POSTFIX (SMTP) + POP3 + SSL

Transkrypt

1 POSTFIX (SMTP) + POP3 + SSL Uycie certyfikatów niekwalifikowanych w oprogramowaniu POSTFIX wersja 1.1

2 Spis treci 1. WSTP TWORZENIE KLUCZY I CERTYFIKATU DLA DEMONÓW SMTP I POP GENEROWANIE WNIOSKU O CERTYFIKAT (CSR) TWORZENIE CERTYFIKATU NA PODSTAWIE UTWORZONEGO DANIA (CSR) IMPORTOWANIE CERTYFIKATÓW INSTALOWANIE KLUCZY I CERTYFIKATU SERWERA ORAZ CERTYFIKATÓW CERTUM CA INSTALOWANIE KLUCZY I CERTYFIKATÓW W POSTFIX INSTALOWANIE KLUCZY I CERTYFIKATÓW W POP3S KONFIGUROWANIE POSTFIX DO OBSŁUGI PROTOKOŁU SMTP W OTOCZENIU SSL EKSPORT KLUCZY (DO PACZKI PFX)... 9

3 1. Wstp Postfix jest zaawansowanym serwerem pocztowym, przeznaczonym głównie na platform Unix. Dziki wbudowanym mechanizmom bezpieczestwa potrafi nawiza szyfrowane i autoryzowane połczenie za pomoc protokołu TLS z drugim serwerem SMTP, lub klientem poczty elektronicznej, umoliwiajc w ten sposób bezpieczn wymian informacji. Niniejszy dokument zawiera instrukcj generowania unikalnej pary kluczy oraz CSR, dla serwera Postfix. Wicej informacji znajdziecie Pastwo na oficjalnych stronach projektu: Aby właciwie skonfigurowa połczenia SSL na linii klient-serwer potrzebne bd nastpujce komponenty: Serwer MTA Postfix Demon POP3 tutaj w postaci pakietu imap-2002d-2.src.rpm Biblioteka OpenSSL Jeli Twoja dystrybucja Linuksa nie obejmuje powyszych składników, cignij je i zainstaluj. Zanim zabierzemy si za konfigurowanie bezpiecznych połcze pocztowych przekonajmy si czy: Serwer DNS jest odpowiednio skonfigurowany (dodany wpis MX). Sendmail jest skonfigurowany z protokołem SMTP. Sendmail jest zintegrowany z agentem POP3 (lub IMAP) z paczki IMAP. Dodani zostali uytkownicy poczty wraz z hasłami (addusr/passwd). Klient poczty jest skonfigurowany.... i czy cały mechanizm działa poprawnie. Przy pisaniu tej instrukcji, Autor korzystał z dystrybucji: Red Hat Enterprise Linux Tworzenie kluczy i certyfikatu dla demonów SMTP i POP Generowanie wniosku o certyfikat (CSR) W celu wygenerowania kluczy i wniosku o certyfikat, wykorzystamy zewntrzne narzdzie Openssl które mona cign ze strony: Po instalacji biblioteki Openssl, wydajemy polecenie: openssl genrsa -des3 -out server.key 1024 Polecenie to spowoduje wygenerowanie klucza prywatnego o nazwie server.key dla naszego serwera. Klucz ten bdzie miał długo 1024 bity i bdzie zaszyfrowany algorytmem symetrycznym 3des. Podczas generowania klucza bdziemy poproszeni o hasło, które zabezpieczy komponent. POSTFIX (SMTP) + POP3 + SSL Wstp 3

4 Plik CSR wraz z kluczem prywatnym server.key naley zabezpieczy na dyskietce lub innym noniku. Po pomylnym wygenerowaniu klucza prywatnego wydajemy polecenie: openssl req -new -key server.key -out server.csr Wynikiem tego polecenia jest danie certyfikatu CSR serwera, które zapisane zostanie w pliku server.csr. Pamitajmy o wskazaniu pliku z kluczem prywatnym server.key. Podczas generowania dania CSR naley poda hasło zabezpieczajce klucz prywatny oraz dane zwizane z nasz firm i serwerem poczty: Country (C) - dwuliterowy symbol kraju (PL). Naley uy kodu ISO, np. poprawnym kodem Polski jest PL (due litery), a nie pl czy RP. State / Province (ST) - nazwa województwa, np.: Zachodniopomorskie. Nie naley stosowa skrótów. City or Locality (L) - nazwa miasta lub wsi, np.: Szczecin, Kozia Wolka, Warszawa. Organization Name (O) - pełna nazwa swojej organizacji / firmy, np.: Moja Firma Organizational Unit (OU) - jeeli zachodzi taka potrzeba, mona wypełni to pole, wstawiajc nazw działu np. Oddzial w Moja Firma Common Name (CN) - bardzo wane pole! Musi si tutaj znale pełna nazwa DNS (fqdn) serwera np.: mojadomena.pl *.mojserwer.pl. Uwaga: Uywanie znaków specjalnych % ^ $ _ lub polskich znaków diakrytycznych: Ł przy podawaniu tych informacji spowoduje nieprawidłowe wygenerowanie certyfikatu!!! Pamitajmy, e w pole Common Name musimy wpisa nazw fqdn naszego serwera, np. poczta.mojserwer.com, pop3.mojadomena.pl, smtp.test.com.pl POSTFIX (SMTP) + POP3 + SSL Tworzenie kluczy i certyfikatu dla demonów SMTP i POP3 4

