簡介
當您取得 128 位元 SSL 憑證時，Verisign 和其他供應商會提供多種升級憑證供您選擇。當憑證中心送出此類憑證時，其格式通常為 PKCS#7。本文將說明如何透過組態管理程式，將 Verisign 的全域伺服器憑證與其他 PKCS#7 憑證匯入至 SonicWALL SSL 應用系統
何謂升級憑證
升級憑證是一種通稱，指的是可讓外銷版瀏覽器支援 128 SSL 加密的那類憑證。過去美國以外地區的瀏覽器只限使用 40 位元加密。部份「憑證管理中心」已取得美國政府的特殊授權，能夠發行憑證供國際版瀏覽器進行 128 位元加密。這項授權可讓憑證管理中心發行「強化加密憑證」，使國際版瀏覽器能夠以強化加密 (128 位元) 進行通訊。所有美國「本地」版瀏覽器應該一律提供 128 位元的安全性，但您的伺服器必須能夠支援 128 位元，且您必須已經產生1024 位元金鑰。
不同的憑證管理中心對這類憑證有不同的稱呼。例如， Verisign 稱之為「全域伺服器 ID」(Global Server ID)，Microsoft 稱之為「Microsoft 伺服器閘道型加密」(Microsoft Server Gated Cryptography)，Netscape 則使用SuperCert 作為名稱。儘管稱呼不同，但大多數產品都有相同的功能。
何謂鏈式憑證
所有 SonicWALL 交易安全裝置皆支援鏈式憑證。鏈式憑證可用於數種狀況，如當某個已知可接受的憑證管理中心 (CA) 提供憑證，以證明某個不可辨識機構所建立的憑證是可信任的。例如，公司可建立僅供內部使用的憑證，但一般用戶端無法接受這種憑證，因為它們不是由已知 CA 所建立的。透過私密憑證來鏈結可信任 CA 的憑證，用戶端就能在SSL 協調處理期間接受這類內部憑證。
一但將 PKCS#7
憑證區分成多個憑證，必須先使用鏈式憑證指令來匯入憑證，才能將憑證匯入至 SSL 應用系統。此外，PKCS#7 憑證除了 CA 伺服器憑證之外，還擁有一或多個中介憑證。
如何開始
當您根據 Verisign 指示提交憑證簽章要求 (CSR) 之後，您將會收到一封與下列相似的電子郵件。
PKCS#7 憑證範例
-----Original Message-----
From:someone@verisign.com [mailto:someone@verisign.com]
Sent:Thursday, February 29, 2001 8:53 PM
To:you@yourcompany.com Subject:Your Digital ID is ready
Dear Applicant,
Your Administrator has approved your request for a Server OnSite Class 3 Global Server ID.
If you have any questions or problems, please contact your Administrator by replying to this e-mail message.
THE COMMON NAME OF THIS CERTIFICATE:WWW.YOURCOMPANY.COM THE ORGANIZATION OF THIS CERTIFICATE:YOURCOMPANY INC. THE ORGANIZATION UNIT OF THIS CERTIFICATE:WEB1
Your VeriSign Global Server ID, is included within this message.
VeriSign has digitally signed your Certificate, providing assurance that your certificate has not been damaged or changed without detection.
The procedures for installing a Global Server ID differ substantially depending on which Web Server software package you are using.In particular, certain web server packages (such as Microsoft IIS) require that you install a single, integrated PCKS#7 chain.Other web server packages (such as Netscape Navigator) require that you install two certificates--a Server Certificate and an Intermediate CA Certificate.
