Changes between Initial Version and Version 1 of CertificateAutoUpdate

Timestamp:

Mar 23, 2023, 6:35:40 PM (14 months ago)

Author:

alx

Comment:

--

CertificateAutoUpdate

@@ +1 @@
+= Выпуск и автоматическое обновление сертификата SSL для платы SW-01 =
+
+Веб-интерфейс платы SW-01 предоставляет возможность ручной установки сертификата SSL. Однако срок действия сертификатов имеет свойство истекать в самый неподходящий момент. При ручной установке и обновлении сертификатов пользователь вынужден самостоятельно следить за сроком действия всех установленных сертификатов и своевременно их обновлять. Это не очень удобно, а также есть шанс забыть вовремя обновить какой-либо из сертификатов. Кроме этого генерация ключа сертификата на одном хосте с последующим его копированием на другой хост (тем более по небезопасному протоколу HTTP!) является не лучшей практикой в плане безопасности. В данной статье рассматривается альтернативный вариант получения и последующего полностью автоматического обновления сертификата SSL для платы SW-01.
+
+== Исходные данные ==
+
+Прежде чем приступить к делу, нам потребуется:
+
+- Запись в DNS имени хоста, по которому будет происходить обращение к веб-интерфейсу платы SW-01. В данном примере мы будем использовать имя samurai-res.kolez.com.
+
+- Веб-интерфейс платы SW-01 должен быть доступен из интернета по TCP порту 80 (HTTP) или 443 (HTTPS). Для работы по HTTPS потребуется установить в плату любой временный сертификат SSL: он может быть самоподписанный или даже с истекшим сроком годности - удостоверяющий центр не будет проверять валидность сертификата.
+
+== Установка uacme ==
+
+Выпуск и обновление сертификатов мы будем осуществлять с использованием стандартного в этой области протокола ACMEv2. Для этого установим программный пакет uacme, содержащий "легковесный" клиент ACMEv2. Подключаемся к плате SW-01 терминалом по протоколу SSH и первым делом обновляем список пакетов командой `opkg update`:
+
+{{{
+root@sw01:~# opkg update
+Downloading https://repo.adc-line.ru/sw-01/ipk/all/Packages.gz.
+Inflating https://repo.adc-line.ru/sw-01/ipk/all/Packages.gz.
+Updated list of available packages in /var/lib/opkg/all.
+Downloading https://repo.adc-line.ru/sw-01/ipk/all/Packages.sig.
+Signature check passed.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/Packages.gz.
+Inflating https://repo.adc-line.ru/sw-01/ipk/armv5te/Packages.gz.
+Updated list of available packages in /var/lib/opkg/armv5te.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/Packages.sig.
+Signature check passed.
+Downloading https://repo.adc-line.ru/sw-01/ipk/at91sam9g20ek/Packages.gz.
+Inflating https://repo.adc-line.ru/sw-01/ipk/at91sam9g20ek/Packages.gz.
+Updated list of available packages in /var/lib/opkg/at91sam9g20ek.
+Downloading https://repo.adc-line.ru/sw-01/ipk/at91sam9g20ek/Packages.sig.
+Signature check passed.
+}}}
+
+Теперь устанавливаем пакет `uacme` командой `opkg install uacme`:
+
+{{{
+root@sw01:~# opkg install uacme
+Installing uacme (1.7.4-r0.9) on root.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/uacme_1.7.4-r0.9_armv5te.ipk.
+libcurl4: unsatisfied recommendation for curl-certs
+Installing libcurl4 (7.50.3-r6.0.9) on root.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/libcurl4_7.50.3-r6.0.9_armv5te.ipk.
+Installing libnghttp2-14 (1.26.0-r0.9) on root.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/libnghttp2-14_1.26.0-r0.9_armv5te.ipk.
+Configuring libnghttp2-14.
+Configuring libcurl4.
+Configuring uacme.
+}}}
+
+== Создание учетной записи ==
+
