature numérique de l'application à été vérifiéee. Souhaitez-vous exécuter l'application ?. On a la possibilité de consulter le détail du certificat et là on retrouve l'adresse mail déclarée lors de l'inscription. Voil un point qui craint : il faut absolument déposer sa demande avec une adresse mail du type webmaster.domaine.com ou contact.domaine.com ...

la je presume que t'as u cette erreur sur file station ??? en gros c "normale" leur code est signe bizarement j'ai u la meme erreur quand j'ai fait le test sur file station ...

mais ca dit juste que l'app n'as pas un certif valide ... en gros ca ne change rien au cryptage de tes pages ...

bon perso j'utilise pas file station je deteste ce truc ...

Bref ce n'est non seulement pas transparent mais c'est encore plus long que le classique "Le certificat de sécurité de ce site Web présente un problème" et quasi aussi louche

encore une fois si c sur file station faut pas en tenir compte ... mais je confirme c chiant

Mais là ou est achevé, c'est de constater le manque d'efficacité réelle de cette application FileStation. Non, non ce n'est pas de la provoc ... mais un constat en réel entre 2 installations pourtant équipées du haut débit en dégroupé, le tout à moins de 1000 m du central.

L'appli est bien propre au niveau design, mais le JAVA, il lui faut son temps ... et puis l'ergonomie n'est pas celle de Windows et perdra n'importe quel utilisateur moyen (qui naturellement, voulant rapatrier un fichier fera un clic droit, copier ... et sera surpris de ne pouvoir faire le coller que sur le Syno ... et il lui faudra chercher longtemps le "charger" planqué dans la boîte déroulante).

Bref passons à ce rapatriement. Allez on dispose, depuis le serveur, d'un débit de 110 Ko/s réel environ (c'est le UP du serveur) ... mais qui au travers du Syno, du lan1, du routeur 1, du réseau Internet, du routeur 2, de l'appli en JAVA .... vont se transformer en 24 - 25 Ko/s en vitesse de croisière établie (en ayant viré les antivirus).

Et nous voilà revenu "presque" au temps des modems réseau commuté.

Finalement, un grand coup de Filezilla et on obtient quasi 100 Ko/s soit 4 fois plus (Filezilla car il est capable de récupérer les conneri$$ du Syno qui balance son adresse interne lors du basculement en mode passif ET qui ne veux pas rester en mode actif).

C'est mieux, mais on reste loin de nos conditions de mises au point sur le réseau local en Gigabit ... et il ne faut pas le perdre de vue.

la par contre je peux pas t'aider ... j'ai fait un test en externe pour voir ce que donne file station ...

je tourne a 245ko/s de moyenne ( mon NAS a un up de 250ko/s )

mon nas est connecter a mon router cisco et lui est connecter a mon modem vdsl ...

Finalement, je vais reprendre mon disque dur USB "un poil optimisé" pour aller chez les gens, il y aura moins de perte de temps.

C'était mon 1/4 d'heure désabusé

ben je ne connais pas ton utilisation de ton server mais si t'as juste des prob avec file station laisse tomber cette appli ...

ok c sympa pour un debutant mais si tu veux du lourd passe ton chemin ...

pcq devoir te balader avec un hdd usb juste a cause de filestation c con ... sauf si tu dois utiliser des fichier de plusieur giga ... la tu sera tjs limiter par l'UP de ton NAS

si t'as besoin de conseil plus specifique n'hesite pas a me contacter par PM

@+

OniK

[squale]

Encore une fois, meci Onik.

Bon l'ensemble des messages que tu sembles trouver bizarres sont effectivement pour l'accès à FileStation en mode sécurisé HTTPS sur le port 7001 (et si j'ai compris ton interprétation, c'est le Syno qui serait encore un poil buggé à ce niveau).

Il ne s'agit ni de la partie admin ni d'autres choses d'ailleurs puisqu'ils surgissent au départ donc avant de se loguer. Et j'avoue que ces messages ne sont apparement pas systématiques puisqu'au moins par 2 fois je n'ai rien vu du tout (il y a donc peut-être une interaction avec les clients en W7/XP, IE7 ou IE8, moteur JAVA probablement pas au même niveau ...)

