Ssl-certificate

Введение

Использование ssl сертификатов позволяет создать защищенное соединение по протоколу https. Данная инструкция описывает, как настроить компоненты платформы SmartPlayer для работы с SSL сертификатами.

Центры сертификации

Выделим 2 типа ценра сертификации.

1. Сертификаты выпущенными общепринятым публичным центром сертификации - это сертификаты выпускаем публичными компаниями (такие как GlobalSign, Comodo и т.п.). Выпуск сертификата подписанного таким центром сертификации платная услуга.
2. Самоподписанные сертификаты - это сертификаты выпускаемые частным(личный) центром сертификации. Частный центр сертификации в компании обычно поддерживает департамент ИТ. Сертификаты выпущенными таким центром можно использовать для разных целей, они бесплатны и могут быть созданы самостоятельно. Крупные компании иногда создают у себя в компании инфраструктуру частного центра сертификации и выпускают сертификаты подписанные им.

Типы сертификатов

Теория о типах сертификатах. Упрощенная классификация SSL включает в себя следующие варианты:

1. Сертификат с расширенной проверкой: ExtendedSSL (EV SSL). Это самое свежее и, возможно, самое важное развитие технологии SSL с момента ее введения, соблюдающее стандартизированные рекомендации по расширенной проверке. Новые высоконадежные браузеры, такие как Microsoft Internet Explorer 7+, Opera 9.5+, Firefox 3+, Google Chrome, Apple Safari 3.2+ и iPhone Safari 3.0+, распознают сертификаты ExtendedSSL как сертификаты с расширенной проверкой (EV). Для клиентов, которые хотят заявить о высочайшем уровне аутентификации.
2. Сертификат с проверкой организации OrganizationSSL (OV SSL). GlobalSign выпускает сертификаты с проверкой организации на протяжении 15 лет. Сведения о компаниях, подающих заявки на сертификат OrganizationSSL, тщательно проверяются перед выпуском сертификата.
3. Сертификат с проверкой домена: DomainSSL (DV SSL). Сертификаты DomainSSL полностью поддерживаются и распознаются браузерами, как и сертификаты OrganizationSSL, но имеют одно преимущество — они выпускаются почти мгновенно и без необходимости присылать документы компании на проверку. Это делает DomainSSL идеальным предложением для организации, которой нужно получить SSL-сертификат срочно, без дополнительных расходов и без усилий по передаче документов компании на проверку.

Цепочки сертификатов

Под выпуском сертификата подразумевается не один файл сертификата, а цепочка сертификатов которые нужно получить:

• Корневой сертификат SSL, CA certificate — это электронный документ, которым центры сертификации подписывают SSL-сертификаты при выдаче. Корневой сертификат, часто называемый доверенным корневым сертификатом, находится в центре модели доверия, которая поддерживает SSL / TLS. Каждый браузер содержит корневое хранилище. Некоторые браузеры работают самостоятельно, в то время, как другие используют стороннее хранилище сертификатов. Хранилище корневых сертификатов - это набор предварительно загруженных корневых сертификатов, которые находятся на устройстве. Корневой сертификат бесценен, поскольку браузеры автоматически доверяют сертификату, подписанному с доверенным корневым сертификатом. Доверенные корни принадлежат Центрам Сертификации (например Comodo, Thawte, Geotrust, GlobalSign, Symantec и так далее) - организациям, которые проверяют и выдают сертификаты SSL.

• Промежуточный сертификат - Центры сертификации не выдают сертификаты SSL конечного пользователя непосредственно от их Корневого сертификата. Это было бы опасно, потому что, при неправильной выдаче или ошибке, Root (Корневой сертификат) был бы отозван и каждый выпущенный сертификат, который был подписан с использованием данного Корневого сертификата, станет сразу же "Недоверенным". Таким образом, чтобы обезопасить себя, CA обычно выдает то, что называется "промежуточным сертификатом". Центр Сертификации подписывает промежуточный сертификат с его закрытым ключом, который делает его "Доверенным". Затем Центр сертификации использует закрытый ключ промежуточного сертификата для подписи сертификатов SSL конечного пользователя. Этот процесс может играть несколько раз, где промежуточный корень подписывает другое промежуточное звено, и затем CA использует это для подписания сертификата.

• SSL сертификат - уникальный сертификат выданый на доменное имя веб приложения.

В зависимости какой используется центр сертификации процесс выпуска сертификата отличается:

• "Сертификаты выпущенными общепринятым публичным центром сертификации" - можно найти любой сайт в сети интернет (например reg.ru / firstssl.ru и другие их бесчисленное множество), который занимается выпуском сертификатов от нужного центра сертификации (например: GlobalSign). На каждом сайте есть личный кабинет / инструкции как выпускать сертификаты.
• "Самоподписанные сертификаты" - обратиться в депортамент ИТ своей компании.

Настройка платформы SmartPlayer

Для корректной работы https протокола с использованием ssl сертификата(ов) нужно настроить следующие компоненты платформы:

• серверное приложение SmartPlayer
• личный кабинет SmartPlayer
• клиентские приложения SmartPlayer

К этому моменту на руках должно быть три сертификата:

• Корневой сертификат SSL, CA certificate.
• Промежуточный сертификат.
• SSL сертификат.

Настройка серверного приложения SmartPlayer

Создайте цепочку сертификатов из "промежуточного сертификата" и "ssl сертификата" соединив их в один файл. Есть разные способы, как это сделать:

1. Открыть любой тестовый редактор и в него вставить вначале содержимое файла "промежуточного сертификата", а дальше без пробелов вставить содержимое "ssl сертификата". Сохранить полученный тестовый документ с разрешением *.crt.
2. При работе в Linux достаточно выполнить команду:

cat intermediateCA.crt server-sp.crt > server-sp-chain.crt

В итоге у нас получился файл server-sp-chain.crt, который содержит в себе оба сертификата. Если файл открыть в специальной программе по работе с сертификатами, то можно увидеть следующую иерархическую структуру

1. Загрузите на сервер три сертификата любым удобным способом. Часто используемые программы:
   1. WinScp - https://winscp.net/eng/
   2. FileZilla - https://filezilla-project.org/
   3. Sftp / scp - обычно поставляются с операционной системой
2. Найдите путь, куда установлена платформа SmartPlayer на сервере. По умолчанию "/home/smartplayer/smartplayer"