Letsencrypt - Historique des versions

Ycharbi : /* Automatisation de la tâche */ Correction du service appelé par le minuteur afin qu'il dépende de lui

2024-07-07T17:53:47Z

Automatisation de la tâche : Correction du service appelé par le minuteur afin qu'il dépende de lui

← Version précédente		Version du 7 juillet 2024 à 19:53
Ligne 68 :		Ligne 68 :
	Type=oneshot		Type=oneshot
	ExecStart=genX509.sh		ExecStart=genX509.sh
	RemainAfterExit=~~yes~~		RemainAfterExit=no

	~~[Install]~~
	~~WantedBy=multi-user.target~~
	_EOF_		_EOF_
	</syntaxhighlight>		</syntaxhighlight>

Ycharbi : Suppression d'un retour chariot parasite

2022-08-02T14:32:31Z

Suppression d'un retour chariot parasite

← Version précédente		Version du 2 août 2022 à 16:32
Ligne 1 :		Ligne 1 :
	[[Category:X.509]]		[[Category:X.509]]


	[https://fr.wikipedia.org/wiki/Let%27s_Encrypt Letsencrypt] est une [https://fr.wikipedia.org/wiki/Autorit%C3%A9_de_certification autorité de certification] lancée le 3 décembre 2015 (Bêta Version Publique). Elle permet de générer des certificats [[:Category:X.509\|X.509]] gratuitement et sans limite de nombre.		[https://fr.wikipedia.org/wiki/Let%27s_Encrypt Letsencrypt] est une [https://fr.wikipedia.org/wiki/Autorit%C3%A9_de_certification autorité de certification] lancée le 3 décembre 2015 (Bêta Version Publique). Elle permet de générer des certificats [[:Category:X.509\|X.509]] gratuitement et sans limite de nombre.

Ycharbi : Ajout de ACME.sh et remplacement des balises sources obsolètes par syntaxhighlight + corrections de l'introduction

2022-08-02T14:31:16Z

Ajout de ACME.sh et remplacement des balises sources obsolètes par syntaxhighlight + corrections de l'introduction

Voir les modifications

Ycharbi : /* Génération */ Suppression d'un espace en trop dans la commande.

2019-10-26T18:18:46Z

Génération : Suppression d'un espace en trop dans la commande.

← Version précédente		Version du 26 octobre 2019 à 20:18
Ligne 47 :		Ligne 47 :

	===Génération===		===Génération===
	certbot certonly --rsa-key-size 4096 --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'		certbot certonly --rsa-key-size 4096 --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'

	Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat ainsi que sa clef privée (disponibles dans <source lang="bash" inline>/etc/letsencrypt/archive/ycharbi.fr</source>).		Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat ainsi que sa clef privée (disponibles dans <source lang="bash" inline>/etc/letsencrypt/archive/ycharbi.fr</source>).

Ycharbi : /* Génération */ Ajout du paramètre de taille de la clé.

2019-10-26T16:44:33Z

Génération : Ajout du paramètre de taille de la clé.

← Version précédente		Version du 26 octobre 2019 à 18:44
Ligne 47 :		Ligne 47 :

	===Génération===		===Génération===
	certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'		certbot certonly --rsa-key-size 4096 --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'

	Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat ainsi que sa clef privée (disponibles dans <source lang="bash" inline>/etc/letsencrypt/archive/ycharbi.fr</source>).		Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat ainsi que sa clef privée (disponibles dans <source lang="bash" inline>/etc/letsencrypt/archive/ycharbi.fr</source>).

Ycharbi : /* Génération */ Ajout du chemin contenant le couple certificat/clef.

2019-07-12T06:47:57Z

Génération : Ajout du chemin contenant le couple certificat/clef.

← Version précédente		Version du 12 juillet 2019 à 08:47
Ligne 49 :		Ligne 49 :
	certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'		certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'

	Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat.		Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat ainsi que sa clef privée (disponibles dans <source lang="bash" inline>/etc/letsencrypt/archive/ycharbi.fr</source>).

	===Automatisation===		===Automatisation===

Ycharbi : Page créée avec « Category:Chiffrement {{chantier}} [https://fr.wikipedia.org/wiki/Let%27s_Encrypt Letsencrypt] est une autorité de certification lancée le 3 décembre 2015 (Bêta V... »

2019-02-17T13:25:18Z

Page créée avec « Category:Chiffrement {{chantier}} [https://fr.wikipedia.org/wiki/Let%27s_Encrypt Letsencrypt] est une autorité de certification lancée le 3 décembre 2015 (Bêta V... »

Nouvelle page

[[Category:Chiffrement]]

{{chantier}}

[https://fr.wikipedia.org/wiki/Let%27s_Encrypt Letsencrypt] est une autorité de certification lancée le 3 décembre 2015 (Bêta Version Publique). Elle permet de générer des certificats X.509 gratuitement et sans limite de nombre.

