|
|
|
Z bezpečnostních důvodů přechází Verisign/thawte na silnější privátní klíče a bezpečnější hasovací funkci. Nově proto budou podepisovány jen certifikáty, které mají 2048 bitů dlouhý privátní klíč a SHA1 hash. Tato změna se týká i kořenových certifikátů samotných certifikačních autorit, ty jsou vytvořeny nové a pro podepisování se používají již pouze nové kořenové certifikáty.
Pro klienty existuje přechodné období po které je ještě možné podepsat i žádosti s klíčem délky 1024 bitů, ale nedoporučuje se to.
S použitím nových kořenových certifikátů souvisí i další změna, pro lepší ochranu kořenových certifikátů nadále jsou certifikáty podepisovány výhradně tzv. intermediate certifikátem a teprve ten je podepsán kořenových certifikátem, který je dostupný v každém prohlížeči. Proto se proti dřívějšku mění i způsob instalace certifikátů. Někteří klienti ještě potřebují Cross Root certifikát, ten je také potřeba přidat. Cross Root je skutečně potřeba, byť novější verze prohlížečů mohou považovat certifikát za důvěryhodný i bez něj, staré verze by měly problém. Instalace SSL123 certifikátu Je potřeba stáhnou balíček certifikátů z thawte článku SO15464, většinou to bude tento a balíček certifikátů umístit do souboru, který pojmenujeme např intermediate.crt Na tento soubor je potom potřeba odkázat z konfigurace Apache, existují dva způsoby, výše zmíněný článek uvádí: SSLCACertificateFile /usr/local/ssl/crt/intermediate.crtMy považujeme za vhodnější: SSLCertificateChainFile /usr/local/ssl/crt/intermediate.crtAle je možné zkusit obě řešení, některé verze apache se mohou chovat odlišně. Instalace SSL Web Server certifikátu a Wildcard certifikátu Je potřeba stáhnou balíček certifikátů z thawte článku SO15464, většinou to bude tento (Pozor balíček se pro SSL123 a pro SSL Web Server liší) a balíček certifikátů umístit do souboru, který pojmenujeme např intermediate.crt Na tento soubor je potom potřeba odkázat z konfigurace Apache, existují dva způsoby, výše zmíněný článek uvádí: SSLCACertificateFile /usr/local/ssl/crt/intermediate.crtMy považujeme za vhodnější: SSLCertificateChainFile /usr/local/ssl/crt/intermediate.crtAle je možné zkusit obě řešení, některé verze apache se mohou chovat odlišně. Kontrola správné instalace certifikátu Aby klient viděl, že instalaci provedl správně, je u thawte dostupný nástoj, který instalaci certifikátu ověří. Bohužel je k dispozici jen v anglickém jazyce. SSL checker Samozřejmě v případě jakýchkoliv obtíží neváhejte kontaktovat naši podporu a poradíme Vám. |
||||||||||
