Biztonságos kiszolgáló nyilvános kulcsú titkosítás használatára való beállításához a legtöbb esetben el kell küldenie a hitelesítési kérést (a nyilvános kulccsal együtt), a cég azonosságának bizonyítékát, valamint a CA díjazását. A CA ellenőrzi a hitelesítési kérést és az azonosságot, majd visszaküldi a biztonságos kiszolgálóhoz használható tanúsítványt. Ennek alternatívájaként létrehozhat önaláírású tanúsítványt is.

A HTTPS példát folytatva a CA által aláírt tanúsítvány két fontos képességet biztosít az önaláírású tanúsítványokkal szemben:

A legtöbb SSL-t támogató webböngésző és számítógép rendelkezik a CA-k listájával, amelyek tanúsítványait automatikusan elfogadja. Ha a böngésző olyan tanúsítványt észlelt, amely jóváhagyó CA-ja nincs a listában, akkor a böngésző megkérdezi a felhasználót a kapcsolat elfogadásáról vagy visszautasításáról. Más alkalmazások hibaüzenetet adhatnak önaláírású tanúsítvány használatakor.

A CA-tól tanúsítvány beszerzésének folyamata viszonylag egyszerű. A teendők listája röviden:

Akár egy CA-tól szerzi be a tanúsítványt, akár önaláírt tanúsítványt akar használni, az első lépés a kulcs előállítása.

Ha a tanúsítványt szolgáltatásdémonok fogják használni, mint például az Apache, Postfix, Dovecot stb., akkor a jelmondat nélküli kulcs sok esetben megfelelő. A jelmondat hiánya lehetővé teszi a szolgáltatások emberi beavatkozás nélküli elindítását, ez általában a démonok elvárt indítási módja.

Ez a szakasz ismerteti egy jelmondattal rendelkező, és egy azzal nem rendelkező kulcs előállítását. A jelmondat nélküli kulcs ezután szolgáltatásdémonok által használt tanúsítvány előállításához lesz felhasználva.

A tanúsítvány-aláírási kéréshez használandó kulcsok előállításához adja ki a következő parancsot:

openssl genrsa -des3 -out server.key 1024

Generating RSA private key, 1024 bit long modulus
.....................++++++
.................++++++
unable to write 'random state'
e is 65537 (0x10001)
Enter pass phrase for server.key:

Ezután adja meg a jelmondatot. A nagyobb biztonság érdekében legalább nyolc karakterből kell állnia. A -des3 megadásakor a minimális hossz négy karakter. Tartalmaznia kell számokat és/vagy írásjeleket, és nem lehet szótári szó. Ne feledje, hogy a jelmondat megkülönbözteti a kis- és nagybetűket.

Ellenőrzési célból írja be újra a jelmondatot. A sikeres ismételt megadás után elkészül a kiszolgálókulcs, és a server.key fájlba kerül mentésre.

Hozza létre a nem biztonságos, jelmondat nélküli kulcsot, és keverje meg a kulcsneveket:

openssl rsa -in server.key -out server.key.insecure
mv server.key server.key.secure
mv server.key.insecure server.key

A nem biztonságos kulcs neve most server.key, és segítségével előállíthatja a jelmondat nélküli CSR-t.

A CSR előállításához adja ki a következő parancsot:

openssl req -new -key server.key -out server.csr

A parancs bekéri a jelmondatot. A helyes jelmondat megadása után bekéri a cégnevet, az oldal címét, e-mail azonosítót stb. A részletes adatok megadása után elkészül a CSR, és a server.csr fájlba kerül mentésre.

Ezután ezt a CSR fájlt elküldheti feldolgozásra egy CA-nak. A CA a CSR fájlt fogja használni, és kiadja a tanúsítványt. Másrészt, ezen CSR segítségével létrehozhat önaláírású tanúsítványt is.

Az önaláírású tanúsítvány létrehozásához adja ki a következő parancsot:

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

A fenti parancs bekéri a jelmondatot. A helyes jelmondat megadása után létrejön a tanúsítvány, és a server.crt fájlba kerül mentésre.

A következő parancsok kiadásával telepítheti a server.key kulcsfájlt és a server.crt tanúsítványfájlt, vagy a CA által kiadott tanúsítványfájlt:

sudo cp server.crt /etc/ssl/certs
sudo cp server.key /etc/ssl/private

Ezután egyszerűen állítsa be a nyilvános kulcsú titkosítást használni képes alkalmazásokat a tanúsítvány és kulcs fájlok használatára. Segítségükkel az Apache például a HTTPS, a Dovecot IMAPS és POP3S szolgáltatásokat nyújthatja.

Ha hálózatán a szolgáltatások néhány önaláírású tanúsítványnál többet igényelnek, érdemes lehet saját belső hitelesítésszolgáltatót (CA) készíteni. A saját CA által aláírt tanúsítványok használata lehetővé teszi, hogy a tanúsítványokat használó különböző szolgáltatások megbízzanak az azonos CA által kibocsátott tanúsítványokat használó szolgáltatásokban.