For installation instructions for your Global Server ID, please refer to :http://www.verisign.com/support/tlc/class3_install_docs/g/index.html
*********************************************** ***********************************************
CERTIFICATES BEGIN HERE
INTERMEDIATE CA CERTIFICATE (note - this is also referred to as SERVER CERT CHAIN-YOU DO NOT NEED THIS CERTIFICATE IF YOU ARE USING MICROSOFT IIS)
-----BEGIN CERTIFICATE-----MIIFKDCCBJGgAwIBAgIQVl7d2FmYuFiBKMEpwN8MFjANBgkqhkiG9w0BAQQFADCB ujEfMB0GA1UEChMWVmVyaVNpZ24gVHJ1c3QgTmV0d29yazEXMBUGA1UECxMOVmVy
aVNpZ24sIEluYy4xMzAxBgNVBAsTKlZlcmlTaWduIEludGVybmF0aW9uYWwgU2Vy dmVyIENBIC0gQ2xhc3MgMzFJMEcGA1UECxNAd3d3LnZlcmlzaWduLmNvbS9DUFMg SW5jb3JwLmJ5IFJlZi4gTElBQklMSVRZIExURC4oYyk5NyBWZXJpU2lnbjAeFw0w MTA0MjYwMDAwMDBaFw0wMjA0MjYyMzU5NTlaMH8xCzAJBgNVBAYTAlVTMQ4wDAYD VQQIEwVUZXhhczEPMA0GA1UEBxQGSXJ2aW5nMSMwIQYDVQQKFBpWZXJpem9uIERh dGEgU2VydmljZXMgSW5jLjEOMAwGA1UECxQFc3NscjExGjAYBgNVBAMUEXd3dzIw LnZlcml6b24uY29tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDPsGs5C5lN aYwsMdSqehQ41psNfqSiKBVk8nifhoyrXKrPoSKASamM9f17xaopauNmvUshL8oE MspBXsqL9wnFohWyJnxI0XA9e8RLnYyV2LvyzJh77VFdvyF0UWkmyVGJj+Iw/1/D X3T0ruwD1pSPnl5/d/sfkQfB07gIQEGzGQIDAQABo4ICZzCCAmMwCQYDVR0TBAIw ADCCAh8GA1UdAwSCAhYwggISMIICDjCCAgoGC2CGSAGG+EUBBwEBMIIB+RaCAadU aGlzIGNlcnRpZmljYXRlIGluY29ycG9yYXRlcyBieSByZWZlcmVuY2UsIGFuZCBp dHMgdXNlIGlzIHN0cmljdGx5IHN1YmplY3QgdG8sIHRoZSBWZXJpU2lnbiBDZXJ0 aWZpY2F0aW9uIFByYWN0aWNlIFN0YXRlbWVudCAoQ1BTKSwgYXZhaWxhYmxlIGF0 OiBodHRwczovL3d3dy52ZXJpc2lnbi5jb20vQ1BTOyBieSBFLW1haWwgYXQgQ1BT LXJlcXVlc3RzQHZlcmlzaWduLmNvbTsgb3IgYnkgbWFpbCBhdCBWZXJpU2lnbiwg SW5jLiwgMjU5MyBDb2FzdCBBdmUuLCBNb3VudGFpbiBWaWV3LCBDQSA5NDA0MyBV U0EgVGVsLiArMSAoNDE1KSA5NjEtODgzMCBDb3B5cmlnaHQgKGMpIDE5OTYgVmVy aVNpZ24sIEluYy4gIEFsbCBSaWdodHMgUmVzZXJ2ZWQuIENFUlRBSU4gV0FSUkFO VElFUyBESVNDTEFJTUVEIGFuZCBMSUFCSUxJVFkgTElNSVRFRC6gDgYMYIZIAYb4 RQEHAQEBoQ4GDGCGSAGG+EUBBwEBAjAsMCoWKGh0dHBzOi8vd3d3LnZlcmlzaWdu LmNvbS9yZXBvc2l0b3J5L0NQUyAwEQYJYIZIAYb4QgEBBAQDAgZAMCAGA1UdJQQZ MBcGCWCGSAGG+EIEAQYKKwYBBAGCNwoDAzANBgkqhkiG9w0BAQQFAAOBgQCCeKcS 4nDccG5gLgHsqOpAXkjV4PrP5ldCPWbF+xNq2r7JqZVJXbc5yTb4WP0HYBKekn6H zn4PW+Pukl3/ZmZeHvghfCPfL+FjTCZk5urm5BOIJ5lq1GE3RqXeLyT+cG9CPr+Q 1DSmw0H1AHk4l3z271nqOIsj3/fNxqnlgW1LNg==
