Informatique Comment créer un certificat de sécurité auto-signé (SSL) et le déployer sur les ordinateurs clients

Les développeurs et les administrateurs informatiques ont sans aucun doute besoin de déployer un site Web via HTTPS à l'aide d'un certificat SSL. Bien que ce processus soit assez simple pour un site de production, vous pouvez également être amené à utiliser un certificat SSL à des fins de développement et de test..

Au lieu d'acheter et de renouveler un certificat annuel, vous pouvez utiliser la capacité de votre serveur Windows pour générer un certificat auto-signé, ce qui est pratique, facile et devrait parfaitement répondre à ces types de besoins..

Création d'un certificat auto-signé sur IIS

Bien qu'il existe plusieurs façons de créer un certificat auto-signé, nous utiliserons l'utilitaire SelfSSL de Microsoft. Malheureusement, cela n'est pas livré avec IIS, mais il est disponible gratuitement dans IIS 6.0 Resource Toolkit (lien fourni au bas de cet article). Malgré le nom «IIS 6.0», cet utilitaire fonctionne très bien dans IIS 7..

Tout ce qui est requis est d'extraire l'IIS6RT pour obtenir l'utilitaire selfssl.exe. À partir de là, vous pouvez le copier dans votre répertoire Windows ou sur un chemin réseau / un lecteur USB pour une utilisation ultérieure sur un autre ordinateur (vous n'avez ainsi pas besoin de télécharger et d'extraire le fichier IIS6RT complet)..

Une fois que vous avez installé l'utilitaire SelfSSL, exécutez la commande suivante (en tant qu'administrateur) en remplaçant les valeurs de manière appropriée:

selfssl / N: CN = / V:

L'exemple ci-dessous génère un certificat générique auto-signé contre «mydomain.com» et le définit comme valide pour 9 999 jours. De plus, en répondant oui à l'invite, ce certificat est automatiquement configuré pour se lier au port 443 dans le site Web par défaut d'IIS..

À ce stade, le certificat est prêt à être utilisé, il est uniquement stocké dans le magasin de certificats personnels sur le serveur. Il est recommandé de définir également ce certificat dans la racine de confiance..

Allez dans Démarrer> Exécuter (ou Windows Key + R) et entrez “mmc”. Vous pouvez recevoir une invite UAC, l'accepter et une console de gestion vide s'ouvrira..

Dans la console, sélectionnez Fichier> Ajouter / Supprimer un composant logiciel enfichable..

Ajouter des certificats à gauche.

Sélectionnez un compte d'ordinateur.

Sélectionnez l'ordinateur local.

Cliquez sur OK pour afficher le magasin de certificats local..

Naviguez jusqu'à Personnel> Certificats et localisez le certificat que vous avez configuré à l'aide de l'utilitaire SelfSSL. Cliquez avec le bouton droit sur le certificat et sélectionnez Copier..

Accédez à Autorités de certification racines de confiance> Certificats. Cliquez avec le bouton droit sur le dossier Certificats et sélectionnez Coller..

Une entrée pour le certificat SSL devrait apparaître dans la liste.

À ce stade, votre serveur ne devrait avoir aucun problème à travailler avec le certificat auto-signé.

Exporter le certificat

Si vous allez accéder à un site qui utilise le certificat SSL auto-signé sur n’importe quel ordinateur client (c’est-à-dire un ordinateur autre que le serveur), vous devez installer le certificat auto-signé afin d’éviter toute attaque éventuelle d’erreurs de certificat et d’avertissement sur chacune des machines clientes (que nous discuterons en détail ci-dessous). Pour ce faire, nous devons d’abord exporter le certificat correspondant pour pouvoir l’installer sur les clients..

Dans la console avec la gestion des certificats chargée, accédez à Autorités de certification racines de confiance> Certificats. Localisez le certificat, cliquez avec le bouton droit de la souris et sélectionnez Toutes les tâches> Exporter..

Lorsque vous êtes invité à exporter la clé privée, sélectionnez Oui. Cliquez sur Suivant.

Laissez les sélections par défaut pour le format de fichier et cliquez sur Suivant.

Entrer un mot de passe. Cela servira à protéger le certificat et les utilisateurs ne pourront pas l'importer localement sans entrer ce mot de passe..

Entrez un emplacement pour exporter le fichier de certificat. Ce sera au format PFX.

