Lighttpd - SSL certificate installeren

Dit artikel gaat ervan uit dat u uw certificaat ontvangen hebt van de certificaatuitgever en het wenst te installeren op uw Lighttpd webserver. Om te weten hoe een certificaat aan te vragen, kan u het artikel « Hoe een certificaataanvraag met OpenSSL genereren? » raadplegen.

Stap 1: Een certificatenbundel aanmaken (optioneel)

Lighttpd maakt gebruik van twee SSL instellingen om de paden van uw SSL certificaten na te gaan, één voor uw eigen certificaat, en één voor de intermediate en root certificaten van de certificaatuitgever.

Afhangend van de Certificate Authority waarbij u uw certificaat bestelde, heeft u ofwel één enkel bestand met alle certificaten ontvangen, ofwel één bestand voor uw eigen certificaat en een bundel met certificaten van de CA, ofwel allemaal gescheiden bestanden. Het tweede scenario is het meest voorkomende, omdat dat een snelle installatie toelaat in Apache, nog steeds de populairste webserver, en is tevens ook het eenvoudigste voor Lighttpd.

Als u afzonderlijke bestanden hebt ontvangen van uw CA, gebruik dan het volgende commando om ze samen te voegen in omgekeerde volgorde. Als er slechts één intermediair certificaat is, dient u er uiteraard maar één toe toe voegen.

cat intermediate_2.crt intermediate_1.crt CA_root.crt >> /etc/certs/bundle.crt

De volgorde waarin u de bestanden bijeenvoegt is van belang:

• Eerst de intermediate certificaten - gewoonlijk één, soms twee
• Uiteindelijk het root certificaat

Het root certificaat hoeft strikt gezien niet mee opgenomen te worden, aangezien het reeds gekend is door de webbrowsers, maar het kan nuttig zijn om een volledige keten van certificaten op te bouwen.

Als u uw eigen certificaat samen met een certificatenbundel ontving, bewaar ze dan eenvoudig in de directory waar u uw certificaten en sleutels bewaart, bijvoorbeeld /etc/certs.

Stap 2: Voeg uw certificaat en uw sleutel samen in één bestand

Lighttpd vereist dat uw private key en uw SSL certificaat in één enkel bestand terug te vinden zijn, in tegenstelling tot Apache of Nginx. Voer daarom het volgende commando uit om beide bestanden samen te voegen:

cat www.mijndomein.com.key www.mijndomein.com.crt > www.mijndomein.com.pem

Stap 3: Wijzig het Lighttpd configuratiebestand

Voeg de onderstaande regels toe aan uw Lighttpd configuratie, gewoonlijk te vinden onder /etc/lighttpd/lighttpd.conf. Let erop dat u in onderstaand voorbeelde de paden naar de root directory van uw website dient te laten verwijzen, en de SSL parameters naar de directory waar u uw sleutels en certificaten bewaart.

var.confdir = "/etc/certs"
$SERVER["socket"] == "*:443" {
 ssl.engine = "enable"
 ssl.pemfile = var.confdir + "/www.mijndomein.com.pem"
 ssl.ca-file = var.confdir + "/bundle.crt"
 server.name = "www.mijndomein.com"
 server.document-root = "/home/www/public_html/www.mijndomein.com/public/"
}

Bovenstaande configuratie is een absoluut minimale SSL configuratie, en het is aan te raden uw web server verder te configureren voor meer performantie en meer veiligheid. U kan de Kinamo artikels over Lighttpd performantie en veiligheid hiervoor gebruiken.

Stap 4: Test uw configuratie

Test uw configuratie alvorens de webserver te herstarten, zoniet loopt u de kans dat Lighttpd door een foute configuratie niet wil opstarten en dat andere websites daardoor hinder ondervinden.

lighttpd -t -f lighttpd.conf

Stap 5: Herstart Lighttpd

Herstart Lighttpd om uw nieuwe configuratie toe te passen:

/etc/init.d/lighttpd restart

Stap 6: Foutopsporing

Als uw certificaat niet correct in een browser weergegeven wordt, controleer dan of de webserver de volledige keten van certificaten naar de browser stuurt, met het volgende commando, waarbij u www.kinamo.be vervangt door uw eigen domeinnaam:

openssl s_client -connect www.kinamo.be:443
...
Certificate chain
 0 s:/1.3.6.1.4.1.311.60.2.1.3=BE/businessCategory=Private Organization/serialNumber=0861.077.215/C=BE/ST=Antwerpen/L=antwerpen/O=Kinamo NV/CN=www.kinamo.be
 i:/C=US/O=GeoTrust Inc./CN=GeoTrust Extended Validation SSL CA - G2
 1 s:/C=US/O=GeoTrust Inc./CN=GeoTrust Extended Validation SSL CA - G2
 i:/C=US/O=GeoTrust Inc./CN=GeoTrust Primary Certification Authority

U zou een reeks certificaten moeten te zien krijgen, te beginnen met het uwe, en eindigend met het root certificaat van de uitgever.

Stap 7: Test de beveiliging

Surf naar de testpagina van Qualys SSL Labs om na te gaan of uw webserver en uw certificaat correct en veilig geconfigureerd zijn.