-----END CERTIFICATE-----
SERVER SUBSCRIBER CERTIFICATE
-----BEGIN CERTIFICATE-----MIIJzQYJKoZIhvcNAQcCoIIJvjCCCboCAQExADALBgkqhkiG9w0BBwGgggmiMIIF KDCCBJGgAwIBAgIQVl7d2FmYuFiBKMEpwN8MFjANBgkqhkiG9w0BAQQFADCBujEf MB0GA1UEChMWVmVyaVNpZ24gVHJ1c3QgTmV0d29yazEXMBUGA1UECxMOVmVyaVNp Z24sIEluYy4xMzAxBgNVBAsTKlZlcmlTaWduIEludGVybmF0aW9uYWwgU2VydmVy IENBIC0gQ2xhc3MgMzFJMEcGA1UECxNAd3d3LnZlcmlzaWduLmNvbS9DUFMgSW5j b3JwLmJ5IFJlZi4gTElBQklMSVRZIExURC4oYyk5NyBWZXJpU2lnbjAeFw0wMTA0 MjYwMDAwMDBaFw0wMjA0MjYyMzU5NTlaMH8xCzAJBgNVBAYTAlVTMQ4wDAYDVQQI EwVUZXhhczEPMA0GA1UEBxQGSXJ2aW5nMSMwIQYDVQQKFBpWZXJpem9uIERhdGEg U2VydmljZXMgSW5jLjEOMAwGA1UECxQFc3NscjExGjAYBgNVBAMUEXd3dzIwLnZl cml6b24uY29tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDPsGs5C5lNaYws MdSqehQ41psNfqSiKBVk8nifhoyrXKrPoSKASamM9f17xaopauNmvUshL8oEMspB XsqL9wnFohWyJnxI0XA9e8RLnYyV2LvyzJh77VFdvyF0UWkmyVGJj+Iw/1/DX3T0 ruwD1pSPnl5/d/sfkQfB07gIQEGzGQIDAQABo4ICZzCCAmMwCQYDVR0TBAIwADCC Ah8GA1UdAwSCAhYwggISMIICDjCCAgoGC2CGSAGG+EUBBwEBMIIB+RaCAadUaGlz IGNlcnRpZmljYXRlIGluY29ycG9yYXRlcyBieSByZWZlcmVuY2UsIGFuZCBpdHMg dXNlIGlzIHN0cmljdGx5IHN1YmplY3QgdG8sIHRoZSBWZXJpU2lnbiBDZXJ0aWZp Y2F0aW9uIFByYWN0aWNlIFN0YXRlbWVudCAoQ1BTKSwgYXZhaWxhYmxlIGF0OiBo dHRwczovL3d3dy52ZXJpc2lnbi5jb20vQ1BTOyBieSBFLW1haWwgYXQgQ1BTLXJl cXVlc3RzQHZlcmlzaWduLmNvbTsgb3IgYnkgbWFpbCBhdCBWZXJpU2lnbiwgSW5j LiwgMjU5MyBDb2FzdCBBdmUuLCBNb3VudGFpbiBWaWV3LCBDQSA5NDA0MyBVU0Eg VGVsLiArMSAoNDE1KSA5NjEtODgzMCBDb3B5cmlnaHQgKGMpIDE5OTYgVmVyaVNp Z24sIEluYy4gIEFsbCBSaWdodHMgUmVzZXJ2ZWQuIENFUlRBSU4gV0FSUkFOVElF UyBESVNDTEFJTUVEIGFuZCBMSUFCSUxJVFkgTElNSVRFRC6gDgYMYIZIAYb4RQEH AQEBoQ4GDGCGSAGG+EUBBwEBAjAsMCoWKGh0dHBzOi8vd3d3LnZlcmlzaWduLmNv bS9yZXBvc2l0b3J5L0NQUyAwEQYJYIZIAYb4QgEBBAQDAgZAMCAGA1UdJQQZMBcG CWCGSAGG+EIEAQYKKwYBBAGCNwoDAzANBgkqhkiG9w0BAQQFAAOBgQCCeKcS4nDc
cG5gLgHsqOpAXkjV4PrP5ldCPWbF+xNq2r7JqZVJXbc5yTb4WP0HYBKekn6Hzn4P W+Pukl3/ZmZeHvghfCPfL+FjTCZk5urm5BOIJ5lq1GE3RqXeLyT+cG9CPr+Q1DSm w0H1AHk4l3z271nqOIsj3/fNxqnlgW1LNjCCBHIwggPboAMCAQICECg0MO7JTHUI A6REZjhkq/kwDQYJKoZIhvcNAQECBQAwXzELMAkGA1UEBhMCVVMxFzAVBgNVBAoT DlZlcmlTaWduLCBJbmMuMTcwNQYDVQQLEy5DbGFzcyAzIFB1YmxpYyBQcmltYXJ5 