Schlagwort-Archive: SSL Zertifikat

Ein digitales Zertifikat ist ein digitaler Datensatz, der bestimmte Eigenschaften von Personen oder Objekten bestätigt und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden kann.

Windows Zertifikate MMC Konsole

Zertifikate in der Windows MMC-Konsole verwalten

Dieses Tutorial beschreibt die Verwaltung von Zertifikate in der Windows Management Console (MMC).

Windows MMC-Konsole und Snap-In für Zertifikate

Die MMC-Konsole wird mit den Tasten Win+R und Eingabe von mmc und OK geöffnet.

Windows+Ausführen
Windows Zertifikate MMC Konsole mit den Tasten Windows + R und Eingabe mmc und OK öffnen.

Der Zertifikatsspeicher wird in der MMC-Konsole1 mit Konsolenstamm geöffnet.

Der Zertifikatsspeicher wird in der MMC-Konsole1 mit Konsolenstamm geöffnet.

Im Menü auf Datei und Snap-In hinzufügen/entfernen gehen.

Im Menü auf Datei und Snap-In hinzufügen/entfernen

Im Fenster Verfügbare Snap-In steht unten das Snap-In Zertifikate zur Auswahl, dieses selektieren und den Button Hinzufügen klicken.

Im Fenster Verfügbare Snap-In steht unten das Snap-In Zertifikate zur Auswahl, dieses selektieren und den Button Hinzufügen klicken.

Mit OK bestätigen und Computerkonto wählen. Mit Eigenes Benutzerkonto werden nur Zertifikate des angemeldeten Benutzer verwaltet.

Windows Zertifikate MMC Konsole. Zertifikat-Snap-In

Lokalen Computer wählen.

Windows Zertifikate MMC Konsole

Konsole1 – Konsolenstamm wird geöffnet. Im Ordner Eigene Zertifikate sind die eigenen ausgestellten Zertifikate gespeichert.

Windows Zertifikate MMC Konsole

Im Ordner Vertrauenswürdige Stammzertifizierungsstellen sind die CA Zertifikate gespeichert.

Mit Rechtsklick über einem Zertifikat öffnet sich das Kontextmenü, unter Alle Aufgaben steht Export zur Verfügung. Auch können über Aktion oder das Kontextmenü Zertifikate importiert werden.

Windows Zertifikate MMC Konsole

Bei beenden der Konsole wird man gefragt ob Konsole1 gespeichert werden soll, hier kann ein Name eingegeben werden, beispielsweise „Computer Zertifikate“, mit Nein beendet man die MMC-Konsole wieder.

Windows Zertifikate MMC Konsole

Das speichern der Konsole1 bedeutet nur das man beim nächsten öffnen der Zertifikate Verwaltung, das Snap-In nicht wieder hinzufügen muss.

Microsoft Management Console

Die Microsoft Management Console (MMC) ist eine grafische Benutzeroberfläche zur Verwaltung von Computern unter Microsoft Windows. Die MMC selbst führt keine Verwaltungsaufgaben aus, sondern fasst Verwaltungsprogramme zusammen. Ein solches Programm für die MMC wird Snap-In genannt und trägt die Dateinamenserweiterung msc.

Mit der MMC werden die meisten Werkzeuge ausgeführt, die der Benutzer unterhalb des Systemsteuerungseintrags „Verwaltung“ findet, darunter die Computerverwaltung mit dem Gerätemanager und der Datenträgerverwaltung sowie die Dienststeuerung. Die Hauptansicht der Management Console zeigt links einen Baum, in dem das gewünschte Snap-in ausgewählt wird. Rechts erscheinen dann die zugehörigen Optionen.

Snap-Ins können direkt über das Startmenü, die Kommandozeile, PowerShell oder den Dialog „Ausführen“ gestartet werden, wodurch die MMC mit dem entsprechenden Modul ausgeführt wird. Teilweise sind diese jedoch nur in Verbindung mit einem Windows-Server funktionell beziehungsweise nur auf einem solchen verfügbar. Bei vielen Snap-Ins ist sowohl möglich, einen lokalen Computer, als auch einen entfernten Computer zu verwalten.

