SSLがWindows上のApacheで機能しない

Question

WindowsでApacheを使用する必要があるベンダーの製品を使用しています。

独自のCAがあります。

命名のために：

AppServer-Server2012r2-Apache 2.4

OldCertsha1-Server2012r2

NewCertsha2-Server2012r2

以下の2つのコマンドを使用して、AppServerにCSRを作成しました。

genrsa –des3 –out name.sub.domain.com.key 2048 req –new –key name.sub.domain.com.key –out name.sub.domain.com.csr

それはすべてうまくいく

req -noout -text -in name.sub.domain.com.csr Certificate Request: Data: Version: 0 (0x0) Subject: C=xx, ST=xx, L=xx, O=xx, OU=xx, CN=name.sub.domain.com Subject Public Key Info: Public Key Algorithm: rsaEncryption RSA Public Key: (2048 bit) Modulus (2048 bit): e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: e1:ae:5a:e8:26:81:fd:a0:49:f9:a3:c0:77:75:0f: 321:rf Exponent: 65537 (0x10001) Attributes: a0:00 Signature Algorithm: sha1WithRSAEncryption aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d:9a:56:b4:22:e8:a5:1a:e8:43:1d:6f:ef:86:d8: aa:e4:b7:1d

次に、CAサーバーで

https：// NewCertsha2/CertSrv

証明書をリクエストする

高度な証明書要求。

Base-64でエンコードされたCMCまたはPKCS＃10ファイルを使用して証明書リクエストを送信するか、base-64でエンコードされたPKCS＃7ファイルを使用して更新リクエストを送信します。

AppServerでCSRを開き、CSR情報をボックスに貼り付けます

テンプレートWebサーバー（10年）

ここに2つの選択肢があります

DERエンコードまたはBase 64エンコード

どちらを選択しても.cerと.p7bファイルをダウンロードします

OldCertsha1サーバーで同じ手順を実行したところ、同じ結果が得られました

Httpd-ssl.confファイルを編集するときに、以下を追加してApache2.4サービスを再起動します

SSLCertificateFile "E:/Apache24/conf/Certs/name.sub.domain.com.crt" SSLCertificateKeyFile "E:/Apache24/conf/Certs/name.sub.domain.com.key"

上記の選択（DERエンコードまたはBase 64エンコード）から、タイプごとに次のエラーが発生します。

DERエンコード：

[Wed Jan 11 08:37:44.471616 2017] [proxy:error] [pid 4804:tid 1780] (OS 10061)No connection could be made because the target machine actively refused it. : AH00957: HTTP: attempt to connect to 127.0.0.1:8080 (127.0.0.1) failed [Wed Jan 11 08:37:44.471616 2017] [proxy:error] [pid 4804:tid 1780] AH00959: ap_proxy_connect_backend disabling worker for (127.0.0.1) for 60s [Wed Jan 11 08:37:44.471616 2017] [proxy_http:error] [pid 4804:tid 1780] [client ::1:61346] AH01114: HTTP: failed to make connection to backend: 127.0.0.1, referer: https://name.sub.domain.com/knoahsoft/faces/client/index1.jspx?_afPfm=5600447c [Wed Jan 11 13:13:56.437605 2017] [ssl:emerg] [pid 20860:tid 540] AH02562: Failed to configure certificate name.sub.domain.com:443:0 (with chain), check E:/Apache24/conf/Certs/name.sub.domain.com.cer [Wed Jan 11 13:13:56.437605 2017] [ssl:emerg] [pid 20860:tid 540] SSL Library Error: error:0906D06C:PEM routines:PEM_read_bio:no start line (Expecting: TRUSTED CERTIFICATE) -- Bad file contents or format - or even just a forgotten SSLCertificateKeyFile? [Wed Jan 11 13:13:56.437605 2017] [ssl:emerg] [pid 20860:tid 540] SSL Library Error: error:140DC009:SSL routines:SSL_CTX_use_certificate_chain_file:PEM lib [Wed Jan 11 13:14:14.375459 2017] [ssl:emerg] [pid 23800:tid 544] AH02562: Failed to configure certificate name.sub.domain.com:443:0 (with chain), check E:/Apache24/conf/Certs/name.sub.domain.com.cer [Wed Jan 11 13:14:14.375459 2017] [ssl:emerg] [pid 23800:tid 544] SSL Library Error: error:0906D06C:PEM routines:PEM_read_bio:no start line (Expecting: TRUSTED CERTIFICATE) -- Bad file contents or format - or even just a forgotten SSLCertificateKeyFile? [Wed Jan 11 13:14:14.375459 2017] [ssl:emerg] [pid 23800:tid 544] SSL Library Error: error:140DC009:SSL routines:SSL_CTX_use_certificate_chain_file:PEM lib

