Certificates

Overview

Submenu: /certificate

Het general menu wordt gebruikt om certificaten te beheren, sjablonen toe te voegen, certificaten uit te geven, en CRL- en SCEP-clients te beheren.

Certificate Template

Certificaatsjablonen worden gebruikt om een gewenst certificaat voor te bereiden voor ondertekening.

Het Certificate-sjabloon wordt verwijderd direct nadat een certificaat is ondertekend of een certificaataanvraagcommando is uitgevoerd

/certificate
add name=CA-Template common-name=CAtemp key-usage=key-cert-sign,crl-sign
add name=Server common-name=server
add name=Client common-name=client

Om certificaten af te drukken:

[admin@4k11] /certificate> print detail 
Flags: K - private-key; L - crl; C - smart-card-key; A - authority; I - issued, R - revoked; E - expired; T - trusted 
 0         name="CA-Template" key-type=rsa common-name="CAtemp" key-size=2048 subject-alt-name="" days-valid=365 key-usage=key-cert-sign,crl-sign 

 1         name="Server" key-type=rsa common-name="server" key-size=2048 subject-alt-name="" days-valid=365 
           key-usage=digital-signature,key-encipherment,data-encipherment,key-cert-sign,crl-sign,tls-server,tls-client 

 2         name="Client" key-type=rsa common-name="client" key-size=2048 subject-alt-name="" days-valid=365 
           key-usage=digital-signature,key-encipherment,data-encipherment,key-cert-sign,crl-sign,tls-server,tls-client 

Eigenschappen van het certificaatsjabloon

Tijdens het aanmaken van het certificaatsjabloon is het mogelijk om meerdere parameters te definiëren en te configureren om aan specifieke eisen te voldoen.

Eigenschappen van het certificaat

Voor een ondertekend certificaat zijn de meeste eigenschappen alleen-lezen, met uitzondering van name, trusted en trust-store.

Waarschuwing Als het CA-certificaat wordt verwijderd, worden alle uitgegeven certificaten in de keten ook verwijderd.

Certificaat ondertekenen

Certificaten moeten ondertekend zijn. In het volgende voorbeeld ondertekenen we certificaten en voegen we een CRL URL toe voor het servercertificaat:

/certificate 
sign CA-Template 
sign Client      
sign Server ca-crl-host=192.168.88.1 name=ServerCA

Laten we controleren of de certificaten zijn ondertekend:

[admin@MikroTik] /certificate> print
Flags: K - private-key; L - crl; A - authority; T - trusted
Columns: NAME, COMMON-name, FINGERPRINT
#        NAME         COMMON  FINGERPRINT                                                     
0  K AT  CA-Template  CAtemp  0c7aaa7607a4dde1bbf33deaae6be7bac9fe4064ba47d64e8a73dcefad6cfc38
1  K AT  Client       client  b3ff25ecb166ea41e15733a7493003f3ea66310c10390c33e98fe32364c3659f
2  KLAT  ServerCA     server  152b88c9d81f4b765a59e2302e01efd1fbf11ceeed6e59f4974e87787a5bb980

Klik voor een videovoorbeeld hier.

Waarschuwing De duur van het key signing-proces hangt af van de key size van een specifiek certificaat. Bij waarden van 4k en hoger kan het aanzienlijke tijd kosten om dit specifieke certificaat te ondertekenen op apparaten met een minder krachtige CPU.

Certificaat exporteren

Het is mogelijk om clientcertificaten met sleutels en CA-certificaten in twee formaten te exporteren - PEM of PKCS12.

/certificate 
export-certificate CA-Template 
export-certificate ServerCA export-passphrase=yourpassphrase
export-certificate Client export-passphrase=yourpassphrase

Geëxporteerde certificaten zijn beschikbaar onder de sectie /file:

[admin@MikroTik] > file print
Columns: NAME, TYPE, SIZE, CREATION-TIME
#  NAME                         TYPE        SIZE  CREATION-TIME       
0  skins                        directory         2019-01-19 00:00:04
1  flash                        directory         2019-01-19 01:00:00
2  pub                          directory         2019-01-19 02:42:16
3  cert_export_CA-Template.crt  .crt file   1119  2019-01-19 04:15:21
4  cert_export_ServerCA.crt     .crt file   1229  2019-01-19 04:15:42
5  cert_export_ServerCA.key     .key file   1858  2019-01-19 04:15:42
6  cert_export_Client.crt       .crt file   1164  2019-01-19 04:15:55
7  cert_export_Client.key       .key file   1858  2019-01-19 04:15:55

Waarschuwing Voor het exporteren van certificaten is het gebruikersbeleid "sensitive" vereist.

