• HowTo
• CCforNewbies2
• CZ

• česky | deutsch | english

Nejjednodušší způsob získání klientského certifikátu ve Windows

Řekněme, že jste u CAcert úplný nováček. Vytvořil jste si svůj CAcert účet. Ověřil jste si svoji e-mailovou adresu (tu, kterou jste zadal do účtu) tak, že jste odpověděl na CAcert PING test. Dostal jste totiž na svůj primární e-mailovou adresu zprávu od CAcert, v níž mj. stálo: "Jakmile bude Váš účet ověřen, bude možné začít vydávat certifikáty co hrdlo ráčí!". Zpráva obsahovala také odkaz, na nějž jste klikl a tím platnost adresy ve svém účtu potvrdil.

Potřebujete vůbec klientský certifikát?
Určitě ano. Můžete s ním dělat spoustu věcí: podepisovat/šifrovat svoje e-mailové zprávy, přihlašovat se ke svému účtu, navštívit weby CAcert a weby zabezpečené pomocí CAcert, atd.

Používáte-li operační systém MacOS, čtěte zde.

Od května 2023 už žádný prohlížeč nevygeneruje žádost o podpis certifikátu (CSR), a to z bezpečnostních důvodů. CAcert proto vyvinul webovou aplikaci Client Certificate Generator, která pracuje nejlépe na nejpoužívanějších prohlížečích (Firefox, Chrome, Opera, IE, Safari, Edge, ...) a provede Vás celým postupem. Na rozdíl od předchozího postupu na konci vznikne soubor typu PKCS#12 s příponou .p12 nebo .pfx, který obsahuje:

• vydaný certifikát obsahující veřejný klíč,
• k němu příslušný privátní klíč zašifrovaný heslem, které si při vytváření souboru stanovíte,
• kořenové certifikáty úplné cesty; v případě CAcertu je to kořenový certifikát třídy 3 (zprostředkující) a kořenový certifikát třídy 1 (hlavní kořenový certifikát CA).

V jednom souboru jsou tedy všechny potřebné certifikáty pro použití služeb CAcert a dalších. Rovněž odpadá hledání privátního klíče při přesouvání certifikátů na jiný počítač. prodloužení platnosti certifikátu apod. Soubor typu PKCS#12 také slouží jako ideální záloha certifikátu.

Získání kořenových certifikátů

Navštivte tedy web CAcert, získejte a instalujte oba kořenové certifikáty CAcert (bez přihlášení jděte na "Kořenový certifikát" v menu napravo). Jsou označeny: PKI klíč třídy 1, PKI klíč třídy 3. Vyberte formát PEM nebo DER. Prohlížeč ho ihned instaluje. Při instalaci PKI klíče třídy 1 potvrďte důvěryhodnost.

Generování klientského certifikátu použitím webové aplikace

Podrobný popis webové aplikace najdete zde. Aplikace samotná je dostupná z portálu CAcert nebo z Wiki - Často kladených otázek (FAQ/CZ), Problémy s certifikáty.

Po zadání Vašeho uživatelského jména a výběru síly klíčů vygeneruje aplikace žádost CSR a privátní klíč (který se mimo Váš počítač nikam nepřenáší). Tlačítkem zkopírujete CSR do schránky. Je důležité vědět, že nyní si na další záložce prohlížeče "odskočíte" na web CAcertu a po vygenerování certifikátu se musíte vrátit do webové aplikace, která sestaví soubor PKCS#12!

Přihlaste se k webu CAcert svým uživatelským jménem (tj. Vaší primární e-mailovou adresou) a heslem. Z menu zvolte: "Klientské certifikáty -> Nový". Objeví se stránka "Nový klientský certifikát".

Nezapomeňte "Přidat" svoji e-mailovou adresu (fajfkou ve čtverečku), případně občanské jméno a potvrdit, že "Přijímáte Dohodu komunity CAcert" (CCA, čtvereček dole). Ze schránky vložte (Ctrl-V) vygenerovanou žádost CSR. Pak stiskněte "Další".

Zanedlouho se zobrazí stránka s vygenerovaným certifikátem. Vyberte jej celý, od prvního řádku -----BEGIN CERTIFICATE----- do posledního -----END CERTIFICATE----- včetně a zkopírujte do schránky (Ctrl-C).

Vraťte se na záložku webové aplikace a vložte certifikát do textového pole (Ctrl-V). Aplikace teď požádá o heslo k zašifrování privátního klíče, sestaví soubor typu PKCS#12 (.p12 nebo .pfx) a nabídne Vám jeho stažení. Po pojmenování souboru a jeho uložení do počítače můžete webovou aplikaci ukončit, případně se také odhlásit od webu CAcertu.

Instalace certifikátu ze souboru typu PKCS#12

Asi nejjednodušší způsob ve Windows je "spustit" soubor .p12 dvojklikem, pak zadat heslo k privátnímu klíči a potvrdit. Unix, Linux, MacOS a jiné systémy mohou ve svých správcích certifikátů soubor rozebrat a uložit jeho části, jak je pro ně potřebné.

Alternativní metoda, když už máte klíčový pár a žádost (CSR) o certifikát vygenerovány

(Tato metoda není pro začátečníky vhodná. Avšak některé systémy/programy, jako Linux/Apache, vyžadují pro certifikát a privátní klíč oddělené soubory například s příponami .crt a .key.)

