Apache HTTP Server: SSL-Zertifikat austauschen

Apache HTTP Server 2.4 liest Zertifikat und Schlüssel aus SSLCertificateFile und SSLCertificateKeyFile in jedem TLS-VirtualHost. Seit Apache 2.4.8 darf die Zertifikatsdatei die Zwischenzertifikate nach dem Serverzertifikat enthalten, SSLCertificateChainFile wird nicht mehr gebraucht.

VoraussetzungenCopy Anchor Link

• Ermitteln Sie, welcher VirtualHost welche Dateien nutzt. apachectl -S listet die VirtualHosts und ihre Konfigurationsdateien; grep zeigt die Zertifikatszeilen:

  Copy Text

  sudo apachectl -S
  sudo grep -Rn 'SSLCertificate' /etc/apache2 /etc/httpd 2>/dev/null

• Bereiten Sie Serverzertifikat (leaf.pem), Zwischenzertifikat(e) (intermediates.pem) und privaten Schlüssel (private.key) vor, alle als PEM. Das Stammzertifikat gehört nicht dazu.

• Sichern Sie die aktuellen Dateien samt Rechten:

  Copy Text

  sudo cp -a /etc/pki/tls/certs/www.crt /etc/pki/tls/certs/www.crt.bak
  sudo cp -a /etc/pki/tls/private/www.key /etc/pki/tls/private/www.key.bak

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Kette bauen - Serverzertifikat zuerst - und prüfen, ob der Schlüssel dazugehört:

   Copy Text

   cat leaf.pem intermediates.pem > fullchain.pem
   openssl verify -untrusted intermediates.pem leaf.pem
   openssl pkey -in private.key -pubout | sha256sum
   openssl x509 -in leaf.pem -noout -pubkey | sha256sum

   openssl verify muss OK ausgeben, und die beiden Hashes müssen gleich sein.

2. Dateien an den Pfaden installieren, die der VirtualHost nutzt. Der Schlüssel darf nur für root lesbar sein: Der Elternprozess von Apache läuft als root und liest ihn, auch bei einem Graceful Reload, bevor er die Arbeit an die Kindprozesse übergibt.

   Copy Text

   sudo install -m 0644 fullchain.pem /etc/pki/tls/certs/www.crt
   sudo install -m 0600 private.key   /etc/pki/tls/private/www.key
   sudo restorecon -v /etc/pki/tls/certs/www.crt /etc/pki/tls/private/www.key  # nur SELinux-Systeme

   Copy Text

   SSLEngine on
   SSLCertificateFile    "/etc/pki/tls/certs/www.crt"
   SSLCertificateKeyFile "/etc/pki/tls/private/www.key"

3. Konfiguration testen, dann Graceful Reload:

   Copy Text

   sudo apachectl configtest
   sudo systemctl reload httpd      # RHEL
   # sudo systemctl reload apache2  # Debian/Ubuntu

   configtest prüft die Syntax, nicht ob Schlüssel und Zertifikat zusammenpassen - deshalb prüft das Schritt 1. Auf beiden Distributionen löst systemctl reload einen Graceful Restart aus: Laufende Anfragen werden beendet, neue Verbindungen bekommen das neue Zertifikat, niemand wird getrennt.

Verschlüsselte private SchlüsselCopy Anchor Link

Ein Schlüssel mit Passphrase lässt Apache bei jedem Start und Reload danach fragen - ein von systemd gestarteter Dienst kann nicht antworten, der Start schlägt fehl. Verwenden Sie entweder einen unverschlüsselten Schlüssel, geschützt über die Dateirechte (Passphrase entfernen mit openssl pkey -in encrypted.key -out private.key), oder konfigurieren Sie SSLPassPhraseDialog mit einem Programm, das die Passphrase liefert - je nach Ihrer Richtlinie für Schlüssel.

Neues Zertifikat prüfenCopy Anchor Link

openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null
sudo journalctl -u httpd --since "10 minutes ago"     # bzw. -u apache2

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und ob das Zwischenzertifikat mitgesendet wird - für jeden namensbasierten VirtualHost, mit seinem eigenen Namen als -servername.

RollbackCopy Anchor Link

Kopieren Sie die .bak-Dateien zurück, führen Sie apachectl configtest aus und laden Sie neu. Behalten Sie die Sicherung, bis das neue Zertifikat geprüft ist.

Häufige ProblemeCopy Anchor Link

• Die Änderung erfolgte im falschen Konfigurationsbaum (apache2 statt httpd) oder für den falschen VirtualHost.
• Die Kette ist unvollständig, oder der Schlüssel passt nicht.
• Ein verschlüsselter Schlüssel blockiert Start oder Reload.
• SELinux verweigert den Zugriff auf Dateien ohne passendes Label (restorecon).
• Ein anderer SNI-VirtualHost wurde getestet.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Die aethercert-Vorlage für Apache schreibt die konfigurierten Zertifikats-/Ketten- und Schlüsseldateien und führt den konfigurierten Reload-Befehl aus. Standard ist systemctl reload apache2; auf RHEL-basierten Systemen setzen Sie systemctl reload httpd.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Apache HTTP Server 2.4: mod_ssl-Referenz
• Apache HTTP Server: Stoppen und Neustarten