+Прежде чем запрашивать сертификат, необходимо создать учетную запись в удостоверяющем центре. Для этого выполняет команду `uacme new`. При создании учетной записи будет сгенерирован секретный ключ, которым будут подписываться все запросы к удостоверяющему центру. По умолчанию uacme генерирует ключи RSA размером 2048 бит. Тип ключа можно изменить на EC, добавив опцию `-t EC`. Размер генерируемого ключа можно изменить опцией `-b`, подробности смотрите в [https://ndilieto.github.io/uacme/uacme.html справочном руководстве] uacme. По умолчанию uacme использует каталог конфигурации (каталог, в котором хранятся сертификаты и ключи) в `/etc/ssl/uacme`. Создадим этот каталог:
+
+{{{
+root@sw01:~# mkdir -p /etc/ssl/uacme
+}}}
+
+Теперь создадим учетную запись с ключом EC размером 384 бита. В процессе выполнения uacme предложит прочитать и принять условия использования сервиса, введя "y":
+
+{{{
+root@sw01:~# uacme -v -t EC -b 384 new
+uacme: version UNKNOWN starting on Thu, 23 Mar 2023 11:13:59 +0000
+uacme: loading key from /etc/ssl/uacme/private/key.pem
+uacme: fetching directory at https://acme-v02.api.letsencrypt.org/directory
+uacme: creating new account at https://acme-v02.api.letsencrypt.org/acme/new-acct
+uacme: type 'y' to accept the terms at https://letsencrypt.org/documents/LE-SA-v1.3-September-21-2022.pdf
+y
+uacme: account created at https://acme-v02.api.letsencrypt.org/acme/acct/1023358517
+}}}
+
+== Выпуск сертификата ==
+
+Для выпуска сертификата введем команду `uacme issue samurai-res.kolez.com`, также выбрав ключ EC размером 384 бита. При выполнении этой команды удостоверяющий центр попросит установить на веб-сервере специальный файл-токен чтобы убедиться, что мы имеем контроль над сервером хоста, для которого получаем сертификат. Для установки и последующего удаления токена в пакете uacme уже имеется специальный скрипт `/usr/share/uacme/uacme.sh`, который необходимо указать в команде uacme с помощью опции `-h`:
+
+{{{
+root@sw01:~# uacme -v -t EC -b 384 -h /usr/share/uacme/uacme.sh issue samurai-res.kolez.com
+uacme: version UNKNOWN starting on Thu, 23 Mar 2023 11:22:35 +0000
+uacme: loading key from /etc/ssl/uacme/private/key.pem
+uacme: created directory /etc/ssl/uacme/private/samurai-res.kolez.com
+uacme: created directory /etc/ssl/uacme/samurai-res.kolez.com/
+uacme: loading key from /etc/ssl/uacme/private/samurai-res.kolez.com/key.pem
+uacme: /etc/ssl/uacme/private/samurai-res.kolez.com/key.pem not found
+uacme: generating new 384-bit EC key
+uacme: key saved to /etc/ssl/uacme/private/samurai-res.kolez.com/key.pem
+uacme: checking existence and expiration of /etc/ssl/uacme/samurai-res.kolez.com/cert.pem
+uacme: /etc/ssl/uacme/samurai-res.kolez.com/cert.pem does not exist
+uacme: generating certificate request
+uacme: fetching directory at https://acme-v02.api.letsencrypt.org/directory
+uacme: retrieving account at https://acme-v02.api.letsencrypt.org/acme/new-acct
+uacme: account location: https://acme-v02.api.letsencrypt.org/acme/acct/1023358517
+uacme: creating new order at https://acme-v02.api.letsencrypt.org/acme/new-order
+uacme: order location: https://acme-v02.api.letsencrypt.org/acme/order/1023358517/171799917907
+uacme: retrieving authorization at https://acme-v02.api.letsencrypt.org/acme/authz-v3/213321949517
+uacme: running /usr/share/uacme/uacme.sh begin http-01 samurai-res.kolez.com xEIoLW2A0Mdxnky4i8D2Ehp6dZlPmUdX3E7agiBloK4 xEIoLW2A0Mdxnky4i8D2Ehp6dZlPmUdX3E7agiBloK4.kh7u922KG_AhdSqfbFhPjz_n5poyn31Jw2NqUyGCbyo
+uacme: starting challenge at https://acme-v02.api.letsencrypt.org/acme/chall-v3/213321949517/4isMwQ
+uacme: polling challenge status at https://acme-v02.api.letsencrypt.org/acme/chall-v3/213321949517/4isMwQ
+uacme: running /usr/share/uacme/uacme.sh done http-01 samurai-res.kolez.com xEIoLW2A0Mdxnky4i8D2Ehp6dZlPmUdX3E7agiBloK4 xEIoLW2A0Mdxnky4i8D2Ehp6dZlPmUdX3E7agiBloK4.kh7u922KG_AhdSqfbFhPjz_n5poyn31Jw2NqUyGCbyo
+uacme: polling order status at https://acme-v02.api.letsencrypt.org/acme/order/1023358517/171799917907
+uacme: finalizing order at https://acme-v02.api.letsencrypt.org/acme/finalize/1023358517/171799917907
