Benutzer:MathiasMahnke/CA Cert Renewal 2013

Im April 2015 läuft das Opennet CA Root-Zertifikat aus, es folgen einige Zertifikate aus der Anfangszeit, die dann ebenfalls nach und nach ablaufen.

Erneuerung der Root CA
Durchsicht nicht mehr benötigter Sub CAs
Resign der benötigten Sub CA (CSR noch vorhanden?)
Aufbau einer CRL Infrastruktur
Parallelbetrieb alte und neue CA Struktur
Austausch der CA Certs sowie der Client Zertifikate Schritt für Schritt
Erzeugen einer Cert Webansicht
ggf. Tool zur vereinfachten Erstellung u. Erneuerung der User/UGW Zertifikate per Web
ggf. Anpassung OpenVPN Freigabe auf Basis von CRL oder nur zusätzlich mit CRL Check

(Als Idee / Gedankenstütze)

bis Sommer 2013 - Übersicht über Zertifikate schaffen
bis Herbst 2013 - Entscheidung für neue CA Infrastruktur abstimmen und CA erzeugen
Winter 2013/2014 - Austausch CAs und User Zertifikate
Herbst 2014 - Deaktivierung alte CA Inftrastruktur testweise
Frühjahr 2015 - Deaktivierung alte CA Inftrastruktur final

Opennet Root CA opennet-root.ca.on, Laufzeit 20 Jahre, 4096 bit RSA Key, SHA-512 Signatur, Self Signed, CRL Laufzeit 90 Tage
- Opennet VPN UGW CA opennet-vpn-ugw.ca.on, Laufzeit 10 Jahre, 2048 bit RSA Key, SHA-256 Signatur, Signatur Opennet Root CA, CRL Laufzeit 30 Tage
- Opennet VPN User CA opennet-vpn-user.ca.on, Laufzeit 10 Jahre, 2048 bit RSA Key, SHA-256 Signatur, Signatur Opennet Root CA, CRL Laufzeit 30 Tage

	opennet-root.ca.on (Serial D09411CA45BAB5F1)
CA	Opennet Root CA, Issued Dec 2013 Mathias Mahnke, Maintainer Opennet Admin Group
Key	4096 bit, RSA, SHA-512
DN	C=DE, ST=Mecklenburg-Vorpommern, O=Opennet Initiative e.V., OU=Opennet CA, CN=opennet-root.ca.on, emailAddress=admin@opennet-initiative.de
Usage	keyUsage=keyCertSign, cRLSign, subjectKeyIdentifier=hash, basicConstraints=critical,CA:TRUE
CRL	fullname=URI:http://ca.opennet-initiative.de/root.crl Signed SHA-512 + X.509 Subject Key Identifier, Valid 3 Month
Ext	nsComment=Opennet Root CA, nsCaPolicyUrl=http://ca.opennet-initiative.de/, nsCaRevocationUrl=http://ca.opennet-initiative.de/root.crl, nsRevocationUrl=http://ca.opennet-initiative.de/root.crl, nsBaseUrl=http://ca.opennet-initiative.de/, nsCertType=sslCA,emailCA,objCA
Sign	Self Signed, SHA-512, valid 2013/12/22 until 2033/12/22
Hashes	DN Hash 9106e34c X.509 Subject Key Identifier FA:DA:A6:25:24:2C:20:E7:E5:A3:5F:2F:9F:6B:C1:EA:19:1A:F8:C1 MD5 Fingerprint BF:C9:45:7C:E0:90:39:62:5B:92:7B:4E:22:53:EF:1F SHA1 Fingerprint D5:34:CE:41:9E:F7:9F:CE:60:08:A8:15:FD:42:2C:8A:26:08:2F:22
URL	http://ca.opennet-initiative.de/root.crt