5 2.2. Tworzenie certyfikatu na podstawie utworzonego dania (CSR) Wygenerowane w kroku poprzednim danie powinno mie posta podobn jak poniej: -----BEGIN NEW CERTIFICATE REQUEST----- MIIDMDCCApkCAQAwgZoxGzAZBgNVBAMTEmRsdWJhY3oudW5pemV0by5wbDEhMB8G A1UECxMYRHppYWwgT2Nocm9ueSBJbmZvcm1hY2ppMRswGQYDVQQKExJVbml6ZXRv IFNwLiB6IG8uby4xETAPBgNVBAcTCFN6Y3plY2luMRswGQYDVQQIExJaYWNob2Ru aw9wb21vcnnrawuxczajbgnvbaytalbmmigfma0gcsqgsib3dqebaquaa4gnadcb iqkbgqc8jvrqrpbltozyvmjfxcef5picylmqv6z2al0j2gmoekbccyzf1khodsww 0ZF54FrTZhyKwYqfgiHO5duLfJSBqb/PTzovZH9qXUtxl+zQIhcJnA4Z/jKyWHGl X7LUlC9u2bas/vWwQZWYvxeqNMW4RZ+LU9Qqm9b/YD2qtOZ2qwIDAQABoIIBUzAa BgorBgEEAYI3DQIDMQwWCjUuMC4yMTk1LjIwNQYKKwYBBAGCNwIBDjEnMCUwDgYD VR0PAQH/BAQDAgTwMBMGA1UdJQQMMAoGCCsGAQUFBwMBMIH9BgorBgEEAYI3DQIC MYHuMIHrAgEBHloATQBpAGMAcgBvAHMAbwBmAHQAIABSAFMAQQAgAFMAQwBoAGEA bgbuaguabaagaemacgb5ahaadabvagcacgbhahaaaabpagmaiabqahiabwb2agka ZABlAHIDgYkAXxNuAz6gcBaZUdef8WQ2PAroKMW8sprcKv7QD2encz6/Wct9DZ5C kgynlgy0f+lff7visdjqxywaj68ddqgxyaqiilf63kivptic6yxlanx65v3cnkfx 4UrUrGXZtub7M7/NuxSipOW0Vv7yCHganypxDyRzp6IhulEnL4APEH4AAAAAAAAA ADANBgkqhkiG9w0BAQUFAAOBgQAsTG3Hu00fFzNTekFo/fb3tKsmuS/1rCCB5sQK inpwgz8z8+tmqbb0tuz4fptkesqlpwv1orfmxmkpiu10dc3qwrp2e//ompnau807 IJIDwn2VZ7qQ/h0KcWoWSPmvt7J0KKshdGgAF7P6AYc7W4yA9B9nPeyEzQRW0t4D YBApPQ== -----END NEW CERTIFICATE REQUEST----- Majc wygenerowane danie wypełniamy formularz zgłoszeniowy i wklejamy CSR na stronie CERTUM ( -> Oferta -> Certyfikaty niekwalifikowane -> Zabezpieczanie serwerów -> Serwery SSL i na dole strony wybieramy Kup certyfikat). POSTFIX (SMTP) + POP3 + SSL Tworzenie kluczy i certyfikatu dla demonów SMTP i POP3 5

6 UWAGA: W celu wklejania certyfikatu na stronie naley skopiowa fragment tekstu od linii "--BEGIN CERTIFICATE --" do "--END CERTIFICATE--" (razem z tymi liniami!!!), uywajc do tego celu edytora tekstowego. Upewniamy si, e w polu jest wpisany poprawny adres (na ten adres zostan wysłane dalsze instrukcje), oraz, e zaznaczylimy pole Potwierdzam Owiadczenie i klikamy Dalej. Pojawi si strona, na której moemy si upewni, e nasze danie CSR zostało wygenerowane na prawidłowe dane. Uwaga: Naley si upewni, e w polu podmiot jest wpisana poprawna nazwa naszej strony (jeli kupujemy certyfikat na domen poczta.mojserwer.com upewnijmy si, e ta nazwa widnieje w tym polu)!!! Upewniwszy si co do poprawnoci wprowadzonych danych klikamy Dalej: Po wykonaniu powyszej procedury zostaniemy poinformowani stosownym em o dalszych krokach naszych działa Importowanie certyfikatów Po wykonaniu powyszej procedury z poprzedniego punktu otrzymamy stosownego a z adresem strony oraz numerem ID umoliwiajcym aktywacj certyfikatu (umieszczenie certyfikatu w naszym repozytorium dostpnym na stronach www). Wchodzimy na stron, wklejamy ID i aktywujemy certyfikat klikajc Dalej: POSTFIX (SMTP) + POP3 + SSL Tworzenie kluczy i certyfikatu dla demonów SMTP i POP3 6