Confirmez vos paramètres et cliquez sur Terminer.

Le fichier PFX résultant est ce qui sera installé sur vos ordinateurs clients pour leur indiquer que votre certificat auto-signé provient d’une source approuvée..

Déploiement sur des ordinateurs clients

Une fois que vous avez créé le certificat côté serveur et que tout fonctionne, vous remarquerez peut-être que lorsqu'un ordinateur client se connecte à l'URL respective, un avertissement de certificat s'affiche. Cela se produit car l'autorité de certification (votre serveur) n'est pas une source fiable pour les certificats SSL sur le client..

Vous pouvez cliquer sur les avertissements et accéder au site. Toutefois, vous pouvez recevoir des avis répétés sous la forme d'une barre d'URL en surbrillance ou de répétitions des avertissements de certificat. Pour éviter ce désagrément, vous devez simplement installer le certificat de sécurité SSL personnalisé sur la machine cliente..

Selon le navigateur que vous utilisez, ce processus peut varier. IE et Chrome lisent tous les deux à partir du magasin de certificats Windows. Toutefois, Firefox dispose d'une méthode personnalisée de gestion des certificats de sécurité..

Note importante: Vous devriez jamais installer un certificat de sécurité d'une source inconnue. En pratique, vous ne devriez installer un certificat localement que si vous l'avez généré. Aucun site Web légitime n’exigerait que vous exécutiez ces étapes.

Internet Explorer et Google Chrome - Installation du certificat localement

Remarque: Même si Firefox n'utilise pas le magasin de certificats Windows natif, cette étape est néanmoins recommandée..

Copiez le certificat qui a été exporté du serveur (le fichier PFX) vers la machine client ou assurez-vous qu'il est disponible dans un chemin d'accès réseau..

Ouvrez la gestion du magasin de certificats local sur la machine client en suivant exactement les mêmes étapes que ci-dessus. Vous finirez par vous retrouver sur un écran comme celui ci-dessous.

Sur le côté gauche, développez Certificats> Autorités de certification racines de confiance. Cliquez avec le bouton droit sur le dossier Certificats et sélectionnez Toutes les tâches> Importer..

Sélectionnez le certificat qui a été copié localement sur votre machine..

Entrez le mot de passe de sécurité attribué lorsque le certificat a été exporté du serveur..

Le magasin «Autorités de certification racines de confiance» doit être pré-rempli en tant que destination. Cliquez sur Suivant.

Vérifiez les paramètres et cliquez sur Terminer..

Vous devriez voir un message de réussite.

Actualisez l'affichage du dossier Autorités de certification racines de confiance> Certificats pour que le certificat auto-signé du serveur soit répertorié dans le magasin..

Ceci fait, vous devriez pouvoir naviguer sur un site HTTPS qui utilise ces certificats et ne recevoir aucun avertissement ni aucune invite..

Firefox - Autoriser les exceptions

Firefox traite ce processus un peu différemment, car il ne lit pas les informations de certificat à partir du magasin Windows. Plutôt que d'installer des certificats (en tant que tels), il vous permet de définir des exceptions pour les certificats SSL sur des sites particuliers.

Lorsque vous visitez un site présentant une erreur de certificat, vous recevez un avertissement similaire à celui présenté ci-dessous. La zone en bleu nommera l'URL respective à laquelle vous essayez d'accéder. Pour créer une exception afin de contourner cet avertissement sur l'URL respective, cliquez sur le bouton Ajouter une exception..

Dans la boîte de dialogue Ajouter une exception de sécurité, cliquez sur Confirmer l’exception de sécurité pour configurer cette exception localement..

Notez que si un site particulier redirige ses sous-domaines vers un sous-domaine, vous pouvez obtenir plusieurs avertissements de sécurité (l'URL étant légèrement différente à chaque fois). Ajoutez des exceptions pour ces URL en suivant les mêmes étapes que ci-dessus.

Conclusion

Il est utile de répéter la remarque ci-dessus selon laquelle vous devriez jamais installer un certificat de sécurité d'une source inconnue. En pratique, vous ne devriez installer un certificat localement que si vous l'avez généré. Aucun site Web légitime n’exigerait que vous exécutiez ces étapes.

Liens

Téléchargez le Kit de ressources IIS 6.0 (inclut l'utilitaire SelfSSL) à partir de Microsoft