SSL Zertifikat crt. - Key erstellen

[Shyne]

Hallo zusammen,

suche eine Möglichkeit bzw. hab ich ein Zertifikat crt. ohne privaten Schlüssel und möchte
diesen nun gerne erstellen.
Leider hab ich den Link damals nicht gespeichert, da es über die MMC-Zertifikate von MS funktioniert
hat.

Grüße eventuell hat jemand ein Ratschlag.

 

[Helge01]

Du kannst keinen privaten Schlüssel zu einem bestehenden Zertifikat erstellen.
Es gibt mehrere Möglichkeiten, entweder du erstellst aus der Anwendung (z.B. Webserver) einen Request und Unterschreibst diesen mir einer eigenen Windows-CA oder nutzt gleich OpenSSL oder noch besser für Windows das Tool XCA.
Bei der Request-Erstellung wird automatisch ein privater Schlüssel erstellt.

 

[Shyne]

Ich hab das aber vor 2Monaten schon so machen müssen.
Das Zertifikat wurde von über GoDaddy verlängert und ich kann es nur als .crt File runterladen.

sowas in der Art:
http://blog.alexfeng.com/2013/01/02/generate-pfx-certificate-file-from-godaddy-crt-and-p7b-files/

 

[Helge01]

Du müsstest mal bitte genauer beschreiben für was du das Zertifikat benötigst.
(eigener Webserver, gehosteter Webserver, VPN, E-Mail usw.)

Und verwechselst du auch nicht csr mit crt?

 

[Shyne]

Das hab ich gemeint:

http://www.msexchangegeek.com/2010/01/27/missing-private-key-on-exchange-certificate/

Allerdings hab ich kein Exchange Zertifikat sondern es ist ein IIS Zertifikat welches ich brauche

 

[Helge01]

Du hast also zu Hause einen eigenen IIS am laufen, für dem dieses Zertifikat unterschrieben von GoDaddy genutzt werden soll?

 

[Shyne]

Genau ich habe es erneuern lassen und heruntergeladen und als Download bekommt
man eine Crt. File ohne private Key.

 

[Helge01]

Das ist dann auch korrekt. Du hast damals ein Request im IIS erstellt. Damit wurde automatisch ein privater Schlüssel generiert der im System gespeichert ist. Danach wurde der Request von GoDaddy unterschrieben und diesen .crt hast du importiert.
Wenn du jetzt eine Verlängerung hast, dann brauchst du nur die neue .crt im Zertifikatsspeicher importieren. Der private Schlüssel dazu bleibt unangetastet.

 

[Shyne]

Und wenn ich nun das Zertifikat auf einem neuen Server installieren möchte, brauch in den Schlüssel - wie bekomme
ich dann diesen?

Trotzdem vielen Dank schon mal

 

[Helge01]

Dann musst du den privaten Schlüssel exportieren.
Auf dem Server wo der alte IIS läuft mmc ausführen, Snap-In hinzufügen/entfernen und Zertifikate auswählen.
Bei der Abfrage Computerkonto und lokalen Computer auswählen. Danach findest du unter Eigene Zertifikate das Serverzertifikat mit privatem Schlüssel. Rechte Maustaste darauf und exportieren, privaten Schlüssel mit exportieren auswählen.
Dabei wird zwar das alte abgelaufene Zertifikat mit exportiert, aber auch noch der gültige private Schlüssel.
Das importierst du auf dem neuen Server, danach kannst du die Verlängerungs .crt installieren.

 

[Shyne]

Also ich verstehe das nun so...
Das neue Cert installiere ich auf dem Server wo es erneuert werden muss.
Danach kann ich es obwohl der Key nicht dabei ist - mit dem "alten" Key
exportieren?

 

[Helge01]

Nein, du musst auf dem alten Server das alte Zertifikat mit privaten Schlüssel wie oben beschrieben erst exportieren und dann auf den neuen Server installieren. Danach kannst du die Verlängerung auf dem neuen Server einspielen.

 

[Shyne]

Achso jetzt versteh ich das
Ok installieren heißt einfach "rechtsklick" und installieren sagen.

 

[Helge01]

Genau, oder unter mmc Zertifikate, Computerkonto und lokalen Computer, eigene Zertifikate rechte Maustaste importieren.

 

[Shyne]

Das neue Zertifikat welches ich dann importiere hat aber kein Symbol mit dem Schlüssel - ist das ok?

 

[Helge01]

Das ist richtig, da der private Schlüssel auch nicht dabei ist
Normal verlässt der private Schlüssel auch nicht das System oder man gibt ihn weg oder bekommt den von irgend jemand. Der heißt nicht ohne Grund privat Jeder der diesen besitzt kann denn Datenverkehr entschlüsseln.

 

[Shyne]

Seltsam das ich im IIS das neue Zertifikat nicht auswählen kann weil der Schlüssel bei dem neuen
Zertifikat fehlt.

 

[Helge01]

Du musst mal genauer beschreiben was du gerade machst, bist du am alten oder schon neuen IIS?

Du kannst auch am alten IIS das neue .crt installieren und dann erst Zertifikat/privater Schlüssel exportieren.

 

[Shyne]

Bin auf dem alten IIS wo das Cert erneuert werden muss.

 

[Helge01]

Dann kann eigentlich nur beim Import was schief gelaufen sein.
Versuche es mal wie oben beschrieben mit der mmc-Konsole und schaue dir die Zertifikate unter Eigene Zertifikate an.