C'est un service fourni par l’Internet Security Research Group (ISRG). Les sponsors principaux sont l’Electronic Frontier Foundation (EFF), la Fondation Mozilla, Akamai, Cisco Systems , PlanetHoster et OVH. D'autres partenaires, tels que l'autorité de certification IdenTrust, l'Université du Michigan (U-M), la Stanford Law School, la Fondation Linux, l'entreprise Free10, ainsi que Stephen Kent de Raytheon / BBN Technologies et Alex Polvi de CoreOS sont également impliqués dans le projet. Bref c'est un truc sérieux et cela représente quand même 51,21% des certificats TLS en avril 2018 d'après NetTrack.

Cette documentation traitera principalement de la génération de certificat sans la partie automatisation de configuration WEB.

=Génération de certificats=
Il existe différents modes de génération de certificats. Voici ceux que j'utilise avec l'outil ''certbot''.

==Mode autonome==
Ce mode permet de récupérer un certificat signé directement sur une machine proposant un service WEB (les commande seront à effectuées sur la machine répondant au domaine).

{{attention|Cette méthode installe tout un tas de bordel sur la machine dont un serveur [[Apache]]. Pour ma part, je lance une machine dédiée (un [[Squashfs]] dans mon cas), qui se chargera de la génération des certificats que je récupèrent et transferts sur la machine de destination (opération lourde destinée principalement à des tests).}}

===Installation===
apt install python-certbot-apache

===Génération===
Il faut que le domaine à signé dirige les requêtes vers l'adresse IP de la machine ''certbot'' sinon l'erreur 503 renvoyé par celui-ci et interrompra la procédure.

{{astuce|Il est possible d'automatiser le remplissage du nom de domaine lié au certificat à générer si le paramètre "ServerName domaine.ycharbi.fr" est ajouté dans un vHost. La procédure de création d'un vHost HTTPS par ''certbot'' sera donc automatique (sinon il demande de taper le numéro correspondant au vHost affiché dans la liste qu'il a généré en regardant dans le répertoire ''sites-availables'').}}

'''Génération de certificat pour tube.ycharbi.fr'''
certbot --authenticator standalone --installer apache -d tube.ycharbi.fr --pre-hook "service apache2 stop" --post-hook "service apache2 start"

{{info|Il va demander une adresse e-mail qui servira à prévenir de l'expiration imminente du certificat.}}

Le résultat est stocké dans ces emplacements:
* '''Clé publique/certificat:''' /etc/letsencrypt/live/tube.ycharbi.fr/fullchain.pem
* '''Clé privé:''' /etc/letsencrypt/live/tube.ycharbi.fr/privkey.pem

Il est bien sûr possible d'en faire un certificat chaîné pour certaines applications comme [[Haproxy]] par exemple:
cat /etc/letsencrypt/live/tube.ycharbi.fr/fullchain.pem /etc/letsencrypt/live/tube.ycharbi.fr/privkey.pem > /etc/ssl/tube.ycharbi.fr.pem

===Source de la section===
* https://community.letsencrypt.org/t/solution-client-with-the-currently-selected-authenticator-does-not-support-any-combination-of-challenges-that-will-satisfy-the-ca/49983

==Mode manuel==
Cette méthode permet de générer des certificat joker (wildcard). Selon moi, elle est beaucoup plus propre et n'installe pas tout un tas de paquets sur la machine. Elle peut être utilisée depuis une machine qui n'héberge aucun services (je l'utilise personnellement depuis mon proxy inverse).

===Installation===
apt install certbot

===Génération===
certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual -d '*.ycharbi.fr'

Il va poser une chiée de question et donner le nom et la valeur d'un champ TXT DNS à entrer dans la zone du domaine à signé (il s'agit d'une clé d'authentification pour le protocole ACMEv2). Une fois ce champ renseigné et appliqué dans la zone DNS, faire <source lang="bash" inline><entrer></source> au prompte pour récupérer le certificat.

===Automatisation===
À faire

===Sources de la section===
* https://blog.blaisot.org/letsencrypt-wildcard-part1.html
* https://wiki.dureuil.info/doku.php/linux:cert-ssl-letsencrypt-wildcard-api-gandi-livedns

Letsencrypt - Historique des versions

Ycharbi : /* Automatisation de la tâche */ Correction du service appelé par le minuteur afin qu'il dépende de lui

Ycharbi : Suppression d'un retour chariot parasite

Ycharbi : Ajout de ACME.sh et remplacement des balises sources obsolètes par syntaxhighlight + corrections de l'introduction

Ycharbi : /* Génération */ Suppression d'un espace en trop dans la commande.

Ycharbi : /* Génération */ Ajout du paramètre de taille de la clé.

Ycharbi : /* Génération */ Ajout du chemin contenant le couple certificat/clef.