Parameter zur Spezifizierung der Snakeoil Certificate Authority (CA)
Die Parameter CA-SERIALFILE, CA-CERTFILE und CA-KEYFILE spezifizieren die Dateien für die so genannte Snakeoil-CA. Mithilfe dieser CA können Sie aus den generierten CSRs Test-Zertifikate erstellen, mit denen Sie die TLS-Funktionalität testen können, bevor Sie ein „richtiges“ Zertifikat kaufen. Die von dieser Snakeoil-CA erstellten Test-Zertifikate dürfen nicht für den Produktivbetrieb eingesetzt werden, da sie nicht vertrauenswürdig sind. (Der private Schlüssel dieser CA ist nicht geheim, so dass jeder, der Zugriff auf diesen Schlüssel hat, ein beliebiges, von der Snakeoil-CA signiertes Zertifikat ausstellen kann.)
CA-SERIALFILE
Dieser Parameter spezifiziert die Datei, in der die fortlaufende Seriennummer des jeweils generierten Test-Zertifikats gespeichert wird.
Wenn diese Datei beim Prozeduraufruf bisher nicht existiert, wird sie angelegt und mit einer Zeile mit dem Inhalt „00“ initialisiert. Da diese Nummer in das jeweilige Test-Zertifikat eingetragen wird und einige Anwendungen diese Seriennummer zur Unterscheidung der von einer bestimmten CA ausgestellten Zertifikate verwenden, sollte diese Datei nach der erstmaligen Erzeugung nicht gelöscht werden. Andernfalls könnten u.U. Test-Zertifikate mit der gleichen Seriennummer erzeugt werden. Dies kann bei den genannten Anwendungen zu Problemen führen.
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.SNAKEOIL.SRL vorbelegt.
CA-CERTFILE
Dieser Parameter spezifiziert die Datei, in der das Root-Zertifikat der Snakeoil-CA gespeichert wird.
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.SNAKEOIL.CERT vorbelegt.
CA-KEYFILE
Dieser Parameter spezifiziert die Datei, in der der private Schlüssel der Snakeoil-CA gespeichert wird.
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.SNAKEOIL.KEY vorbelegt.
Parameter zur Spezifizierung der Generierungsdaten für den DSA-Schlüssel
DSA-PARAMFILE
Dieser Parameter spezifiziert die Datei, in der die für die Generierung eines DSA-Schlüssels benötigten Parameter gespeichert sind.
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.DSAPARAM vorbelegt.
Parameter zur Spezifizierung von Test-Zertifikat, privatem Schlüssel und CSR
Die Parameter CERTFILE, KEYFILE und CSRFILE spezifizieren die Dateien, in denen das Test-Zertifikat, der zugehörige private Schlüssel und der Certificate Signing Request (CSR) gespeichert werden.
CERTFILE
Dieser Parameter spezifiziert die Datei, in der das generierte Test-Zertifikat gespeichert wird. Der Name dieser Datei wird z.B. beim FTP-Installationskommando beim Operanden RSA-CERTIFICATE-FILE angegeben (siehe Handbuch „interNet Services Administratorhandbuch“).
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.NEW.CERT vorbelegt.
KEYFILE
Dieser Parameter spezifiziert die Datei, in der der zum Test-Zertifikat und CSR gehörende private Schlüssel gespeichert wird. Der Name dieser Datei wird z.B. beim FTP-Installationskommando beim Operanden RSA-KEY-FILE angegeben. Der Inhalt dieser Datei ist geheim zu halten, insbesondere, wenn später mit dem zugehörigen CSR ein Zertifikat für den Produktivbetrieb beantragt werden soll (siehe Handbuch „interNetServices Administratorhandbuch“).
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.NEW.KEY vorbelegt.
CSRFILE
Dieser Parameter spezifiziert die Datei, in der der CSR gespeichert wird. Wollen Sie ein Zertifikat für den Produktivbetrieb erwerben, dann schicken Sie diese Datei an eine kommerzielle CA. Nach dem Erhalt des Zertifikats von der CA führen Sie z.B. die FTP-Installation noch einmal durch, spezifizieren dann aber beim Operanden RSA-CERTIFICATE-FILE den Dateinamen des von der CA erhaltenen Zertifikats.
Der Parameter ist mit SYSDAT.TCP-IP-AP.nnn.NEW.CSR vorbelegt.
Parameter zur Festlegung von Schlüsseltyp und Passphrase-Verschlüsselung
KEY-TYPE
Dieser Parameter spezifiziert, ob ein RSA- oder ein DSA-Schlüssel generiert werden soll (RSA / DSA).
Der Parameter ist mit RSA vorbelegt.
KEY-ENCRYPTION
Dieser Parameter spezifiziert, ob der generierte RSA- oder DSA-Schlüssel mit einer Passphrase verschlüsselt werden soll (YES / NO):
Eine Verschlüsselung des privaten RSA- oder DSA-Schlüssel ist bei der Verwendung für einen Server wenig sinnvoll, da der Server dann beim Start nach der Passphrase fragt und damit nicht mehr automatisch startbar ist.
Wenn der generierte Schlüssel für ein Client-Zertifikat verwendet werden soll, kann die Verschlüsselung des privaten Schlüssels sinnvoll sein.
Der Parameter ist mit NO vorbelegt.