Ferner ist es möglich, über die MMC selbst, beziehungsweise über deren SDK, oder die Win32-API, benutzerdefinierte Ansichten und Konsolen zu erstellen oder zu entwickeln.

Let’s Encrypt Zertifikat Windows und Exchange Server

Let’s Encrypt Zertifikat für Windows IIS Websites und Exchange Server erstellen

HTTPS verschlüsselte Webseiten sind der neue Standard, und bei Kontaktformularen sogar Pflicht. Seit 2017 markiert Google unverschlüsselte Seiten als unsicher, zudem bevorzugen Suchmaschinen HTTPS-Webseiten für tendenziell besseres Ranking. Voraussetzung für die Einrichtung einer sicheren HTTPS-Verbindung ist ein vertrauenswürdiges Zertifikat, dieses von Zertifizierungsstellen (Certificate Authority, CA) ausgestellt werden.

Verschlüsselte Datenübertragung

Die verschlüsselte Datenübertragung zwischen Client und Server erfolgt anschliessend per SSL/TLS. In der Regel sind diese Zertifikate nicht kostenlos erhältlich – doch es gibt kostenlose Alternativen wie die Let’s Encrypt Initiative. In dieser Anleitung wird ein SSL-Zertifikat mit Let’s Encrypt selbst erstellt, für Windows IIS-Manager und Exchange Server.

Was ist Let’s Encrypt?

Let’s Encrypt

Die Certificate Authority (CA) Let’s Enrypt bietet seit Ende 2015 kostenlos und automatisiert SSL-Zertifikate an. Das erklärte Ziel: die Schaffung eines einfachen, kostenlosen und verschlüsselten Internets.

Let’s Encrypt mit Certify Certificate Manager

Let’s Encrypt stellt noch kein offizielles Tool zur Verfügung, um die ACME Challenge wie für Linux Server, auch auf einem Windows Server und Exchange Server durchzuführen. Da es jedoch ein offenes Protokoll ist, gibt es bereits diverse Tools, die alle auf den ACME Dienst von Let’s Encrypt zurückgreifen. Zu empfehlen ist hier Certify the web von Webprofusion. Zum aktuellen Zeitpunkt ist Certify the web mit der Version 4.1.6 für eine begrenzte Anzahl Zertifikate kostenlos erhältlich. Es ist das bisher einzige Tool mit GUI und bietet Premium-Funktionen wie die automatisierte Verlängerung der Zertifikate und Multidomain Zertifikate.

Certify The Web

Als Voraussetzung gilt für “Certify the web”, ist dass der Windows Server auf dem neusten Stand ist und IIS bereits installiert ist, die Webseite auf dem Webserver muss über Port 80 erreichbar sein. Außerdem muss man eine Domain besitzen, und Zugriff haben auf deren DNS Einträge. Man fügt in der DNS-Zone der Domain, einen A-Record auf die IPv4 Adresse und einen AAAA-Record auf die IPv6 Adresse des Webservers ein.

Installation

Certify the web wird auf dem Server installiert, auf diesem IIS ausgeführt wird. Das kostenlose Tool kann man hier herunterladen, oder es wird in der Eingabeaufforderung mit „winget“ Windows Package Manager installiert.

winget install -e --id CertifyTheWeb.CertifySSLManager

Beim ersten start wird man begrüsst mit der Bitte, einen neuen Kontakt zu registrieren, über die E-Mail Adresse die man registriert, lässt Let’s Encrypt einem auf dem laufenden, und erinnert uns über die Laufzeit des Zertifikats.

Im IIS-Manager (inetmgr) wird als Bindung der Hostname mit dem Domainname eintragen, zum Beispiel web.shop.net.

Let’s Encrypt Zertifikat für Windows IIS Websites und Exchange Server
Im IIS-Manager (inetmgr) wird als Bindung der Hostname mit dem Domainname eintragen.
Bindungen bearbeiten…

Unter Sites über der entsprechenden Site mit Rechtsklick das Kontextmenü öffnen und auf Bindungen bearbeiten gehen.

Let's Encrypt Zertifikat für Windows IIS und Exchange Server
Sitebindung und Let’s Encrypt Zertifikat

Als Hostname wird hier web.shop.net eingetragen.

