Plik p12x - instalacja kluczy
własny urząd certyfikacji (ca)
Format pliku p12x z danymi własnego urzędu
W programie AnoMail można generować własne certyfikaty S/MIME służące do podpisywania i szyfrowania poczty. W razie potrzeby firmy mogą używać własnego urzędu certyfikacji (Root Certificate Authority, CA Root) przy pomocy, którego będą wystawiały certyfikaty S/MIME dla swoich pracowników. Plik z danym urzędu ma być w formacie .p12x.
Niektóre firmy decydują się na używanie własnego urzędu certyfikacji, po to aby zachować pełną kontrolę nad procesem uwierzytelniania i szyfrowania poczty. Własny urząd certyfikacji pozwala uniknąć kosztów związanych z zakupem certyfikatów od zewnętrznych dostawców takich jak Certum lub Actalis oraz umożliwia natychmiastowe wydawanie dowolnej ilości certyfikatów S/MIME dla pracowników lub kontrahentów.
Używanie własnego centrum certyfikacji zwiększa bezpieczeństwo, ponieważ poufne dane nie opuszczają infrastruktury firmy, a komunikacja między pracownikami lub partnerami biznesowymi pozostaje w pełni szyfrowana i autoryzowana w ramach wewnętrznego systemu bezpieczeństwa IT.
W związku z tym aby zainstalować własny certyfikat CA, klikamy w AnoMail Premium przycisk Ustawienia → Podpisywanie cyfrowe wiadomości → Generator certyfikatów → Opcje → Zainstaluj certyfikat własnego urzędu (RA Root). Następnie wskazujemy plik P12x, w którym znajdują się dane Waszego urzędu. Wcześniej oczywiście dział IT Waszej firmy musi przygotować plik w formacie p12x.
Zainstaluj swój certyfikat w Windows
Po instalacji własnego urzędu certyfikacji w AnoMail wymagana jest jeszcze instalacja w systemie Windows na każdym komputerze, który będzie korzystał z certyfikatów wystawionych przez ten urząd. Wszystkie certyfikaty S/MIME, które będziecie generować w programie AnoMail będą poświadczane przez Wasz urząd certyfikacji. Przypominamy, że aby Wasz certyfikat był uważany za zaufany to należy go zainstalować w systemie Windows (dodać do Główne zaufane urzędy certyfikacji) klikając dwa razy na pliku z kluczem publicznym .CER.
Dzieje się tak dlatego, że nikt nie nie weryfikuje danych, które podajecie w swoim certyfikacie. Po dodaniu certyfikatu do Główne urzędy certyfikacji w systemie Windows, system operacyjny oraz program Outlook będzie traktował wszystkie wystawione przez Was certyfikaty jako zaufane. Tym samym klucz publiczny urzędu (.CER) możecie udostępnić wszystkim podmiotom, z którymi wymieniacie szyfrowaną lub podpisaną cyfrowo korespondencję e-mail.
Aby pobrać z AnoMail klucz publiczny Waszego urzędu lub domyślny klucz używany do generowania certyfikatów klikamy w oknie generatora Menu Plik i wybieramy Eksportuj klucz urzędu. Potem instalujemy go na każdym komputerze, który ma ufać naszym certyfikatom.
Instalacja certyfikatu Twojego urzędu w Mozilla Thunderbird
Z kolei program pocztowy Thunderbird nie korzysta z certyfikatów zainstalowanych w systemie Windows tylko ma oddzielną listę zaufanych głównych urzędów certyfikacji (CA). W związku z tym Wasz certyfikat (klucz publiczny w pliku .CER) musi być dodany oddzielnie do programu Thunderbird i zainstalowany w Menedżerze certyfikatów (patrz niżej).
W tym celu uruchamiamy program Thunderbird i przechodzimy do Ustawienia → Prywatność i bezpieczeństwo → Zarządzaj certyfikatami → Organy certyfikacji → Importuj. Program pocztowy zapyta czy ufać Twojemu urzędowi więc zaznacz wymagane zgody. Od tej pory program Thunderbird będzie ufał wszystkim certyfikatom wystawionym przez Wasz urząd certyfikacji.
Jak utworzyć własny urząd certyfikacji?
Certyfikat własnego urzędu certyfikacji możesz utworzyć samodzielnie korzystając w Windows z narzędzi takich jak OpenSSL (open source) lub makecert (od Microsoft). Oprogramowanie do generowania certyfikatów możecie pobrać ze strony Microsoft lub strony projektu OpenSSL. Po instalacji należy przejść do folderu w którym zainstalowano program np. makecert i uruchomić wiersz poleceń.