	opennet-vpn-ugw.ca.on (ID 3490EBDBA1EB1335)
CA	Opennet VPN UGW Sub-CA, Issued Dec 2013 Mathias Mahnke, Maintainer Opennet Admin Group
Key	2048 bit, RSA, SHA-256
DN	C=DE, ST=Mecklenburg-Vorpommern, O=Opennet Initiative e.V., OU=Opennet CA, CN=opennet-vpn-ugw.ca.on, emailAddress=admin@opennet-initiative.de
Usage	keyUsage=keyCertSign, cRLSign, subjectKeyIdentifier=hash, basicConstraints=critical,CA:TRUE, authorityKeyIdentifier=keyid,issuer,
CRL	fullname=URI:http://ca.opennet-initiative.de/vpnugw.crl Signed SHA-256 + X.509 Subject Key Identifier, Valid 1 Month
Ext	nsComment=Opennet Root CA, nsCaPolicyUrl=http://ca.opennet-initiative.de/, nsCaRevocationUrl=http://ca.opennet-initiative.de/vpnugw.crl, nsRevocationUrl=http://ca.opennet-initiative.de/vpnugw.crl, nsBaseUrl=http://ca.opennet-initiative.de/, nsCertType=sslCA,emailCA,objCA
Sign	opennet-root.ca.on (Serial D09411CA45BAB5F1), SHA-256, valid 2013/12/22 until 2023/12/22
Hashes	DN Hash 216d4987 X.509 Subject Key Identifier C1:1F:4F:E4:A7:49:65:4B:0E:F8:E4:65:16:E2:28:76:49:A2:68:3B X509v3 Authority Key Identifier FA:DA:A6:25:24:2C:20:E7:E5:A3:5F:2F:9F:6B:C1:EA:19:1A:F8:C1 serial:D0:94:11:CA:45:BA:B5:F1 MD5 Fingerprint E2:07:61:C2:1D:C4:21:3B:12:E2:6A:7B:32:E0:5F:BE SHA1 Fingerprint 23:95:C0:78:91:14:40:BA:FC:F9:5D:FC:49:60:6D:8C:70:BE:34:63
URL	http://ca.opennet-initiative.de/vpnugw.crt

	opennet-vpn-user.ca.on (ID F066E8B16DBD395F)
CA	Opennet VPN User Sub-CA, Issued Dec 2013 Mathias Mahnke, Maintainer Opennet Admin Group
Key	2048 bit, RSA, SHA-256
DN	C=DE, ST=Mecklenburg-Vorpommern, O=Opennet Initiative e.V., OU=Opennet CA, CN=opennet-vpn-user.ca.on, emailAddress=admin@opennet-initiative.de
Usage	keyUsage=keyCertSign, cRLSign, subjectKeyIdentifier=hash, basicConstraints=critical,CA:TRUE, authorityKeyIdentifier=keyid,issuer,
CRL	fullname=URI:http://ca.opennet-initiative.de/vpnuser.crl Signed SHA-256 + X.509 Subject Key Identifier, Valid 1 Month
Ext	nsComment=Opennet Root CA, nsCaPolicyUrl=http://ca.opennet-initiative.de/, nsCaRevocationUrl=http://ca.opennet-initiative.de/vpnuser.crl, nsRevocationUrl=http://ca.opennet-initiative.de/vpnuser.crl, nsBaseUrl=http://ca.opennet-initiative.de/, nsCertType=sslCA,emailCA,objCA
Sign	opennet-root.ca.on (Serial D09411CA45BAB5F1), SHA-256, valid 2013/12/22 until 2023/12/22
Hashes	DN Hash 69a85ad3 X.509 Subject Key Identifier FA:75:C4:8D:8A:AA:D1:81:E1:29:15:A6:B4:55:E3:C0:32:05:F6:C7 X509v3 Authority Key Identifier FA:DA:A6:25:24:2C:20:E7:E5:A3:5F:2F:9F:6B:C1:EA:19:1A:F8:C1 serial:D0:94:11:CA:45:BA:B5:F1 MD5 Fingerprint B9:C4:E6:00:A0:48:93:7C:07:DE:D1:F3:08:04:04:02 SHA1 Fingerprint D5:5C:FE:61:F8:AA:2A:F8:05:B2:42:F3:2B:8C:A7:83:AA:78:C7:E9
URL	http://ca.opennet-initiative.de/vpnuser.crt

for file in *; do openssl x509 -subject -serial -issuer -noout -in $file; done