FreeRadius mit CAcert.org Zertifikaten und CRL

[Sil3ntWarri0r]

Hi,

würde gerne mit WPA und Radius (Gentoo Server) mein WLAN verschlüsseln, habe nun soweit auch ein HowTo umgesetzt und es funktioniert auch soweit mit den Zertifikaten.
Hierzu habe ich bei CAcert.org ein Serverzertifikat generiert und ebenfalls Client-Zertifikat erstellt. (server.xxxxxx.de und wlan@server.xxxxxx.de)
Des weiteren habe ich noch ein weiteres Zertifikat mit einer anderen Domain (zertifikat@yyyyyy.de), welches ebenfalls über CAcert.org erstellt wurde.

Jetzt habe ich einmal das WLAN-Client-Zertifikat verwendet um meinen Client zu zertifizieren und einmal das andere Zertifikat und siehe da der Server hat beides mal die Verbindung akzeptiert, weil beide auf dem selben ROOT Zertifikat basieren. Also kann wohl jeder, der bei CAcert.org ein Clientzertifikat hat sich bei mir am Radius/WLAN anmelden...

Ziel ist es aber, dass man sich nur mit den Zertifikaten authentifizieren können soll, die zum Server passen, also *@server.xxxxxx.de. Da ich für jeden Client ein eigenes Zertifikat anlegen möchte, so dass bei Verlust ein einzelnes Zertifikat dieses revoked werden kann.

Wie kann ich nun den Radius dazu bewegen, dass er nur die gewünschten Zertifikate akzeptiert. Verwende am Radius Server nur EAP-TLS.

Des weiteren habe ich versucht die CRL einzubinden, also Servercert, Clientcert und CRL in ein Verzeichnis kopiert, c_rehash aufgerufen, der dann die passenden Links erstellt hat. In der Datei eap.conf habe ich CA_file durch CA_path = ersetzt, wenn ich nun aber den Radius starte und es kommt ein Request bekomme ich immer die Fehlermeldung Nummer 3: unable to get certificate CRL. Was mache ich hieran falsch ?


Danke für eure Hilfe

[hessijens]

Logo der CA von CAcert.org gibt jeden Zertifikat von CAcert.org Gültigkeit.

Was spricht eigentlich dagegen die Zertifikate mit openssl zu erstellen?

Dann hast Du Deine CA und Deine Zertifikate

/etc/ssl/misc/CA.sh -newca // Für die CA unter /etc/ssl/demoCA/cacert.pem
/etc/ssl/misc/CA.sh -newreq // Für die Zertifikatanfrage/Keydatei /etc/ssl/newreq.pem
/etc/ssl/misc/CA.sh -newsign // Für die Unterzeichnung des Zertifikates /etc/ssl/newcert.pem
/etc/ssl/misc/CA.sh -verify // Zum überprüfen
openssl rsa -in newreq-pem -out new.pem // Zum entfernen des Passwortes aus der Keydatei

[Sil3ntWarri0r]

In diesem Fall könnte dies auch klappen, da ja die Zertifikate für WLAN nur intern verwendet werden und somit auch immer Zugriff auf den Server haben. Aber auch mit dieser Methode, müsste dann das Problem mit den einzelnen Zertifikaten entstehen, dass wenn ich eines entfernen will dies wohl nicht gehen wird, oder ?

[hessijens]

Das ist eine Sache wie Du Radius konfigurierst. Wenn Radius nur Deine Zwertifikate akzeptiert ist alles ok. Wenn Du Deine Zertifikate auch wiederrufen möchtest musst Du die "Wiederrufliste" auch im Radius definieren, damit er diese kennt. Das muss ich aber selbst erst nachlesen.