Il existe beaucoup de tutoriels sur Internet qui montre comment créer des certificats en utilisant OpenSSL. La plupart sont en anglais même s’il en existe quelques-uns en français. L'opération est assez complexe ce qui explique la longueur de ces tutoriels. Cependant, il est assez difficile pour un néophyte de savoir ce que l'on fait vraiment après avoir copié coller les commandes indiquées dans ces derniers. J'ai réalisé ce tutoriel afin d'expliquer au mieux la création de certificats SSL, mais sans entrer dans les détails.

Pour ceux que ça intéresse, voici 2 liens expliquant très bien le fonctionnement du chiffrement des communications par Socket SSL :

Source commentcamarche.net

Cryptographie - Secure Sockets Layers (SSL)

Les certificats

Schéma général

Avant de partir dans les lignes de commande. Voici un schéma représentant les fichiers qui vont être générés dans ce tutoriel et leur futur emplacement dans un réseau quelconque.
(Schéma a venir).

Pré requis

Avant de commencer à jouer à "l'autorité de certification", vous aurez besoin au préalable d'installer les logiciels suivants :

OpenSSL

Vous permettra de créer un certificat autosigné. Ce certificat pourra être utilisé pour test et/ou pour une application en exploitation. Pour cela, il est nécessaire d'utiliser la bibliothèque open source OpenSSL.
Télécharger et installer la bibliothèque OpenSSL compilée pour Windows : http://www.slproweb.com/products/Win32OpenSSL.html
note : L’installation est peut longue sur la fin, soyez patient.

Dépendances d’OpenSSL

OpenSSL nécessite Microsoft Visual C++ 2008 Redistributable pour fonctionner si vous ne l’avez pas il faut aussi l’installer.
Microsoft Visual C++ 2008 Redistributable Package

Pour 64Bits : http://www.microsoft.com/downloads/fr-fr/details.aspx?FamilyID=ba9257ca-337f-4b40-8c14-157cfdffee4e

Pour 32 Bits : http://www.microsoft.com/downloads/fr-fr/details.aspx?FamilyID=ba9257ca-337f-4b40-8c14-157cfdffee4e

Perl

Pour l’exécution des scripts Perl ci-dessous vous aurez d’un moteur Perl sur votre ordinateur.
Télécharger et installer un moteur Perl : http://www.perl.org/get.html#win32

Créer une autorité de certification

Une autorité de certification est une entité ayant le pouvoir de signer des certificats. Le client doit installer le certificat de l'autorité de certification dans les sociétés dites "de confiance" pour que tous les certificats signés par cette autorité et ne présentant pas de défaut soient acceptables.

-          Ouvrir une ligne de commande (exécuter cmd).

-          Se positionner dans le répertoire dans répertoire d’installation d’OpenSSL/bin

-          Saisir :

-          Tapez [Entrée] pour créer une nouvelle CA.

-          Saisissez le mot de passe de la clé privée (2 fois).

A l'issue du script, dans le sous-répertoire "demoCA" vous trouverez 2 fichiers :

./cacert.pem (la partie publique du certificat qui servira à signer les autres).
./private/cakey.pem (la clé privée).

-          Copiez le fichier "./cacert.pem" et le renommer en cacert.crt. Ce fichier devra être installé sur toutes les machines qui communiqueront avec des serveurs dont le certificat aura été signé par cette autorité. Voir : installation d'un certificat.

Votre autorité de certification est maintenant créée et prête à l'emploi.

Un problème ?

Vous vous être trompé ou souhaitez simplement recommencé. Mais la commande « CA.pl –newca » ne répond pas. Pour recommencer, supprimer tout les dossiers sauf, ./PEM  situés dans le répertoire « bin » de votre installation d’OpenSSL.

Créer un certificat pour votre serveur

La création de votre certificat serveur comporte 3 étapes :

• Création d'une demande pour un nouveau certificat serveur auprès de l'autorité de certification.
• Validation de la demande par l'autorité de certification.
• Génération du certificat server complet intégrant la signature de l'autorité de certification.

Création d'une demande pour un nouveau certificat serveur

Vous allez maintenant demander un certificat pour votre serveur à l'autorité de certification que vous venez de créer dans l'étape précédente. C'est un peu comme remplir la carte d'identité du serveur qui sera validé par la suite.

Pour ce faire, exécutez la commande suivante (toujours à partir du répertoire bin) :

Tapez [Entree] et suivez les questions:

Signer le certificat serveur avec votre clé d'autorité de certification

Cette étape consiste à faire reconnaître l'identité de votre serveur par l'autorité de certification.

Utiliser la commande suivante (toujours à partir du dossier ./bin d'OpenSSL) pour signer la demande avec l'autorité créée :

Tapez [Entree] et suivez les questions:

Deux fichiers sont alors créés dans le répertoire <RepOpenSSL>/bin : newreq.pem et newreq.key.

Le fichier newcert.pem vous permettra par la suite de générer le certificat complet du serveur.

Génération du certificat server complet

Nous allons maintenant procéder à la création du certificat final qui devrat être installé sur votre serveur avec la commande suivante :

Tapez [Entree] et suivez les questions.

Le fichier newcert.p12 est créé.

C'est ce fichier qu'il faut installer sur le serveur (iniquement). Lors de l'installation (voir: installation d'un certificat), ne pas cocher la case "Activer la sécurité renforcée" : si cette option est cochée, le mot de passe de la clé privée serait demandée à chaque appel.

Conclusion

Félicitations, si vous avez suivi chaque étape à la lettre vous avez probablement réussi à reproduire toute la chaîne qui permet d'émettre et d'utiliser les certificats pour sécuriser les communications entre vos serveurs et ses clients. Cependant, personne n'est parfait, si vous voyez quelque chose d'incorrect ou précision quelconque à apporter, n'hésiter pas et publiez vos critiques en bas de la page je me ferais une joie de le les intégrer dans ce tutoriel.