Je n'ai qu'un misérable Adsl et non Vdsl, heureux homme ... mais toutes proportions gardées tu obtients un débit quasi identique à tes possibilités en utilisant Filestation, alors que je n'obtient que péniblement 1/4 (ou bien 100% avec Filezilla) . Crotte de caniche.

A part le mode sécurisé et donc le bataclan lié au cryptage, je ne vois pas (si Filezilla me donne 100%, j'exclus toute interaction evec antivirus, firewall, routeur Linksys DD-WRT ...)

Donc question subsidiaire : ton 245 ko/s est en http ou https ?

"Laisser tomber Filestation" ... tu as peut-être raison, mais sinon, de l'extérieur je ne l'utilise que pour 3 ou 4 accès virtuels en accès Web pour diffuser des mises à jour de nos soft (là c'est nickel). Filestation (après avoir gommé le problème de certificat) pourrait être un moyen de diffuser un peu de contenu à certains de nos clients qui seraient rebutés par la mise en service d'un client FTP.

Reste l'essai réel : je vais montrer Filestation à 2 ou 3 d'entres eux et voir leurs réactions.

@+++

[OniK]

re

Bon l'ensemble des messages que tu sembles trouver bizarres sont effectivement pour l'acc

[squale]

sinon t'as fait le check sur sslshopper de l'install de ton certif et des certif intermediaire ??? ( ca prend +/- 1-2 min )

http://www.sslshoppe...sl-checker.html

si tout est ok tu dois avoir un truc du genre :

The certificate should be trusted by all major web browsers (all the correct intermediate certificates are installed).

The certificate was issued by StartCom.

The certificate will expire in xxx days.

The hostname (domain.com) is correctly listed in the certificate.

+ la liste de ts les certif ...

J'ai un lézard.

Avec mondomaine.fr, j'ai une réponse immédiate avec une résolution qui donne 87.106.112.181 et qui suivant le whois utilisé serait une adresse 1&1 (qui est mon hébergeur), un type de serveur Apache et pas de certificat SSL trouvé (tout en voulant que mon port 443 soit ouvert sur mon routeur, mais en fait c'est chez mon hébergeur).

Avec serveur.mondomaine.fr, adresse que j'utilise pour l'accès WEB, Filestation et FTP ... comme les jours précédents, absolument aucun retour du site (j'ai le petit rond qui tourne) après plus 15 minutes (IE7 ou IE8). Pour info, le port 443 ne doit pas être naté sur mon routeur.

Tu viens de me foutr$ un coup au moral.

@+++

[OniK]

hummmmmm ...

y faut que tu me precise 2-3 trucs la ...

Avec mondomaine.fr, j'ai une réponse immédiate avec une résolution qui donne 87.106.112.181 et qui suivant le whois utilisé serait une adresse 1&1 (qui est mon hébergeur), un type de serveur Apache et pas de certificat SSL trouvé (tout en voulant que mon port 443 soit ouvert sur mon routeur, mais en fait c'est chez mon hébergeur).

chez 1&1 t'as juste ton nom de domaine ou domaine + hebergement ???????

pcq logiquement tu devrais avoir ton ip externe ds la resolution de ton domaine ... ( ton domaine -> ton dyndns -> ton ip -> ton NAS )

le certif etant installe sur ton NAS il est totalement logique que ca marche pas si t'es redirige sur le server de 1&1

sinon ton port 443 est bien ouvert sur ton modem ????

n'oublie pas aussi d'ouvrir le port 5001 pour les app de ton SYNO ( sauf si tu l'as modifier par un autre port ) + ts les autres ports que t'utilise sur ton NAS ...

check ici http://www.canyouseeme.org/

Avec serveur.mondomaine.fr, adresse que j'utilise pour l'accès WEB, Filestation et FTP ... comme les jours précédents, absolument aucun retour du site (j'ai le petit rond qui tourne) après plus 15 minutes (IE7 ou IE8). Pour info, le port 443 ne doit pas être naté sur mon routeur.

double hummmmmm ...

pareil pour serveur.mondomaine.fr .... chez 1&1 la redirection de ton sous domaine doit etre faite sur ton ip externe ( dyndns ) ...

sans oublier de preciser le nom du dossier cible pour ton sous domaine ( si t'en a l'utilite ) ... par ex : mondomaine.fr/serveur

quel que soit le sous domaine ou domaine utilise tu dois d'office avoir le 443 + 5001 etc d'ouvert sur ton modem ...

port ferme = pas de connection ...