Poniżej zamieściliśmy przykładową linę komend, którą należy wykonać z poziomu wiersza poleceń Windows. Komenda służy do utworzenie klucza publicznego (TwojaFirma.cer) oraz klucza prywatnego (TwojaFirma.pvk) dla Twojego urzędu certyfikacji. Klucz publiczny można umieścić na swojej stronie internetowej aby wszyscy kontrahenci mieli do niego dostęp. Natomiast klucz prywatny jest tajny powinien być ukryty.
Po wykonaniu poniższej komendy system Windows wyświetli pytanie o ochronę klucza prywatnego, i w oknie „Create Private Subject Key Password” które pojawi się należy wybrać „None” czyli „Brak” tzn. bez ochrony klucza, ale bez obaw bo po instalacji kluczy w programie AnoMail będą chronione i dostępne tylko dla Waszej firmy. Chodzi o to aby podczas generowania certyfikatów S/MIME za każdym razem nie było konieczności podawania hasła do certyfikatu głównego urzędu (CA).
makecert -r -pe -n "CN=Twoja Firma CA, OU=www.example.com, O=Twoja Firma, C=PL" -a sha256 -sky signature -cy authority -sv TwojaFirma.pvk -len 4096 -e 12/31/2099 TwojaFirma.cer
Gdy komenda zostanie wykonana poprawnie, to zostaną utworzone dwa pliki TwojaFirma.pvk (klucz prywatny) oraz TwojaFirma.cer (klucz publiczny). Domyślnie certyfikat będzie ważny do końca 2099 r. Jeżeli jednak chcecie aby data ważności była krótsza, to używając parametru -e możecie podać swoją datę wygaśnięcia, w formacie MIESIĄC/DZIEŃ/ROK np. 12/31/2030.
Pamiętaj, że każde uruchomienie komendy tworzy nowy certyfikat więc mimo takiej samej nazwy będzie to zupełnie inny certyfikat. A to oznacza, że będzie miał inny numer seryjny oraz odcisk. Każdy nowy certyfikat należy ponownie zainstalować w systemie Windows oraz ewentualnie w programie Thunderbird.
Pokrewny temat: Co oznaczają poszczególne parametry linii komend?
Jak przygotować plik p12x do instalacji certyfikatu urzędu w AnoMail?
Aby można było zainstalować klucze urzędu w AnoMail Premium, musicie spakować oba pliki do formatu ZIP, a następnie zmienić rozszerzenie pliku z .ZIP na .P12X. Kopię pliku warto ukryć w bezpiecznym miejscu i nikomu nie udostępniać. Po instalacji pliku P12X w AnoMail, certyfikat zostanie przepakowany i zaszyfrowany danymi przypisanymi do Waszej firmy. Użycie pliku poza Waszą firmą lub na innym komputerze nie będzie możliwe.
Plik fizycznie zapisywany jest w folderze, w którym zainstalowano program np. C:\AnoMail\Certyfikaty\amWlasnyCA.p12x. Jednakże gdyby trzeba było zainstalować certyfikat na innym komputerze to należy użyć oryginalnego pliku. Samo skopiowanie pliku amWlasnyCA.p12x na inny komputer nie zadziała. Należy ponownie przeprowadzić instalację certyfikatu zgodnie z tym co opisano powyżej.
Gdzie znajdę narzędzie makecert od Microsoft?
Makecert.exe to narzędzie wiersza poleceń firmy Microsoft, które służy do generowania testowych lub wewnętrznych certyfikatów cyfrowych, w tym certyfikatów S/MIME oraz certyfikatów urzędów certyfikacji (CA Root). Program umożliwia tworzenie certyfikatów samopodpisanych (ang. Self-signed) lub wystawianych przez lokalny urząd certyfikacji.
Makecert jest częścią pakietu Microsoft Windows SDK i działa w środowisku Windows. Obecnie makecert.exe nie jest już rozwijany przez Microsoft. Jego funkcje zastąpiono nowszym narzędziem PowerShell – New-SelfSignedCertificate, które jest dostępne w systemach Windows 10 i nowszych.
Starsze wersje makecert.exe można znaleźć w archiwalnych wydaniach Windows SDK for Windows dostępnych na oficjalnych stronach Microsoftu. Zwracamy uwagę aby nie korzystać ze starszej wersji narzędzia niż wersja 6.1 czyli wydanie z 2010 r. Użycie starszej wersji narzędzia może powodować problemy z wygenerowaniem poprawnych certyfikatów.
