Zertifikat erstellen

Ein digitales Zertifikat ist vergleichbar mit einem Personalausweis im Internet. Es bestätigt die Identität und stellt sicher, dass Dokumente nicht unbemerkt verändert wurden. Beim Signieren eines PDFs wird mithilfe des Zertifikats ein digitaler Stempel angebracht, der die Echtheit und Unversehrtheit des Dokuments garantiert.

Um ein Zertifikat zu erstellen, das zum Signieren von Dokumenten geeignet ist, benötigen Sie in der Regel eine Zertifizierungsstelle (Certificate Authority, CA), die Ihre Identität überprüft und das Zertifikat signiert. Das ist wichtig, damit das Zertifikat vertrauenswürdig ist und von anderen akzeptiert wird.

Alternativ können Sie selbstsignierte Zertifikate erstellen. Diese sind in einigen Szenarien nützlich, werden für den Einsatz in einer produktiven Umgebung jedoch normalerweise nicht empfohlen, da andere sie nicht automatisch als vertrauenswürdig einstufen.

Zum Erstellen von selbstsignierten Zertifikaten benötigen Sie zum Beispiel das Programm OpenSSL. Eine unter Windows lauffähige Version finden Sie im Docuflair-Ordner im Unterverzeichnis openssl.

Die folgende allgemeine Anleitung zeigt, wie Sie ein selbstsigniertes Zertifikat erstellen:

1. Generierung eines privaten Schlüssels (KEY)

Generieren Sie zuerst einen privaten Schlüssel. Dieser Schlüssel wird zum Signieren des Zertifikats verwendet und sollte sicher aufbewahrt werden. Sie können beispielsweise OpenSSL verwenden, um einen privaten Schlüssel zu generieren:

openssl genrsa -out private.key 2048

Dieser Befehl erstellt eine private Schlüsseldatei mit dem Namen private.key.

2. Erstellung einer Zertifikatsanforderung (CSR - Certificate Signing Request)

Mit dem privaten Schlüssel erstellen Sie nun eine Zertifikatsanforderung. Diese Anforderung enthält Informationen wie den Common Name (CN) — normalerweise die Domain, der Name des Servers oder der Person, die das Zertifikat verwendet. Führen Sie den folgenden Befehl aus, um eine CSR zu erstellen:

openssl req -new -key private.key -out request.csr

beziehungsweise folgenden Befehl, wenn Sie OpenSSL unter Windows verwenden (unter Umständen müssen Sie den Pfad zur Konfigurationsdatei anpassen):

openssl req -new -key private.key -out request.csr -config openssl.cnf

Dieser Befehl erstellt eine CSR-Datei mit dem Namen request.csr.

3. Selbstsignierung des Zertifikats

Verwenden Sie nun den privaten Schlüssel, um das Zertifikat selbst zu signieren. Hier ist ein Beispielbefehl:

openssl x509 -req -days 3650 -in request.csr -signkey private.key -out certificate.crt

Dieser Befehl erstellt ein selbstsigniertes Zertifikat mit dem Namen certificate.crt.

Damit haben Sie ein selbstsigniertes Zertifikat erstellt. Beachten Sie, dass selbstsignierte Zertifikate normalerweise nicht in Produktionsumgebungen verwendet werden sollten, da andere sie nicht automatisch als vertrauenswürdig einstufen. Wenn Sie ein Zertifikat benötigen, das von anderen akzeptiert wird, beziehen Sie es stattdessen über eine Zertifizierungsstelle (CA).

4. Zertifikatsdateien in PKCS12 Format umwandeln

Um das Zertifikat in das PKCS12-Dateiformat umzuwandeln, benötigen Sie die zuvor erstellten Dateien:

• Die “.crt”-Datei: das fertige Zertifikat.
• Die “.key”-Datei: der Private Key, der mit dem CSR erstellt wurde und zu diesem Zertifikat gehört.

Optional können Sie hier auch ein Zwischenzertifikat (wenn verfügbar) einbinden. Um das Zwischenzertifikat in die PKCS12-Datei aufzunehmen, öffnen Sie das Zertifikat mit einem Editor. Fügen Sie unter dem PEM-Block des eigentlichen Zertifikats den PEM-Block des CA-Zertifikats ein. Je nach Zertifikatsanbieter sollten nun zwei bis drei PEM-Textblöcke in der Datei enthalten sein.

Mit folgendem Befehl fassen Sie das Zertifikat (.crt) und den Private Key (.key) mit OpenSSL zu einer Datei zusammen und speichern sie als “p12”-Datei:

openssl pkcs12 -export -in certificate.crt -inkey private.key -out Docuflair.p12

Die erzeugte p12-Datei enthält jetzt den privaten Schlüssel und das Zertifikat. Der Inhalt wird mit einem Passwort geschützt, das bei der Anwendung des Zertifikats abgefragt wird.