IENlcnRpZmljYXRpb24gQXV0aG9yaXR5MB4XDTk3MDQxNzAwMDAwMFoXDTA0MDEw NzIzNTk1OVowgboxHzAdBgNVBAoTFlZlcmlTaWduIFRydXN0IE5ldHdvcmsxFzAV BgNVBAsTDlZlcmlTaWduLCBJbmMuMTMwMQYDVQQLEypWZXJpU2lnbiBJbnRlcm5h dGlvbmFsIFNlcnZlciBDQSAtIENsYXNzIDMxSTBHBgNVBAsTQHd3dy52ZXJpc2ln bi5jb20vQ1BTIEluY29ycC5ieSBSZWYuIExJQUJJTElUWSBMVEQuKGMpOTcgVmVy aVNpZ24wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBANiCgOjWGQJ9H4UYOSWi ZSvhv9QF07zmNjuq8ExsW7bnqjxzRVWy8b3ql0LtmjQKFdSpXPVAJd3ZB8EysnVs xMq7o/5WJ3FDqmP1MD6TKOX68Qk787dNTjn3XElauMEd07KK/nAwlULL/itRi1o8 OvkiT5CyAqdTnE8056sEsntvAgMBAAGjggHRMIIBzTALBgNVHQ8EBAMCAQYwEQYJ YIZIAYb4QgEBBAQDAgEGMDUGA1UdHwQuMCwwKqAooCaGJGh0dHA6Ly9jcmwudmVy aXNpZ24uY29tL3BjYTMuMS4xLmNybDAqBgNVHSUEIzAhBgpghkgBhvhFAQgBBglg hkgBhvhCBAEGCCsGAQUFBwMBMIIBNQYDVR0gBIIBLDCCASgwggEkBgtghkgBhvhF AQcBATCCARMwKAYIKwYBBQUHAgEWHGh0dHBzOi8vd3d3LnZlcmlzaWduLmNvbS9D UFMwgeYGCCsGAQUFBwICMIHZMBUWDlZlcmlTaWduLCBJbmMuMAMCAQEagb9WZXJp U2lnbidzIENlcnRpZmljYXRpb24gUHJhY3RpY2UgU3RhdGVtZW50LCB3d3cudmVy aXNpZ24uY29tL0NQUywgZ292ZXJucyB0aGlzIGNlcnRpZmljYXRlICYgaXMgaW5j b3Jwb3JhdGVkIGJ5IHJlZmVyZW5jZSBoZXJlaW4uIFNPTUUgV0FSUkFOVElFUyBE SVNDTEFJTUVEICYgTElBQklMSVRZIExURC4gKGMpMTk5NyBWZXJpU2lnbjAPBgNV HRMECDAGAQH/AgEAMA0GCSqGSIb3DQEBAgUAA4GBAAUjOBXu6wB3drXDPWBT3Dx9 cnggc8rrP0++eYmyyh3gqzbWddLkg939yd7jK6mLTCZbLoKeIJts3wOwvi2Th2jv UUJDzI+Ak9fQCihzCKNHFQ65LDPunEJ7s/iT89sOwO4kYZVtXdrpS27uAGQ+28NR F8J0I4K3O/YP7Y8/Yo0/MQA=
-----END CERTIFICATE-----
範例 OpenSSL 使用簡介
現在您已收到憑證，我們必須將憑證分成中介憑證與伺服器憑證，才能將這些憑證輸入到 SonicWALL SSL 應用系統中。
1. 首先請將電子郵件中的第二份憑證，即文字 "SERVER SUBSCRIBER CERTIFICATE" 下方的文字，儲存成檔案 (如，/home/user/fullcert or C:\fullcert)。
2. 啟動 openssl.exe，這個應用程式與 SonicWALL 組態管理程式同時安裝，且安裝位置也相同。您也可以執行安裝程式，然後選擇 飈ustom Installation?選項，只安裝 OpenSSL 即可。
3. 啟動之後，您必須發出下列指令：
(輸出至畫面，以便在畫面上進行剪貼)
pkcs7 -in C:\fullcert -print_certs
或者
(輸出至檔案，以便稍後進行剪貼)
pkcs7 -in C:\fullcert -print_certs -out C:\outfile
這會輸出兩個 x509v3 憑證。
4. 信件主旨和發行人資訊也會包含在輸出內容裡。請忽略這些資訊，只將 "BEGIN CERTIFICATE" 到 "END CERTIFICATE" 之間的資訊剪貼到兩份憑證中。
5. 第一份憑證應該是伺服器憑證，第二份憑證應該是中介憑證。請將這兩份憑證儲存成檔案 (如 C:\server.pem and C:\inter.pem)
6. 使用 openssl 來驗證憑證資訊：
x509 -in C:\server.pem -text
( 及)
x509 -in :C\inter.pem -text
範例 ?設定鏈式憑證
現在您已擁有適當憑證，可以開始將憑證載入至憑證物件中。稍後這些個別的憑證物件會再載入至憑證群組。此範例說明如何將兩份憑證載入至個別憑證物件中、建立憑證群組、並使用群組作為憑證鏈。
