Mit dem jüngsten Update auf Chromium 57 funktionierten alle meine Zertifikate nicht mehr. Wosign und Startcom waren ja vor einer Weile in Ungnade gefallen und neu ausgegebene Zertifikate dieser Certification Authority (eigentlich ist es nur eine) wurden nicht mehr anerkannt, aber mit Version 57 hat Chromium/Chrome dies stillschweigend weiter eingeschränkt: jetzt sind auch ältere certs betroffen, wenn die Site nicht eine ganz Grosse ist und in Alexa top 1 Mio gelistet wird.

Könnte man sich darüber aufregen, hilft aber nicht. Die billigsten kommerziellen Zertifikate kosten 8 USD/Jahr und kommen von Symantec, was auch nicht gerade sehr vertrauenswürdig klingt.

Bleibt Let's encrypt. Das hatte ich bislang gemieden, weil die Laufzeit mit 90 Tagen zu kurz ist, um manuell Zertifikate anzufordern, der Client aber etwas monstroes daherkommt, zig dependencies hat, den Server selbst konfigurieren möchte und was nicht. Und es eilte ja nicht so sehr - jetzt aber.

Nach etwas Recherche fand ich mir einen schlanken bash-Client und bin zu meiner Verwunderung damit recht zügig zum Ziel gekommen.

- download von https://github.com/lukas2511/dehydrated/archive/master.zip und entpacken nach /usr/local/bin 
- in /etc/apache2/conf-available eine datei dehydrated.conf anlegen mit
Alias /.well-known/acme-challenge /var/www/dehydrated
<Directory /var/www/dehydrated>
       Options None
       AllowOverride None

       # Apache 2.4
       <IfModule mod_authz_core.c>
               Require all granted
       </IfModule>
</Directory>
und diese nach /etc/apache2/conf-enabled symlinken
- in /var/www ein Verzeichnis dehydrated anlegen
- apache restarten
- in /etc/dehydrated config und domains.txt aus dem docs - folder des entzippten Codes einkopieren, anpassen, dabei anfangs die staging-URL eintragen
- im Programmordner mit ./dehydrated -c  script aufrufen, ggf. Fehler korrigieren. Wenn es durchläuft, die staging-Urls auskommentieren und die certs bauen.
- in /etc/apache2/sites-available die conf der vhots so anpassen, dass die neuen certs verwandt werden
       SSLCertificateFile      /etc/dehydrated/certs/beispiel.de/cert.pem
       SSLCertificateKeyFile   /etc/dehydrated/certs/beispiel.de/privkey.pem
       SSLCertificateChainFile /etc/dehydrated/certs/beispiel.de/chain.pem

-apache restarten und fertig. 

Cool, jetzt noch ein cron job, der das mit langem Abstand immer mal ausführt (und veraltende Zertifikate erneuert) und man kann die Sache vergessen.

 



Trackbacks


Trackback specific URI for this entry
    No Trackbacks

Comments


    No comments

Add Comment

Enclosing asterisks marks text as bold (*word*), underscore are made via _word_.
Standard emoticons like :-) and ;-) are converted to images.
E-Mail addresses will not be displayed and will only be used for E-Mail notifications.

To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly.
CAPTCHA