Matthias Lohr's technical stuff » CAcert

CAcert-Assurance in Trier

Matthias Lohr — Mon, 11 Jan 2010 13:05:05 +0000

Seit kurzem bieten wir (einige Hilfskräfte des Rechenzentrums der Universität Trier, jedoch in privater Initiative) an der Universität Trier die Möglichkeit von CAcert-Assurances an. Dies ist zwar kein offizieller Bestandteil des Uni-Rechenzentrums, aber wir werden von diesem bei der Arbeit mit CAcert unterstützt.

Zur Zeit sind wir dort 5 Assurer mit der Möglichkeit in einem Rutsch bis zu 100 Punkte zu vergeben. Vorbeikommen lohnt sich also .

Desweiteren werden wir zum Semesterbeginn eine kleine Einführungs-Veranstaltung zu CAcert bzw. auch Zertifikate allgemein anbieten.

Wer sich assuren lassen möchte, kann gerne vorbeikommen, nähere Informationen dazu finden sich auf meiner Uni-Seite. Bei Fragen zu dem Thema helfen wir natürlich auch gerne weiter.

Vertrauenswürdige SSL-Zertifikate unter Linux

Matthias Lohr — Sat, 02 Jan 2010 16:02:07 +0000

Unter Linux gibt es verschiedenste Wege, SSL-Zertifikate zu verwalten und diesen das Vertrauen auszusprechen. Auf welche Quellen sich eine Anwendung beruft ist meist nur sehr schwer herauszufinden. Daher stelle ich hier mal ein paar Möglichkeiten vor, wie man Zertifikaten (wie z. B. der der Zertifizierungsstelle CACert) das Vertrauen aussprechen kann.

Zuersteinmal sollte man sich die Zertifikate der jeweiligen Zertifizierungsstelle im pem-Format herunterladen. Diese Dateien kann man nun (als root) im Verzeichnis /etc/ssl/certs ablegen, dabei sollte man einen aussagekräftigen Namen verwenden, damit man diese Dateien, falls nötig, wiederfindet. Damit nun das Zertifikat auch von Programmen gefunden werden kann, ist es nötig, einen speziellen Symlink auf die Zertifikats-Datei anzulegen. Dazu benötigt man zuerst den Hash-Code des Zertifikats. Diesen bekommt man z. B. mit folgendem Befehl:

mlohr@home:/etc/ssl/certs$ openssl x509 -in CACert_root.pem -noout -hash
5ed36f9

Die Zeichenkette 5ed36f9 ist der gesuchte Hash. Für den Namen des Symlinks hängt man noch .0 (Punkt Null) hintendran:

mlohr@home:/etc/ssl/certs$ sudo ln -s CACert_root.pem 5ed36f9.0

Dieses war der erste Streich, doch der zweite folgt sogleich. Da man nicht immer root ist um solche Vorhaben durchzuführen gibt es von gnupg auch eine Variante, Zertifikaten zu vertrauen (inwiefern dieser und der eben beschriebene Mechanismus zusammen arbeiten weiß ich nicht, da muss ich mich wohl nochmal schlaulesen): In seinem Home-Verzeichnis einfach die Datei ~/.gnupg/trustlist.txt erstellen und in diese Datei die Hashes der zu vertrauenden Zertifikate eintragen. Als Beispiel hier meine Datei mit den Hashes der beiden CACert-Zertifikate:

mlohr@home:~/.gnupg$ cat trustlist.txt
135CEC36F49CB8E93B1AB270CD80884676CE8F33
DB4C4269073FE9C2A37D890A5C1B18C4184E2A2D

Ich hoffe, das hilft erstmal weiter. Wenn jemand Wissenswertes zu den Themen weiß, kann er mir das gerne mitteilen, dann erweitere ich diesen Artikel – oder eben als Kommentar gerade hinterlegen. Gleiches gilt natürlich auch bei groben Fehlern etc.

CACert Assurer

Matthias Lohr — Sat, 24 Oct 2009 10:55:33 +0000

Seit Mitte dieser Woche darf ich mich guten Gewissens CACert-Assurer nennen, das bedeutet, dass ich die Identität für andere CACert-Benutzer überprüfen und bestätigen darf.

CACert ist eine Organisation, die es sich zum Ziel gesetzt hat, vertrauenswürdige SSL-Zertifikate jedem, der möchte, sehr kostengünstig (meist kostenlos) zur Verfügung zu stellen. Dafür bedient sich CACert der Idee, das deren Mitglieder gegenseitig ihre Identität bestätigen, wobei man für jede erhaltene Bestätigung Punkte erhalten kann. Sobald man 50 Punkte gesammelt hat, kann man z. B. 24 Monate gültige Zertifikate ausstellen (genaueres unter: CACert Punktesystem).

Jeder, der sich von mir assuren (also die Identität überprüfen) lassen möchte (und entweder in der Nähe von Trier, Zell (Mosel) oder bei Koblenz wohnt) kann sich bei mir melden, dann können wir gerne einen Termin für ein persönliches Treffen vereinbaren.