Selfsigned Certificate - Selbsterstellte PKI - Powershell v5

Autor: Mark Heitbrink - vom 08.12.2019 - Kategorie(n): Anleitungen Hintergrundwissen

Eine PKI im Eigenbau

PKI - Public Key Infrastructure. Das muss man intern professionell lösen. 
Ich arbeite seit 20 Jahren mit Michael Buth zusammen, in den letzten Jahren hat er sich auf PKI spezialisiert. Er ist derjenige, den ich zu euch schicken würde, wenn ihr mich auf das Thema ansprecht. Oder bestellt ihm schöne Grüsse ... Zertwerk - Michael Buth  - mbuth.de

Ich weiss, ich werde jetzt geprügelt und geschlagen, weil man eine PKI nicht "mal eben" installiert und aus dem Boden stampft. Das ist ein organisatorisches Konzept, das wohl überlegt und geplant sein will. Es betrifft alle Geschäftsbereiche, alle müssen(!) mitreden, denn es ist ein Infrastruktur Impakt, der von der Rechtsabteilung (Certification Practise Statement) bis zur IT Infrastruktur alle betrifft. Das Zertifikat ist das kleinste Problem, wir reden über Workflows, Arbeitsprozesse und Design. Über Ansprüche und was will man überhaupt?

Aber was soll ich sagen? Die Realität ist ... Klick-Klick ... weiter .. weiter ..OK.

Ich habe auf dieser Seite schon Anleitungen für ein SelfSigned SSL Zertifikate hinterlegt:

Selfsigned Certificate - Selbsterstelltes Zertifikat - MakeCert.exe

Selfsigned Certificate - Selbsterstelltes Zertifikat - SelfSSL.exe

 

Die Verteilung der Selbsterstellten Zertifikate geht prima per Gruppenrichtlinie. Dort sind alle Speicherorte hinterlegt, die man aus der MMC kennt.
Anleitung für das Verteilen: Zertifikate verteilen


Diese obigen Anleitungen erstellten ein SSL (SAN) Zertifikat für einen Server, das ein einzelnes Zertifikat darstellt. Es ist ist die Ausstellende Zertifizierungsstelle und der Reisepass in einem. Jedes erstellte Zertifikat muss nun an die Clients verteilt werden, damit sie diesem Vertrauen und es keine Fehler beim Aufruf der Verbindungen gibt. Das ist aufwendig, aber für wenige Zertifikate vom Aufwand vertretbar. Sobald es mehr Zertifikate werden, wäre eine Zertifizierungsstelle wesentlich angenehmer. Dann wird der Zertifizierungsstelle vertraut und alle daraus folgenden Zertifikate sind automatisch glaubwürdig. Wir haben dann nur einen Verteilprozess.

 

Mit dem Anspruch einer PKI wird es nun aufwendig, siehe oben. Wer die Zertifikate nur intern verwenden möchte, auf eine CRL (Certificate Revocation List) verzichten kann und keine automatisierten Deployment Mechanismus über das AD mit Zertifikat Vorlagen über Sicherheitsgruppen mit Autoenrollment etc benötigt, der kann auf die Powershell zurückgreifen.

 

In diesem Artikel bauen wir eine RootCA (Vertrauenswürdige Stammzertifizierungsstelle). Von dieser wird eine weitere CA als Zwischenzertifizierungsstelle (Intermediate CA) erstellt. Diese erzeugt gleichzeitig die Zertifikate für die Clients, Server oder Benutzer. Sie ist die Ausstellende CA (Issuing CA). Eine RootCA sollte keine Zertifikate für die Entpunkte direkt erzeugen, deswegen der Zwischenschritt.

Mein Dank geht an infiniteloop.io. Dort habe ich mir einiges 1zu1 mitgenommen und dann für dieses HowTo erweitert.
Powershell – Self-signed Certificate via Self-signed Root CA

Root CA - Vertrauenswürdige Stammzertifizierungsstelle
(Bitte Pfade und Passwort anpassen ... und das Script nicht für jeden lesbar ablegen, wegen des Passworts, ihr wisst schon ...)

# Tribute to:
# infiniteloop.io/powershell-self-signed-certificate-via-self-signed-root-ca/
# Extended the Scripts with an Intermediate Issuing CA and some automation
# for Export and Import Certificates  

$params = @{
   DnsName = "gruppenrichtlinien.de RootCA"
   KeyLength = 4096
   KeyAlgorithm = 'RSA'
   HashAlgorithm = 'SHA512'
   KeyExportPolicy = 'Exportable'
   NotAfter = '31.12.2050'
   CertStoreLocation = 'Cert:\LocalMachine\My'
   KeyUsage = 'CertSign','CRLSign' #fixes invalid cert error
}
$rootCA = New-SelfSignedCertificate @params
   
