mywiki x

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.

==== Links und Pastes zum Thema Digitale Signaturen,Verschlüsselung, Zertifikate ====

=== Links ===
== Smartcards ==
[[http://www.microsoft.com/windows/compatibility/windows-vista/Browse.aspx?type=Hardware&category=Graphics%20Cards%20%26%20Components&subcategory=Smart%20Cards&sort=VendorNameAscProductNameAsc|Vista Compatibility]]

[[Readers]]

== Zerts ==



[[http://msdn.microsoft.com/de-de/library/aa163622%28office.10%29.aspx]]

[[http://www.microsoft.com/downloads/en/details.aspx?FamilyID=7E3EAB1F-B313-44F4-8900-3399ABB2001D&displaylang=EN| whitepaper für vba sigs mit timestamping]]

[[http://www.tech-pro.net/code-signing-for-developers.html]]

[[http://msdn.microsoft.com/en-US/library/aa379076.aspx|PKS 10 ASN.1 Example]]

[[http://www.jeff.wilcox.name/2010/02/codesigning101/|code signing]]

[[http://www.corelan.be:8800/index.php/2008/07/14/windows-2008-pki-certificate-authority-ad-cs-basics/|win 2008 pki with standalone root]]

[[http://www.experts-exchange.com/Microsoft/Server_Applications/Q_24150839.html|How do I renew a code signing certificate in MS Certificate Services]]

[[http://technet.microsoft.com/en-us/library/cc756120%28WS.10%29.aspx| w2k3 ca variations]]

=== Pastes ===

[[Discussion about makeing Certrequests with OpenSSL for Win2k CAs]]


=== Quirk of update-ca-certificates on one system ===

Running update-ca-certifcates on a ubuntu 18 system resulted an total clear out of all symlinks in /etc/ssl/certs.

As openssl does not look into the file /etc/ssl/certs/ca-certificates.crt but into everly symlinked file in /etc/ssl/certs it fails to verify all ssl certs.

For some reason this line in /usr/sbin/update-ca-certificates
<code>
  find $ETCCERTSDIR -type l ! -exec test -e {} \; -print | while read orphan
</code>
does not work on that system. It thinks every file is a broken symlink..

I had change it to this line (this kind of symlink check is recommend on stackexchanged,com
<code>
  find $ETCCERTSDIR -xtype l | while read orphan
</code>

=== Client Certificates ===
Instructions for createing client certificates for https:

https://www.golinuxcloud.com/openssl-create-client-server-certificate/

But read this before if you not yet have ca certs:

https://www.golinuxcloud.com/create-certificate-authority-root-ca-linux/

Configure of nginx with snippets:
https://www.digitalocean.com/community/tutorials/how-to-create-a-self-signed-ssl-certificate-for-nginx-in-ubuntu-18-04

[[nginx-sample-configs]]


Many hints on use jks cert/truststore in context of kafka-connect and docker images

https://debezium.io/blog/2019/07/08/tutorial-sentry-debezium-container-images/

== Good complete overview of different crypt storage formats ==
What contents do pfx, pem extension files support and what is their usage/background
https://crypto.stackexchange.com/questions/43697/what-are-the-differences-between-pem-csr-key-crt-and-other-such-file-exte

== Erklärung was bei mTLS zusätzlich zur normalen Browser TLS Handshake passiert ==
https://www.cloudflare.com/de-de/learning/access-management/what-is-mutual-tls/#:~:text=Mutual%20TLS%2C%20kurz%20mTLS%2C%20ist,den%20richtigen%20privaten%20Schl%C3%BCssel%20haben.



== Gedächnisstütze zu Wahrheiten im Zusammenhang mit Java und des Zertifikatspeichern == 

  - Die erste Erfahrungen mit Java und Cryptozertifikaten liessen mich glaub das Java im ein eigenens Format für Certifkatsspeicher hat das vom Linux und/oder Windows abweicht
  - Richtig ist weiterhin das Java bzw. JVMs die java byte-code ausführen unter Linux und Windows eine eigene Zertifikatsspeicher führen immer synchron mit dem des Betriebssystem gepflegt werden sollte
  - Ich habe aber auch gedacht das Format dieser Speicher ebenfalls nur Java-eigen ist und nicht verwandt oder kompatibel mit andere Format wie pem oder pkcs12
  - Das war mal richtig ist aber mitterweile nicht immer so
  - Früher hiess .jks auch immer JKS format. Mittlerweile unterstützt Java aber auch PKCS12 Container, wie diese Quelle von IBM sagt: https://www.ibm.com/docs/en/was-liberty/nd?topic=liberty-default-keystore-type-changed-pk
  - Die obige Quelle reden immer über das IBM Java Produkt Liberty-Produkt aber diese Quelle unterstüzt das für Java gesagt für gesamt Java gilt: https://bugs.openjdk.org/browse/JDK-8178828
Zitat: 
> As of JDK 9, the default keystore type (format) is "pkcs12" which is based on the RSA PKCS12 Personal Information Exchange Syntax Standard. Previously, the default keystore type was "jks" which is a proprietary format. Other keystore formats are available, such as "jceks" which is an alternate proprietary keystore format with stronger encryption than "jks" and "pkcs11", which is based on the RSA PKCS11 Standard and supports access to cryptographic tokens such as hardware security modules and smartcards.

Das obige gilt also ab JDK 9 (für openjdk jedenfalls, ich vermute auch für alle Java implementierungen
Achtung: das obige gilt erstmal nur für den Keystore und nicht unbedingt für den Truststore, was mir aber erstmal egal ist, denn ich brauche für meinen Anwendungsfall (Client Zertifkat Autentifierung evntl. gleich mTLS?).

Was ich jetzt klären möchte:
Also wenn ich mit ein Javaprogramm starte und die JVM mit -Dkeystorebla parametern versehe.

- Kann ich direkt eine ein pkcs12 Datei nehmen, die direkt von openssl erzeugt wurde oder muss das irgendwie doch durch das java keytool durch
- Ich hatte ein komisches Verhalten gesehen, das java mit dem keystore immer auch auf den truststore zugeriffen hat...wie hatte ich das problem eigentlich gelöst
- Macht es sinn das mit curl zu testen? kann ich das local mit einem docker ngins testen?
mywiki x

User Tools

Site Tools

Page Tools