「交易安全」裝置的名稱為 myDevice，安全邏輯伺服器的名稱為 server1。由PEM 編碼、CA 產生的憑證名稱為 server.pem，在本端產生的 PEM 編碼憑證名稱為 inter.pem。可辨識憑證物件及本端憑證物件的名稱則分別為trustedCert 及 myCert。憑證群組的名稱為 CACertGroup。
1. 啟動組態管理程式，如手冊所述。
2. 連接組態管理程式，並進入「組態」(Configuration) 模式。(如果已指派連接密碼或組態級密碼，將提示您輸入任一種密碼。)
inxcfg> attach myDevice inxcfg> configure myDevice (config[myDevice])>
3. 進入「SSL 組態」(SSL Configuration) 模式，並建立名為 CACert 的中介憑證，然後進入「憑證組態」(Certificate Configuration) 模式。將PEM 編碼檔案載入至憑證物件中，然後回到「SSL 組態」模式。
(config[myDevice])> ssl (config-ssl[myDevice])> cert myCert create (config-ssl-cert[CACert])> pem inter.pem (config-ssl-cert[CACert])> end (config-ssl[myDevice])>
4. 進入「金鑰關聯組態」(Key Association Configuration) 模式，載入 PEM 編碼 CA 憑證與私密金鑰檔，然後回到「SSL 組態」模式。
(config-ssl[myDevice])> keyassoc localKeyAssoc create (config-ssl-keyassoc[localKeyAssoc])> pem server.pem key.pem (config-ssl-keyassoc[localKeyAssoc])> end
(config-ssl[myDevice])>
5. 進入「憑證群組組態」(Certificate Group Configuration) 模式，建立憑證群組CACertGroup，載入憑證物件 CACert，然後回到「SSL 組態」模式。
(config-ssl[myDevice])> certgroup CACertGroup create (config-ssl-certgroup[CACertGroup])> cert myCert (config-ssl-certgroup[CACertGroup])> end (config-ssl[myDevice])>
6. 進入「伺服器組態」(Server Configuration) 模式，建立邏輯安全伺服器 server1，指派 IP 位址、SSL 及詳細內文連接埠、安全原則 myPol、憑證群組CACertGroup、金鑰關聯檔 localKeyAssoc，然後回到「最上層」(Top Level) 模式。
(config-ssl[myDevice])> server server1 create (config-ssl-server[server1])> ip address 10.1.2.4 netmask 255.255.0.0 (config-ssl-server[server1])> sslport 443 (config-ssl-server[server1])> remoteport 81 (config-ssl-server[server1])> secpolicy myPol (config-ssl-server[server1])> certgroup chain CACertGroup (config-ssl-server[server1])> keyassoc localKeyAssoc (config-ssl-server[server1])> end (config-ssl[myDevice])> end (config[myDevice])> end inxcfg>
7. 將組態儲存至快閃記憶體中。如果不儲存，在電源開關之間或使用 reload 指令時就會遺失組態內容。
inxcfg> write flash myDevice inxcfg>
摘要
將 PKCS#7 憑證分成中介平正與伺服器憑證之後，透過 SonicWALL 組態管理程式來匯入鏈式憑證就非常簡單。儘管本文是針對「Verisign 全域伺服器 ID」所做的說明，但對所有 PKCS#7 格式的憑證而言，此匯入程序都很類似。如果您對本文或提及程序有任何疑問，請聯絡 SonicWALL 技術支援中心，聯絡時間為 8:30 AM 到
5:30 PM ( 太平洋標準時間)，週一至週五。
Phone:(408)752-7819 Fax:(408)745-9300 Web:<http://support.sonicwall.com> |
Welcome to Global Trust 256 bit SSL Security Site
主要問題大類
