CSR erstellen - kostenloser CSR-Generator für Windows

CSR erstellen ist ein CSR-Generator: Er erzeugt auf diesem Computer ein Schlüsselpaar und einen PKCS#10-Zertifikatsantrag, den Sie bei jeder CA einreichen können, öffentlich oder intern. Auf Wunsch entsteht sofort ein selbstsigniertes Zertifikat für Tests und den internen Einsatz. Der private Schlüssel wird nirgendwohin übertragen.

Sie öffnen das Werkzeug aus der Zertifikatsliste: CSR aus Auswahl erstellen füllt das Formular aus einem vorhandenen Zertifikat vor (Verlängerung oder Rekey, immer mit neuem Schlüssel); Leerer CSR beginnt leer. Auf der Kommandozeile ist es actk csr.

„CSR erstellen“ ist ein geführter Ablauf in fünf Schritten: Zertifikatstyp, Zertifikatsangaben, Schlüssel, Prüfen und erzeugen sowie Speichern und abschließen. Ein mit ! markierter Schritt erfordert Aufmerksamkeit; Weiter bleibt gesperrt, bis die markierten Felder korrigiert sind.

Zertifikatstyp wählenCopy Anchor Link

Ausgestellt von entscheidet, was Sie erhalten:

• Einer Zertifizierungsstelle (CSR) - einen Antrag für Ihre CA. Die CA schickt das Zertifikat zurück; Sie importieren es später.
• Sich selbst (selbstsigniert) - sofort ein Zertifikat, gültig für 1 bis 3650 Tage (Standard 365). Vertrauenswürdig ist es nur dort, wo es als vertrauenswürdig importiert wird. Für Tests und den internen Einsatz.

Zertifikatsangaben ausfüllenCopy Anchor Link

Mit * markierte Felder sind Pflicht. Das Toolkit prüft jedes Feld schon beim Tippen so, wie CAs es prüfen.

Server

• Common Name - der Haupt-Hostname. Er wird automatisch als erster SAN übernommen.
• Hostnamen und IP-Adressen - die alternativen Namen (SANs). Enter fügt einen Eintrag hinzu, eine eingefügte Liste wird aufgeteilt. Jeder Eintrag ist als DNS, Wildcard, IPv4 oder IPv6 gekennzeichnet. Die Adressen dieses Computers stehen per Klick zur Auswahl.

Benutzer

• Name - Vor- und Nachname der Person.
• E-Mail-Adressen - nötig, um E-Mails zu signieren und zu verschlüsseln (S/MIME).
• Benutzerprinzipalname (UPN) - optional, für Smartcard-Anmeldung und VPN-/WLAN-Setups, die das Zertifikat einem Active-Directory-Konto zuordnen, z. B. [email protected].

Code Signing

• Herausgeber (Common Name) - erscheint als Herausgeber in Windows-Dialogen (UAC, SmartScreen). Bei einer öffentlichen CA ist das der eingetragene Firmenname.

Alle Typen: Organisation, Abteilung (OU, optional), Ort, Bundesland und Land (zweistelliger Code wie DE). Organisation, Ort, Bundesland, Land und Schlüsseltyp merkt sich das Toolkit für den nächsten Antrag.

Was die Prüfungen findenCopy Anchor Link

Schlüssel wählenCopy Anchor Link

Wo der private Schlüssel aufbewahrt wirdCopy Anchor Link

Windows-Schlüsselspeicher (empfohlen) - wie bei certreq und dem Windows-Registrierungsassistenten: Windows erzeugt den Schlüssel im Microsoft Software Key Storage Provider und verwahrt ihn dort. Der Schlüssel existiert nie im Fenster des Toolkits oder in einer Datei; Windows signiert den Antrag damit. Hat die CA ausgestellt, verknüpft Zertifikate > Importieren das Zertifikat mit dem Schlüssel. Die richtige Wahl für IIS, RDP, LDAPS, Exchange, S/MIME und Code Signing auf diesem Computer.

• Schlüsselspeicher: Dieser Benutzer für die eigenen Zertifikate, Dieser Computer für Dienste (IIS, RDP, LDAPS, Exchange). „Dieser Computer“ erfordert Administratorrechte - nutzen Sie Als Administrator neu starten auf dem Computer-Tab der Zertifikatsliste. Läuft die App bereits als Administrator, ist bei einem Serverantrag „Dieser Computer“ voreingestellt, sonst „Dieser Benutzer“ - dessen Schlüssel kann ein Dienst wie IIS nicht nutzen, starten Sie die App also vorher als Administrator neu.
• Späteren Export des privaten Schlüssels erlauben ist standardmäßig aus. Aus verweigert Windows den Export des Schlüssels - niemand kann ihn kopieren, das Zertifikat lässt sich nicht auf einen anderen Server umziehen. An lässt sich der Schlüssel als PFX exportieren, für Sicherungen oder einen Umzug. Windows legt das beim Erzeugen fest; nachträglich ändern lässt es sich nicht.

Schlüsseldatei (.key) - für Server, die PEM-Dateien erwarten: nginx, Apache, Appliances. Der Schlüssel entsteht im Speicher des Toolkits, und Sie speichern ihn selbst als PKCS#8-.key-Datei. Gespeicherte Schlüsseldatei mit Passwort schützen verschlüsselt sie (PKCS#8, AES-256, PBKDF2). Ohne das Passwort kann niemand - auch Sie nicht - sie verwenden.

Prüfen und erzeugenCopy Anchor Link

Der Prüfschritt zeigt Typ, Antragsteller, Namen, Gültigkeit, Signatur, beantragte Schlüsselverwendung und erweiterte Schlüsselverwendung sowie den Ort des Schlüssels. Dazu kommt der entsprechende OpenSSL-Befehl, mit dem Sie den Antrag mit OpenSSL nachbauen können. Bei einem selbstsignierten Zertifikat ist er als annähernd gekennzeichnet, weil OpenSSL zusätzlich Schlüsselkennungen ergänzt.

Dann CSR und Schlüssel erzeugen wählen (bzw. Zertifikat und Schlüssel erzeugen bei einem selbstsignierten Zertifikat).

Ergebnis speichernCopy Anchor Link

Die Dateien heißen nach dem Common Name: aus www.example.com wird www_example_com.csr und www_example_com.key. Vorhandene Dateien werden nicht überschrieben.

Diesen CSR prüfen öffnet den Antrag in CSR prüfen.

Wenn die CA ausgestellt hatCopy Anchor Link

Zertifikate öffnen, Importieren … wählen und die Datei der CA auswählen. Das Toolkit ordnet ihr den Schlüssel selbst zu - aus dem Windows-Schlüsselspeicher, aus dieser Sitzung oder aus der gespeicherten .key-Datei. Siehe Ausgestelltes Zertifikat importieren.

Ein Code-Signing-Zertifikat Ihrer internen CA (zum Beispiel über die Vorlage Codesignatur der Active Directory-Zertifikatdienste) verwenden Sie anschließend unter Code signieren. Eine öffentliche CA nimmt keinen Code-Signing-Antrag an, dessen Schlüssel in Software erzeugt wurde - zum Grund.