7 Pojawi si okno ze szczegółami naszego certyfikatu: Klikamy Zapisz tekstowo, aby zapisa certyfikat jako plik *.pem lub Zapisz binarnie, aby zapisa certyfikat jako plik *.cer. UWAGA: W przypadku utraty pliku z certyfikatem, moemy j pobra ze strony -> Obsługa certyfikatów -> Wyszukaj certyfikat (niekwalifikowany). Dla interesujcego nas certyfikatu wybieramy opcj Zapisz tekstowo lub Zapisz binarnie: UWAGA: Pobrany w ten sposób plik zawiera jedynie certyfikat serwera pozostałe certyfikaty CERTUM mona pobra z działu Obsługa certyfikatów -> Zawiadczenia i klucze i dołczy do pobranego pliku. POSTFIX (SMTP) + POP3 + SSL Tworzenie kluczy i certyfikatu dla demonów SMTP i POP3 7

8 3. Instalowanie kluczy i certyfikatu serwera oraz certyfikatów Certum CA Poza naszym certyfikatem trzeba jeszcze dodatkowo zainstalowa na serwerze certyfikaty CERTUM (certyfikaty CERTUM w jednej paczce znajduj si pod adresem W paczce znajduj si wszystkie certyfikaty CERTUM: wszystkie certyfikaty porednie (w kolejnoci od Level I do Level IV), oraz root CA na kocu. Moemy doda nasz certyfikat na pocztku pliku ca-bundle.crt (od linii "--BEGIN CERTIFICATE --" do "--END CERTIFICATE--") 3.1. Instalowanie kluczy i certyfikatów w Postfix Do pobranej/utworzonej paczki certyfikatów pozostaje doda klucz prywatny. Aby tego dokona wydajemy polecenie: #cat server.key > ca-bundle.crt Polecenie spowoduje dopisanie klucza prywatnego do zbioru certyfikatów i zapisanie wyniku do pliku ca-bundle.crt, który naley umieci (wg konfiguracji) w /etc/postfix. Pamitajmy, aby klucz prywatny nie miał postaci zaszyfrowanej!!! Aby zdj hasło z klucza prywatnego, naley wyda polecenie: Restartujemy serwer poleceniem: #postfix restart Instalacja klucza prywatnego, certyfikatu serwera, certyfikatu Certum CA i certyfikatów porednich została zakoczona pomylnie Instalowanie kluczy i certyfikatów w POP3S W celu instalacji kluczy i certyfikatów naley doda klucz prywatny (server.key) oraz pobrany/utworzony plik z certyfikatami serwera i Certum (ca-bundle.crt) dopisa do pliku ipop3d.pem (przy instalacji paczki naley poda ciek dla tego pliku). UWAGA!!! Naley pamita, aby klucz prywatny nie był w postaci zaszyfrowanej: Restartujemy serwer pop3s: #xinetd restart Instalacja klucza prywatnego, certyfikatu serwera, certyfikatu Certum CA i certyfikatów porednich została zakoczona pomylnie. POSTFIX (SMTP) + POP3 + SSL Instalowanie kluczy i certyfikatu serwera oraz certyfikatów Certum CA 8

9 4. Konfigurowanie Postfix do obsługi protokołu SMTP w otoczeniu SSL W celu instalacji kluczy i certyfikatów w Postfix edytujemy plik master.cf i odkomentowujemy linijki wymuszajce uwierzytelnianie i bezpieczne połczenie: smtps inet n n - -smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes submission inet n - n -smtpd -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes -o smtpd_etrn_restrictions=reject W pliku main.cf definiujemy ciek do pliku z kluczem i certyfikatami: smtpd_tls_cert_file = /etc/postfix/ ca-bundle.crt smtpd_tls_key_file = $smtpd_tls_cert_file W tym przypadku wszystkie potrzebne komponenty umieszczane s w jednym pliku (ca-bundle.crt). Postfix odczyta je w nastpujcej kolejnoci: klucz prywatny serwera (niezaszyfrowane) certyfikat serwera certyfikaty porednie (w praktyce potrzebny jest tylko ten certyfikat poredni, który odpowiada klas certyfikatowi naszego serwera np. Certum Level III dla certyfikatu Enterprise/Wildcard) główny certyfikat Certum CA 5. Eksport kluczy (do paczki pfx) Aby wyeksportowa klucz i certyfikat z serwera po prostu kopiujemy pliki z kluczem prywatnym server.key i certyfikatem server.crt w bezpieczne miejsce. Aby utworzy z tych plików paczk pfx naley z poziomu Openssl-a wpisa: POSTFIX (SMTP) + POP3 + SSL Konfigurowanie Postfix do obsługi protokołu SMTP w otoczeniu SSL 9