Certify Start

Jetzt den “Certify the web” Manger starten, um für die Domain ein CA Zertifikat anfordern zu lassen.

Let’s Encrypt Zertifikat mit Certify the web

Man Klickt auf New Certificate um eine neues Zertifikat ausstellen zu lassen, nach dem man im Feld Add domains to certificate den Domainname einträgt und auf den Button ADD DOMAIN klickt.

Mit klick auf Request Certificate wird das Zertifikat angefordert und automatisch installiert.

ACME auf Exchange Server

Zertifikat für IIS und Exchange mit ACME Lets Encrypt ausstellen. Die CA von Let’s Encrypt stellt Zertifikate auch für SAN (Subject Alternative Name) Zertifikate aus, Wildcard-Zertifikate werden seit Anfang 2018 unterstützt.

Für öffentlich zugäng­liche Web­sites sind SSL-Verbin­dungen mittler­weile Standard, und selbiges sollte auch für Exchange gelten. Let’s Encrypt betreibt eine freie CA, die Zerti­fikate nicht nur kosten­los, sondern auch weit­gehend automa­tisiert ausstellt. Diese Anleitung zeigt das Vorgehen für IIS und Exchange.

Zur Verifikation, ob der Antragsteller jener ist, der die Domäne kontrolliert, für die er ein Zertifikat beanträgt, setzt Let’s Encrypt das ACME-Protokoll (Automatic Certificate Management Environment) ein.

Bei jeder Methode die zur Verifizierung der Domain verwendet wird, muss der FQDN über ein öffentlichen DNS-Server auflösbar und der Host auf Port 80 aus dem Internet erreichbar sein.

Das gilt auch, wenn man sich für die Verifizierung mittels Datei entscheidet, die der Client auf den lokalen Rechner herunterlädt. Diese muss dann auf den Host kopiert werden und dort für Let’s Encrypt zugänglich sein. Damit der ACME-Client die Hostnamen aus der IIS-Konfiguration ermitteln kann, muss im IIS-Manager sichergestellt werden, dass HTTP bei den gewünschten Sites an die jeweiligen FQDN gebunden ist.

Zertifikat anfordern

Das interaktive Tool win-acme kann hier heruntergeladen werden, nach dem entpacken wird in einem als Administrator geöffneten Comand Prompt wacs.exe ausgeführt.

Zertifikat anfordern

Wir wählen hier also M Create new certificate (full options) für ein SAN Certificate. Seit Exchange 2013 werden zwei IIS-Sites verwendet, die ein Zertifikat benötigen. Danach wählen wir als Methode die Option 3 „[http-01] Create temporary application in IIS“.

Nach erfolgreicher Ausstellung des Zertifikats legt wacs.exe das Zertifikat unter C:\ProgramData\win-acme\httpsacme-v01.api.letsencrypt.org ab.

Dienste IIS SMTP IMAP

Exchange hat an dieser Stelle noch nicht für jeden Dienst ein Zertifikat. Das kann man manuell in der ECP-Konsole erledigen, oder aber das hierfür bereitgestellte Script ImportExchange.ps1 werwenden.

Interactive ausführung in Exchange Command Prompt (wacs.exe)

Create certificate with full options
 Manually input host names
 [http-01] Self-host verification files
 Create or update https bindings in IIS
 Would you like to add another installer step? (y/n): Y
 Run a custom script
 Would you like to add another installer step? (y/n): N
 Choose site to create new bindings: Default Web Site (or where ever OWA is at)
 Enter the path to the script that you want to run after renewal: ./Scripts/ImportExchange.ps1
 Enter the parameter format string for the script: '{CertThumbprint}' 'IIS,SMTP,IMAP' 1 '{CacheFile}' '{CachePassword}' '{CertFriendlyName}'

Es muss sichergestellt sein, das aufgrund der 90 Tage begrenzten Gültigkeit des Zertifikats, das dessen Erneuerung nicht verpasst wird. Am besten erstellt man hierfür ein geplanten Task. Dieser sollte nicht nur den ACME-Client mit dem renew-Parameter enthalten, sondern auch die zuweisung der Dienste.