Jestliže jste privátní klíč a žádost CSR vygenerovali nějakým programem (XCA, OpenSSL, Kleopatra) a máte je uloženy v souborech, postupujte takto:

Přihlaste se svým uživatelským jménem (tj. Vaší primární e-mailovou adresou) a heslem. Z menu zvolte: "Klientské certifikáty -> Nový". Objeví se stránka "Nový klientský certifikát".

Nezapomeňte přidat svoji e-mailovou adresu/adresy (fajfkou ve čtverečku), případně občanské jméno a potvrdit, že "Přijímáte Dohodu komunity CAcert" (CCA, čtvereček dole). Ze souboru s vygenerovanou žádostí CSR zkopírujte celý obsah (Ctrl-A, Ctrl-C) a vložte (Ctrl-V) do textového pole podle obrázku. Pak stiskněte "Další". Po chvíli se zobrazí stránka s vygenerovaným certifikátem. Vidíte jeho obsah kódovaný jako text v Base64 a informaci o něm. Nahoře na stránce jsou tři odkazy pro jeho stažení a instalaci.

Nejjednodušší způsob: máte-li na tomto počítači vygenerovánu žádost CSR,je zde i privátní klíč; použijte instalační odkaz.
Můžete také uložit svůj nový klientský certifikát do souboru a pak ho instalovat do prohlížeče

• Firefox - správce certifikátů: "tl. 3-vodorovné čárky (hamburger) v pravém horním rohu okna -> Nastavení -> Soukromí a zabezpečení (vlevo) -> rolovat dolů k tl. Zobrazit certifikáty -> záložka Osobní -> Importovat...";

• Edge - ikona"..." vpravo nahoře -> Nastavení -> Ochrana osobních údajů, vyhledávání a služby (vlevo) -> vpravo rolovat na "Zabezpečení", pod ním odkaz "Spravovat certifikáty";

• Chrome - ikona 3 teček pod sebou, vpravo nahoře -> Ochrana soukromí a zabezpečení (vlevo) -> Zabezpečení (vpravo) -> rolovat dolů na odkaz "Správa certifikátů";

• Opera - ikona Opera v levém horním rohu okna -> Nastavení -> Soukromí a bezpečnost (vlevo) -> Zabezpečení -> Správa certifikátů;

• Vivaldi - ikona Vivaldi v levém horním rohu -> Nastavení -> dialog, v levé části rolovat k Soukromí a bezpečí -> vpravo rolovat na "Správa cetifikátů".

Poslední 4 prohlížeče vedou ve Windows na systémový dialog správy osobních certifikátů. Můžete zde certifikáty prohlížet a zjišťovat, mají-li na tomto počítači uloženy příslušné privátní klíče, dále je lze importovat, exportovat, upřesnit jejich účel, případně je odstraňovat.

Certifikát je vytvořen, instalován a je platný

Nyní můžete prohlížet CAcert Wiki zabezpečeným protokolem HTTPS a hlavně můžete podepisovat a šifrovat své e-mailové zprávy nebo se přihlašovat ke svému účtu u CAcert svým zbrusu novým klientským certifikátem.

Na závěr důležité upozornění:
Prohlížeč Firefox si ukládá všechny certifikáty do svého vlastního úložiště.

Chcete-li tedy instalovat jak kořenové certifikáty CAcert, tak své klientské certifikáty jinam (například do úložiště operačního systému, jak je tomu například u Windows), postačí instalovat své klientské certifikáty ze zálohy (tj. importovat vše ze souboru typu .p12/.pfx). Pak je můžete kdykoli re-exportovat zase ze Správce certifikátů v prohlížeči, viz výše (někdy je pro možnost re-exportu nutný explicitní souhlas již při importu). Exportovaný soubor opět obsahuje Váš certifikát a privátní klíč, což je citlivý údaj. Proto Vás Správce požádá o heslo (zadat 2×), kterým pak při importu soubor odemknete. Import je možný jak do operačního systému, tak do jiných webových prohlížečů, které pak můžete dále používat místo Firefoxu, dáváte-li jim přednost.

V prohlížeči Firefox pouhá instalace kořenového certifikátu nestačí, musíte ještě potvrdit, že mu důvěřujete. Vyberte kořenový certifikát pod záložkou Autority (Root CA, CA Crtz Signing Authority) a po stisknutí tl. Upravit důvěru dole otevřete dialog, kde zaškrtnete důvěru pro všechny účely.

Prohlížeč Firefox má sice své vlastní úložiště, lze však nastavit, aby si přečetl kořenové a zprostředkující certifikáty autorit i ze systémového úložiště Windows. Nastavení najdete na stránce about:config jako security.enterprise_roots.enabled a je třeba nastavit ho na true (nebo přepnout).

Odkazy na články o získání klientského certifikátu (obsah wiki je dostupný jak protokolem HTTP, tak HTTPS):

• Často kladené otázky (Nepřehlédněte!)

Procedury pro klientské certifikáty:
Windows:

• Jak vytvořit klientský certifikát CAcert ve Windows (včetně zálohy ve formátu PKCS12) pomocí aplikace XCA

• Jak vytvořit klientský certifikát CAcert ve Windows (včetně zálohy ve formátu PKCS12) pomocí systémové aplikace MMC, modulu Certifikáty

Unix-Linux:

• Klientské certifikáty

• Jak vygenerovat privátní klíč a žádost (CSR) pomocí OpenSSL

• Co je to CSR

• CategoryFAQ

• CategoryTutorials