Je vous ai déjà montré comment créer un certificat autosigné. Le problème de cette méthode, c’est que Chrome (par exemple) vous redemandera à chaque redémarrage d’accepter le certificat, ce qui plutôt pénible. Heureusement, voici la solution !
Autosigner un certificat avec une autorité
Pour que Chrome accepte votre certificat à chaque fois, il faut l’autosigner avec une autorité. Ensuite, il suffit de lui rajouter cette autorité dans la liste des autorités connues et le tour est joué !
Création de l’autorité
Nous allons créer la clé et le certificat permettant de signer d’autres certificats, et de se faire reconnaitre par les navigateurs. Ici, CA signifie Certification Authority.
- Je crée une clé privée pour mon autorité. On vous demandera un mot de passe, qu’il faudra fournir à chaque nouvelle signature de certificat.
openssl genrsa -des3 1024 > ca.key - Je crée le certificat d’autorité, celui que je vais importer plus tard dans Chrome. On va vous demander le mot de passe de la clé privée, ainsi que des informations sur l’autorité de certification que vous représentez. Ici, les données ont peu d’importance.
openssl req -new -x509 -days 3650 -key ca.key > ca.crt
Création d’une demande de certificat
- Création de la clé privée. On vous demandera ici aussi un mot de passe, celui de votre certificat final.
openssl genrsa -out mondomaine.key 1024 - Création d’une demande de signature CSR (Certificate Signature Request) : on crée un fichier contenant nos informations personelles, que nous transmettrons ensuite à notre autorité pour qu’il valide notre certificat. On vous demandera le mot de passe de votre certificat.
openssl req -new -key mondomaine.key > mondomaine.csr
Signature du certificat
Il ne reste plus qu’à créer un certificat à partir du CSR en utilisant notre autorité.
openssl x509 -req -in mondomaine.csr -out mondomaine.crt -CA ca.crt -CAkey ca.key -CAcreateserial -CAserial ca.srl
La création du « serial » du certificat n’est nécessaire que la première fois.
Utilisation avec les navigateurs
Il ne vous suffit plus que d’ajouter le certificat de votre autorité CA.crt à la liste des certificats racines de votre navigateur, et tous les certificats émis par cette autorité seront automatiquement acceptés !
TL; DR
openssl genrsa -des3 1024 > ca.key openssl req -new -x509 -days 3650 -key ca.key > ca.crt openssl genrsa -out mondomaine.key 1024 openssl req -new -key mondomaine.key > mondomaine.csr openssl x509 -req -in mondomaine.csr -out mondomaine.crt -CA ca.crt -CAkey ca.key -CAcreateserial -CAserial ca.sr
Netographie : linux-france.org : la création des certificats