Czy jest alternatywa do generowania darmowych certyfikatów?
Alternatywą dla narzędzia makecert.exe jest popularny i darmowy pakiet OpenSSL, który umożliwia generowanie certyfikatów S/MIME, kluczy publicznych i prywatnych oraz urzędów certyfikacji (CA Root) na dowolnym systemie np. Windows, Linux czy macOS.
OpenSSL daje znacznie większe możliwości konfiguracyjne niż makecert i jest obecnie standardowym rozwiązaniem stosowanym zarówno w dużych firmach, jak i środowiskach developerskich. Dzięki niemu można tworzyć poza AnoMail własne certyfikaty S/MIME dla pracowników, podpisywać wiadomości e-mail oraz szyfrować pocztę ale firma AnoMail Software nie oferuje wsparcia w tym zakresie.
Oczywiście wszystkie certyfikaty w standardzie S/MIME utworzone poza AnoMail będą działać razem z naszym oprogramowaniem oraz programami wspierającymi tę technologię np. Microsoft Outlook, Mozilla Thunderbird, Apple Mail, GMail itp.
Jaki dane znajdą się na certyfikacie z AnoMail?
Program AnoMail generuje imienne certyfikaty S/MIME na których znajduje się imię i nazwisko użytkownika oraz nazwa firmy. W związku z tym można je traktować jako darmowe odpowiedniki certyfikatów oferowanych przez Certum np. S/MIME Individual, S/MIME Sponsor itp.
Na etapie generowania certyfikatu S/MIME podajecie Państwo dane podmiotu dla którego wystawiacie certyfikat czyli:
- E (Email) – adres e-mail, do którego przypisany jest certyfikat i który służy do podpisywania oraz szyfrowania poczty.
- CN (Common Name) – pełna nazwa użytkownika, często zawierająca imię i nazwisko lub nazwę firmy.
- OU (Organizational Unit) – jednostka organizacyjna, np. dział lub pełna nazwa firmy, w której pracuje właściciel certyfikatu.
- C (Country) – kod kraju w formacie dwuliterowym np. PL dla Polski, wskazujący lokalizację Waszej firmy.
Po co używać osobnego urzędu certyfikacji?
Zalecamy generować indywidualne certyfikaty S/MIME z użyciem własnego urzędu certyfikacji lub urzędu wbudowanego w AnoMail Root CA Free, ponieważ są one bardziej wiarygodne niż certyfikaty self-signed, które użytkownik podpisuje samodzielnie. Certyfikaty wystawione przez urząd CA tworzą tzw. łańcuch zaufania, co pozwala systemom i programom pocztowym łatwiej zweryfikować ich autentyczność.
W przypadku certyfikatów self-signed każdy odbiorca musi ręcznie zaakceptować i zaufać nadawcy, co jest mniej wygodne i może powodować ostrzeżenia o nieznanym wystawcy. Programy takie jak Thunderbird wymagają, aby w pierwszej kolejności urząd certyfikacji został dodany do listy zaufanych. Dzięki temu osobiste certyfikaty wystawione przez ten urząd będą działały prawidłowo.
Zobacz: Jak wdrożyć szyfrowanie poczty w programie Thunderbird?
Certyfikat poczty wystawiony przez siebie na siebie tzw. self-signed
Polecane artykuły z e-mailingowego bloga:
Wdrożenie programu AnoMail wraz z serwerem do e-mailingu
Dla zainteresowanych osób oferujemy usługę wdrożenia programu AnoMail wraz z serwerem do mailingu od firmy hostingowej Niebieski.net. Dzięki temu od razu można rozpocząć wysyłkę masowej korespondencji e-mail
Etykiety odbiorców czyli zastępcza nazwa adresata wiadomości e-mail
Etykiety odbiorców to wygodny sposób na grupowanie adresatów pod jedną, wspólną nazwą widoczną w polu Do: u każdego odbiorcy wiadomości. Dzięki temu zamiast adresu e-mail odbiorcy pojawia się schludna etykieta, która zwiększa czytelność korespondencji i poprawia wrażenie profesjonalizmu. Funkcja świetnie sprawdza się przy wysyłkach do konkretnych działów, zespołów czy grup klientów, zwłaszcza jeżeli z jakiegoś powodu nadawca nie chce personalizować korespondencji
Generator indywidualnych haseł do szyfrowania załączników
Generator bezpiecznych haseł to funkcja programu AnoMail, dzięki której można szyfrować załączniki do wiadomości e-mail indywidualnymi hasłami chroniąc w ten sposób poufne dane
