SSL Zertifikat fuer webserver - Lugbz-list

9 Dec 2005


      Hallo,
ich experimentiere gerade mit sebstgenerierten und selbstzertifizierten 
Schluesseln fuer Apache. Dabei ist mir eine Sache nicht klar: was muss ich 
als CN (common name) angeben? Moegliche Alternativen waeren da:
   a) die domain "*.example.com"
   b) der virtual hostname "www.example.com"
   c) der reverse resolved fqdn "server.example.com"
Die FAQ auf modssl.org (http://www.modssl.org/docs/2.8/ssl_faq.html#cert-real) 
empfiehlt b):
| Make sure you enter the FQDN ("Fully Qualified Domain Name") of the server
| when OpenSSL prompts you for the "CommonName", i.e. when you generate a CSR
| for a website which will be later accessed via https://www.foo.dom/, enter
| "www.foo.dom" here.
Der Artikel "Introducing SSL and Certificates using SSLeay" vom 
Urspruenglichen Autor con modssl 
(http://www.pseudonym.org/ssl/wwwj-index.html) scheint anderer Meinung zu 
sein:
| As an example, a Netscape browser requires that the Common Name for a
| certificate representing a server have a name which matches a regular
| expression for the domain name of that server, such as *.pseudonym.org.
(Wobei der Autor seine ganz persoenliche Auffassung von Regular Expressions zu 
haben scheint.)
Wenn ich nun aber mein Zertifikat auf die FQDN des Virtual Hosts ausstelle, 
bekomme ich z.B. von sitecopy die Meldung
| Error: Server certificate verification failed: certificate issued for a
| different hostname, issuer is not trusted
Kann mir jemand aus meiner Unwissenheit heraushelfen?
Thomas