Re: [Debian]:Apache ssl ?

[Martin Samesch <martin.samesch@vogelspinnenseite.de>]

Hi Thomas,

Thomas Bader wrote:
> 
> On Fri, 4 Feb 2000, Martin Samesch wrote:
> 
> > Inzwischen habe ich den Fehler gefunden.
> 
> Was war es? Würde mich noch interessieren.

Des Raetsels Loesung war letztlich ziemlich simpel. Ich hatte gestern
noch eine zweite Mail mit Fehlerbeschreibung/Loesung an die Liste
geschickt. Da ist wohl etwas schiefgegangen - allerdings nicht bei mir.

Folgende Mail hatte ich gestern gleichzeitig abgeschickt:

------------------------------------------
> Wem "man openssl" zu wenig ist, der kann sich auf R. Engelschall's
> mod_ssl-Webseite auch die wirklich gute FAQ anschauen. Siehe
> http://www.modssl.org/docs/2.5/ssl_faq.html#ToC27.

Mit ToC27 bin ich zwar nicht weitergekommen, aber an anderer Stelle habe
ich den entscheidenden Hinweis bekommen:

---schnipp---
Some of the common mistakes is that people start Apache with just
"apachectl start" (or "httpd") instead of "apachectl startssl"....
---schnapp---

Nach dem mir "apachectl configtest" ein "Syntax OK" gegeben hatte, wurde
naemlich bei "apachectl start" (startssl ist wohl doch nicht noetig)
nach dem pass-phrase gefragt. Deshalb blieb auch das Init-Skript
haengen. Wie man diesen los wird, steht auch in der FAQ:

---schnipp---
1.Remove the encryption from the RSA private key (while preserving the
original file): 
  $ cp server.key server.key.org
  $ openssl rsa -in server.key.org -out server.key 

2.Make sure the server.key file is now only readable by root: 
  $ chmod 400 server.key 

Now server.key will contain an unencrypted copy of the key. If you point
your server at this file it will not prompt you for a pass-phrase.
HOWEVER, if anyone gets this key they will be able to impersonate you on
the net. PLEASE make sure that the permissions on that file are really
such that only root or the web server user can read it (preferably get
your web server to start as root but run as another server, and have the
key readable only by root).
---schnapp---

Nun noch in der httpd.conf SSLVerifyClient auf none gesetzt (fuer
Testzwecke) und es funktioniert.

Danke fuer diesen Hinweis.
----------------------------------------

Gruss,
Martin
------------------------------------------------
Um sich aus der Liste auszutragen schicken Sie
bitte eine E-Mail an majordomo@jfl.de die im Body
"unsubscribe debian-user-de <deine emailadresse>"
enthaelt.
Bei Problemen bitte eine Mail an: Jan.Otto@jfl.de
------------------------------------------------
Anzahl der eingetragenen Mitglieder:     763