Tu viens de me foutr$ un coup au moral.

sorry .... mais tracass on va y arriver ^_-

@ +

OniK

[squale]

Mais non, pas de hum ni de double hum ...

J'ai mon domaine h

[OniK]

J'ai mon domaine h

[squale]

J'ai trouvé une conner$ effectivement avec l'insertion de la ligne SSLCertificateChainFile /usr/syno/etc/ssl/ssl.crt/ca-bundle.crt que je n'avais pas ajouté au bon endroit.

La bonne section est # Global parameters for virtual host.

La section est devenu :

#

# Global parameters for virtual host

#

SSLCipherSuite HIGH:MEDIUM:!RC4:!aNULL

SSLProtocol all -SSLv2

SSLCertificateFile /usr/syno/etc/ssl/ssl.crt/server.crt

SSLCertificateKeyFile /usr/syno/etc/ssl/ssl.key/server.key

SSLCertificateChainFile /usr/syno/etc/ssl/ssl.crt/ca-bundle.crt

Correction faite, reboot Apache (les 2)

Et merdouille, même erreur sous SSL Checker.

Contenu du dossier

DiskStation> cd /usr/syno/etc/ssl/ssl.crt

DiskStation> ls

ca-bundle.crt ca.crt server.crt

Donc je n'ai pas de server.key ... au début du tuto, import du certificat par l'interface graphique, puis j'ai du louper un des mv de l'encadré qui suit.

[OniK]

alors ...

a premiere vue t'as fait les bonnes modifs ...

maintenant faut trouver ou ca merde ...

Donc je n'ai pas de server.key ... au début du tuto, import du certificat par l'interface graphique, puis j'ai du louper un des mv de l'encadré qui suit.

les .key se trouvent ici : /usr/syno/etc/ssl/ssl.key

ton fichier server.key est bien decrypte ????

t'as bien u les 2 confirmations de reboot ???

/usr/syno/etc/rc.d/S97apache-sys.sh restart ( enter )

....

server restarted

/usr/syno/etc/rc.d/S97apache-user.sh restart ( enter )

...

server restarted

a la limite fait simplment un reboot de ton NAS et refait le check avec sslshopper

@+

OniK

[squale]

alors ...

a premiere vue t'as fait les bonnes modifs ...

maintenant faut trouver ou ca merde ...

les .key se trouvent ici : /usr/syno/etc/ssl/ssl.key

ton fichier server.key est bien decrypte ????

t'as bien u les 2 confirmations de reboot ???

/usr/syno/etc/rc.d/S97apache-sys.sh restart ( enter )

....

server restarted

/usr/syno/etc/rc.d/S97apache-user.sh restart ( enter )

...

server restarted

a la limite fait simplment un reboot de ton NAS et refait le check avec sslshopper

@+

OniK

Le reboot, d

[OniK]

salut

ok pour 1

[squale]

T'as du courage ...

Bon je regardais pas au bon endroit en ne regardant que dans /usr/syno/etc/ssl/ssl.crt et non dans /usr/syno/etc/ssl/ssl.key. Je retrouve bien server.key et server.crt, ainsi que ca-bundle.crt. Contr

[squale]

Arfff, enfin trouv

[OniK]

haaaaaaaaa enfin !!!

oui je te l'ai deja dit qq post avant ... le ssl c sur le 443 uniquement ... tu peux le route sur un autre port mais ds ts les cas de figure

pour le basic y te faut le 443 ... apres tu peux utiliser d'autre port sup en ssl mais la ca n'a rien a voir

pareil pour sslshopper ... il check du https uniquement donc y cherche le port 443 ... si toi t'es en 7001 ben d'office ca ira pas ... meme si tu lui precice avec :7001

apres tu peux bidouiller mais bon j'en vois pas trop l'utilite ...

en tt cas content que tt marche enfin nikel

@+

OniK

[Rackham]

Bonjour

[squale]

Il est vrai que j'ai un peu pourri ce tuto de l'ami Onik.

Si Je r