Para configurar um servidor seguro usando a criptografia de chave pública, na maioria dos casos, você envia sua solicitação de certificado (incluindo sua chave pública), prova a identidade de sua empresa e paga uma CA. A CA verifica a solicitação de certificado e sua identidade e logo envia um certificado para seu servidor seguro. Como alternativa, você pode criar seu certificado auto-assinado.

Continuando o exmplo HTTPS, um certificado CA-assinado fornece duas capacidades importantes que o certificado auto-assinado não fornece:

A maioria dos navegadores Web, e computadores, que suportam SSL possuem uma lista de certificados CAs que eles aceitam automaticamente. Se um navegar encontrar um certificado que a autorização CA não está na lista, o navegador pergunta ao usuário se deve aceitar ou recusar a conexão. Também, outras aplicações podem gerar uma mensagem de erro quando utilizarem sua própria certificação.

O processo de obtenção de um certificado por um CA é bastante fácil. A seguir uma visão geral:

Não importa se está recebendo um certificado de um CA ou gerando o seu certificado auto-assinado, o primeiro passo é criar uma chave.

Se o certificado será usado por serviços de sistema, como Apache, Postfix, Dovecot, etc, uma chave sem frase secreta é frequentemente mais apropriada. Não ter uma frase secreta permite que os serviços iniciem sem intervenção manual, usualmente o caminho preferido para iniciar um serviço de sistema.

Esta seção cobrirá a criação de uma chave com uma frase secreta, e uma sem. A chave sem frase secreta será então usada para gerar um certificado que pode ser usado com vários serviços de sistema.

Para gerar a chave para o Certificate Signing Request (CSR) execute o seguinte comando em um terminal:

openssl genrsa -des3 -out server.key 1024

Gerando chave privada RSA, 1024 bit módulos longos
.....................++++++
.................++++++
impossível escrever 'estado aleatório'
e é 65537 (0x10001)
Informe a chave senha para o server.key:

Agora, você pode inserir a sua senha. Para uma segurança melhor, ela deve conter no mínimo oito caracteres. O tamanho mínimo quando -des3 é especificado é de quatro caracteres. É bom incluir números e/ou pontuação e não ser uma palavra de dicionário. Também, lembre-se que a sua senha é sensível à caixa alta e/ ou baixa.

Digite a combinação de palavras novamente para verificação. Após ter regiditado corretamente, a chave do servidor é gerada e armazenada no arquivo server.key.

Agora criada a chave insegura,a qual sem uma frase secreta, e embaralhe os nomes da chave:

openssl rsa -in server.key -out server.key.insecure
mv server.key server.key.secure
mv server.key.insecure server.key

A chave insegura é agora chamada server.key, e você pode usar este arquivo para gerar o CSR sem frase secreta.

Para criar um CSR, execute o seguinte comando no prompt do terminal:

openssl req -new -key server.key -out server.csr

Ele irá solicitar a combinação de palavras. Se você digitar a combinação correta, ele irá perguntar pelo Nome da Empresa. Após informar todos os detalhes, sua CSR será criada e armazenada no arquivo server.csr. Nome do Site, Email, etc.

Agora você pode submeter o arquivo CSR para um CA para processamento. O CA irá usar este arquivo CSR e caracterizar o certificado. Por outro lado, você mesmo poderá auto assinar um certificado utilizando este CSR.

Para criar um certificado auto-assinado, execute o seguinte comando no prompt de terminal:

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

O comando abaixo irá lhe pedir uma senha. Assim que você informar a senha correta, seu certificado será criado e ele será armazenado no arquivo server.crt.

Você pode instalar o arquivo de chave server.key e o arquivo do certificado server.crt, ou o arquivo de certificado enviado pelo seu CA, executando os seguintes comandos no terminal:

sudo cp server.crt /etc/ssl/certs
sudo cp server.key /etc/ssl/private

Agora simplesmente configure qualquer aplicação, com a habilidade de usar chaves-publicas criptografadas, para usar os arquivos certificate e key. Por exemplo, Apache pode prover HTTPS, Dovecot pode prover IMAPS e POP3S, etc.

Se os serviços de sua rede exigem mais do que alguns certificados auto-assinado pode valer a pena o esforço para adicionar sua própria configuração interna Autoridade Certificadora (AC) emphasis>. Usando certificados assinados pelo seu pr