# Export Private and Public Certificate, Import Public as Trusted Root
# Extra step needed since self-signed cannot be directly shipped to trusted root CA store
$Name=($RootCA| Select-Object -ExpandProperty Subject).Replace("CN=","")
Export-Certificate -Cert $rootCA -FilePath "C:\PoSH-PKI\$Name.crt"
Export-PfxCertificate -Cert $rootCA -FilePath "C:\PoSH-PKI\$Name.pfx" -Password (ConvertTo-SecureString -AsPlainText 'PASSWORT' -Force)
Import-Certificate -CertStoreLocation "Cert:\LocalMachine\Root" -FilePath "C:\Posh-PKI\$Name.crt"

 

 

Intermediate / Issuing CA - Zwischenzertifizierungsstelle

 

# Create Intermediate Issuing CA, from Root
# Parameter $RootCA would function, if Script runs completly in one call.
# Doing it step by step, the RootCA must be selected by Thumbprint.

$Thumbprint=Get-ChildItem -Path cert:\LocalMachine\My | where {$_.Subject -like 'cn=gruppenrichtlinien.de RootCA'} | Select-Object -ExpandProperty Thumbprint
$RootCA=Get-ChildItem -Path cert:\LocalMachine\My\$Thumbprint

$params = @{
   DnsName = "gruppenrichtlinien.de IssuingCA"
   Signer = $RootCA
   KeyLength = 4096
   KeyAlgorithm = 'RSA'
   HashAlgorithm = 'SHA512'
   KeyExportPolicy = 'Exportable'
   NotAfter = '30.12.2049'
   TextExtension = '2.5.29.19 ={critical}{text}CA=1&pathlength=0'
   CertStoreLocation = 'Cert:\LocalMachine\My'
   KeyUsage = 'CertSign','CRLSign' #fixes invalid cert error
}
$IssuingCA = New-SelfSignedCertificate @params

# Export Private and Public Certificate, Import Public as Trusted Root and Intermediate CA
# Extra step needed since self-signed cannot be directly shipped to trusted root CA store
$Name=($IssuingCA| Select-Object -ExpandProperty Subject).Replace("CN=","")
Export-Certificate -Cert $IssuingCA -FilePath "C:\PoSH-PKI\$Name.crt"
Export-PfxCertificate -Cert $IssuingCA -FilePath "C:\PoSH-PKI\$Name.pfx" -Password (ConvertTo-SecureString -AsPlainText 'PASSWORT' -Force)
Import-Certificate -CertStoreLocation "Cert:\LocalMachine\CA" -FilePath "C:\PoSH-PKI\$Name.crt"
Import-Certificate -CertStoreLocation "Cert:\LocalMachine\Root" -FilePath "C:\PoSH-PKI\$Name.crt"

 

SSL SAN Zertifkate von der Intermediate / Issuing CA beziehen/ausstellen

# Create the Computer SSL cert signed by the new Issuing Intermediate CA
# Parameter $IssuingCA would function, if Script runs completly in one call.
# Creating SSL certificates will be an ongoing process, so the IssuingCA must be selected by Thumbprint.

$Thumbprint=Get-ChildItem -Path cert:\LocalMachine\My | where {$_.Subject -eq 'CN=gruppenrichtlinien.de IssuingCA'} | Select-Object -ExpandProperty Thumbprint
$IssuingCA=Get-ChildItem -Path cert:\LocalMachine\My\$Thumbprint

$params = @{
   Signer = $IssuingCA
   KeyLength = 2048
   KeyAlgorithm = 'RSA'
   HashAlgorithm = 'SHA256'
   KeyExportPolicy = 'Exportable'
   NotAfter = (Get-date).AddYears(10)
   CertStoreLocation = 'Cert:\LocalMachine\My'
}
$ComputerCert = New-SelfSignedCertificate @params -DnsName Majestix,Majestix.gallier.ads,gallier.ads,workfolders,workfolders.gallier.ads,workfolders.gruppenrichtlinien.de

# Export Private and Public Certificate, Import .pfx manually on the System where it should be used.
$Name=($ComputerCert| Select-Object -ExpandProperty Subject).Replace("CN=","")
Export-PfxCertificate -Cert $ComputerCert -FilePath "C:\PoSH-PKI\$Name.pfx" -Password (ConvertTo-SecureString -AsPlainText 'PASSWORT' -Force)
Export-Certificate -Cert $ComputerCert -FilePath "C:\PoSH-PKI\$Name.cer"


 



(klick-vergrößern)

Über die Schlüssellängen und den Hash Algorythmus könnt ihr euch noch Gedanken machen, ebenfalls steht die Laufzeit der Zertifikate sicherlich zur Diskussion. Aber sobald ihr darüber nachdenkt, dann macht es doch gleich "richtig". Baut eine ordentliche PKI, 3-stufig, mit IANA PEN Number, mit Struktur, mit einem Certificate Practise Statement, einem planbaren Ausrollen mit Prozessen und allem was dazugehört.