Base 64エンコード：

[Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] AH02577: Init: SSLPassPhraseDialog builtin is not supported on Win32 (key file E:/Apache24/conf/Certs/name.sub.domain.com.key) [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] AH02564: Failed to configure encrypted (?) private key name.sub.domain.com:443:0, check E:/Apache24/conf/Certs/name.sub.domain.com.key [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D08303A:asn1 encoding routines:ASN1_TEMPLATE_NOEXP_D2I:nested asn1 error [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error (Type=RSA) [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:04093004:rsa routines:OLD_RSA_PRIV_DECODE:RSA lib [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:35:15.024474 2017] [ssl:emerg] [pid 141796:tid 508] SSL Library Error: error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error (Type=PKCS8_PRIV_KEY_INFO) [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] AH02577: Init: SSLPassPhraseDialog builtin is not supported on Win32 (key file E:/Apache24/conf/Certs/name.sub.domain.com.key) [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] AH02564: Failed to configure encrypted (?) private key name.sub.domain.com:443:0, check E:/Apache24/conf/Certs/name.sub.domain.com.key [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D08303A:asn1 encoding routines:ASN1_TEMPLATE_NOEXP_D2I:nested asn1 error [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error (Type=RSA) [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:04093004:rsa routines:OLD_RSA_PRIV_DECODE:RSA lib [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag [Wed Jan 11 14:36:12.355215 2017] [ssl:emerg] [pid 145468:tid 512] SSL Library Error: error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error (Type=PKCS8_PRIV_KEY_INFO)

CERファイルとCRTファイルは交換可能で、名前を変更するだけだといくつかの記事を読みました。

Cerの名前をcrtに変更してhttpd-ssl.confを更新すると、ログに次の100個のエラーが多数記録されます。

[Wed Jan 11 14:06:43.943865 2017] [autoindex:error] [pid 70976:tid 1784] [client 10.1.41.110:50933] AH01276: Cannot serve directory E:/KnoahSoft/EmpPhotos/: No matching DirectoryIndex (index.html) found, and server-generated directory index forbidden by Options directive

これで、ベンダーは、ボックスが配送されたときにロードしたserver.crt、server.cre、server.csr、およびserver.keyファイルを配置しました。httpd-ssl.confの2行を変更すると、再起動しました。正常に動作しますが、SSL警告が表示されます

SSLCertificateFile "E:/Apache24/conf/Certs/server.crt" SSLCertificateKeyFile "E:/Apache24/conf/Certs/server.key"

誰かが私が間違っている可能性があることを教えてもらえますか？.

更新：

私は彼らのserver.csrがOldCertsha1とNewCertsha2の両方でCertSrvページを開いて、WebサーバーWebサーバー（10年）テンプレートを使用したときにエラーが発生したことを確認しました。

Your Request Id is 118. The disposition message is "Denied by Policy Module The certificate validity period will be shorter than the WebServer(10Years) Certificate Template specifies, because the template validity period is longer than the maximum certificate validity period allowed by the CA. Consider renewing the CA certificate, reducing the template validity period, or increasing the registry validity period. ".

それで、私はWebサーバー（5年間）の同じエラーを試しましたが、（Webサーバー）がエラーにならず、DERエンコードまたはBase 64エンコードされたcerおよびp7bファイルの両方をダウンロードしました。

Base 64エンコードのserver.cerをserver.crtに変更し、古いserver.crtの名前をserver1.crtに変更して、Apacheを再起動しました。

エラーは完璧に機能しませんでした。

どうして？最初から何が悪いのでしょうか？

SSLとApacheを使用して自分のCAを使用するのはこれが初めてでした。私がWebサーバー（10年）テンプレートを使用したと考えることができる唯一の考えですが、それは本当に私には意味がありません。

両方のcrtファイルを表示すると、両方に同じ情報があります

証明書は次の目的で使用されます

リモートコンピューターのIDを確認する

発行先：name.sub.domain.com

発行：OldCertsha1

[全般]タブとの唯一の実際の違いは、有効期間の長さです。私のcsrからのcstは10年間有効で、csrからのcrtは2年間有効です。

SSLの他の部分をさらに詳しく調べ、明日違いが見つかるかどうかを確認します。

Jacob Evans · Accepted Answer

まず、Apacheは常にbase64を使用し、ファイル拡張子は無関係です（pem、crt、cer）。

第2に、認証局よりも長い間証明書を発行することはできません。

10年は少し多めですが、ブラウザーがそれらを安全でないとマークし始めても驚かないでしょう。

発行された証明書がまだある場合は、opensslを使用してそれらを検証できます。

https://security.stackexchange.com/a/56699/84379

Miguel Caldas · Answer

どこでも64をベースにしてください:-)。

あなたのhttpd.conf行

 SSLCertificateKeyFile "E：/Apache24/conf/Certs/name.sub.domain.com.key"

暗号化された鍵ファイルを指定しています。 Windows上のApacheは、実行時の復号化パスフレーズの提供をサポートしていません...エラーログ行を参照してください：

 [Wed Jan 11 14：35：15.024474 2017] [ssl：emerg] [pid 141796：tid 508] AH02577：Init：SSLPassPhraseDialog builtin is not supported on Win32（key file E：/ Apache24/conf/Certs /name.sub.domain.com.key)

キーファイルを事前に復号化する必要があります。

openssl rsa -in name.sub.domain.com.key -out name.sub.domain.com.decryped.key

要求されたときにパスフレーズを提供します。 httpd.confを修正し、Apacheを再起動します。