+uacme: polling order status at https://acme-v02.api.letsencrypt.org/acme/order/1023358517/171799917907
+uacme: retrieving certificate at https://acme-v02.api.letsencrypt.org/acme/cert/04dd142ab955eef7232fd502f73b49f878a2
+uacme: saving certificate to /etc/ssl/uacme/samurai-res.kolez.com/cert.pem.tmp
+uacme: renaming /etc/ssl/uacme/samurai-res.kolez.com/cert.pem.tmp to /etc/ssl/uacme/samurai-res.kolez.com/cert.pem
+}}}
+
+Наш сертификат выпущен и находится в файле `/etc/ssl/uacme/samurai-res.kolez.com/cert.pem`, а ключ сертификата - в файле `/etc/ssl/uacme/private/samurai-res.kolez.com/key.pem`. Для того чтобы этот сертификат начал использоваться веб-сервером платы SW-01, создадим симлинки на сертификат и ключ `/usr/share/sw/server.cer` и `/usr/share/sw/server.key` соответственно:
+
+{{{
+root@sw01:~# cd /usr/share/sw/
+root@sw01:/usr/share/sw# ln -s /etc/ssl/uacme/samurai-res.kolez.com/cert.pem server.cer
+root@sw01:/usr/share/sw# ln -s /etc/ssl/uacme/private/samurai-res.kolez.com/key.pem server.key
+}}}
+
+После этого сервер платы SW-01 автоматически обнаружит и начнет использовать наш сертификат (для этого будет перезапущен сервер HTTPS). Мы можем убедиться в том, что все работает правильно, открыв веб-браузером URL `https://samurai-res.kolez.com/`.
+
+== Настройка автоматического обновления сертификата ==
+
+Для настройки автоматического перевыпуска сертификата нам потребуется установить пакет `cron`:
+
+{{{
+root@sw01:/usr/share/sw# opkg install cron
+Installing cron (3.0pl1-r8.9) on root.
+Downloading https://repo.adc-line.ru/sw-01/ipk/armv5te/cron_3.0pl1-r8.9_armv5te.ipk.
+Configuring cron.
+ Adding system startup for /etc/init.d/cron.
+ System startup links for /etc/init.d/cron already exist.
+Stopping Vixie-cron.
+Starting Vixie-cron.
+}}}
+
+Теперь настроим выполнение команды обновления сертификата каждый день в 0:15 UTC. Для этого выполним команду `crontab -e`. Запустится текстовый редактор vi. В редакторе переходим в режим вставки текста нажатием `i` и вводим следующую строку:
+
+{{{
+15    0    *    *    *  /usr/bin/uacme -t EC -b 384 -h /usr/share/uacme/uacme.sh issue samurai-res.kolez.com
+}}}
+
+Теперь выходим из режима вставки нажатием `ESC`, а затем сохраняем отредактированный текст и завершаем редактор командой `:wq`.
+
+Как видно выше, для обновления сертификата используется та же команда, что и для его первоначального выпуска (только без опции `-v`, чтобы uacme не выводила никакого текста в ходе выполнения, если только не произошла ошибка). Каждый день в 0:15 UTC cron будет выполнять заданную нами выше команду. Если до истечения срока действия сертификата остается больше 30 дней (это значение можно изменть опцией `-d`), uacme ничего не будет делать. Если же срок действия текущего сертификата заканчивается раньше, uacme запросит выпуск нового сертификата. В случае успеха старый файл сертификата будет заменен новым (копия же старого сертификата будет сохранена под другим именем в том же каталоге). HTTPS сервер платы SW-01 обнаружит изменение файла сертификата и перезапустит сервер с использованием нового сертификата автоматически.
+
+== Заключение ==
+
+В данном примере мы пользовались услугами удостоверяющего центра Let's Encrypt, но вместо него можно использовать (почти) любой другой удостоверяющий центр, поддерживающий выпуск сертификатов по протоколу ACMEv2.
+
+Если это возможно, рекомендуется использовать ключи типа EC, так как алгоритм RSA требует намного большего объема вычислений чем алгоритм EC, при этом производительность процессора платы SW-01 не очень велика, что может приводить к значительным задержкам. Так, при использовании ключа RSA размером 4096 бит установка одного соединения TLS длится около 2 секунд. Для сравнения: при использовании ключа EC размером 384 бита установка соединения TLS длится лишь 150 мс.