Certificaat importeren

Om certificaten te importeren, moeten de certificaten via een van de bestandsuploadmethoden naar een apparaat worden geüpload.

Certificaten moeten als bestand worden geïmporteerd.

Ondersteund worden de formaten PEM, DER, CRT en PKCS12. PKCS12-import ondersteunt AES- en 3DES-decryptie.

[admin@MikroTik] > /certificate/import file-name=certificate_file_name name=name_example passphrase=file_passphrase
     certificates-imported: 2
     private-keys-imported: 1
            files-imported: 1
       decryption-failures: 0
  keys-with-no-certificate: 0

[admin@MikroTik] > /certificate/print 
Flags: K - PRIVATE-KEY; T - TRUSTED
Columns: NAME, COMMON-NAME
#    NAME            COMMON-NAME                                                  
0 KT name_example    cert    
1  T name_example_1  ca   

CRL

RouterOS ondersteunt het controleren van de Certificate Revocation List (CRL).

Standaard wordt CRL niet gebruikt en worden certificaten niet gecontroleerd op ingetrokken status.

Schakel crl-use=yes in bij de certificaatinstelling zodat het systeem elk certificaat in een chain controleert tegen de bijbehorende CRL, en stel crl-download=yes in zodat RouterOS CRL's automatisch downloadt en bijwerkt.

Een CRL kan handmatig toegevoegd worden door de CRL-URL op te geven, of dynamisch bij het importeren van een certificaat dat een CRL Distribution Point bevat.

Settings

/certificate/settings maakt het mogelijk om instellingen voor de Certificate Revocation List en de ingebouwde trust store te configureren.

Waarschuwing Als /certificate/settings/set crl-use is ingesteld op yes, controleert RouterOS de CRL voor elk certificaat in een certificaatketen; daarom moet een volledige certificaatketen op een apparaat worden geïnstalleerd - te beginnen bij de Root CA, de tussenliggende CA's (als die er zijn) en het certificaat dat voor een specifieke dienst wordt gebruikt.

Een voorbeeld van het importeren van een rootcertificaat.

ACME-client

De ACME-client automatiseert het verkrijgen en vernieuwen van meerdere TLS-certificaten via ACME.

Om via de CLI een nieuwe ACME-client toe te voegen, gebruikt u het commando /certificate/add-acme.

Bestaande ACME-clients verschijnen in de weergave Certificates en zijn gemarkeerd met de vlag a (acme-manage).

Domeinnamen moeten naar de router resolven en TCP-poort 80 moet bereikbaar zijn vanaf het WAN (de HTTP-01-challenge wordt gebruikt). Voor een IP Cloud-domeinnaam <id>.sn.mynetname.net wordt in plaats daarvan de DNS-01-challenge gebruikt.

Certificaten worden automatisch vernieuwd wanneer 80% van hun geldigheidsduur is verstreken.

Als het certificaat tijdens de initiële installatie niet wordt opgehaald, moet er een nieuwe ACME-client worden toegevoegd.

Properties

Handmatige ACME-vernieuwing

Om de vernieuwing van een ACME-certificaat handmatig te activeren:

/certificate/acme-renew [name]

Bijvoorbeeld:

/certificate/acme-renew numbers=0

Let's Encrypt-certificaat

Om een Let's Encrypt-certificaat met automatische certificaatvernieuwing op te halen, moet u handmatig een domeinnaam opgeven met de parameter domain-names:

/certificate/add-acme domain-names=router.example.com

Om een Let's Encrypt-certificaat te genereren voor een IP Cloud-naam (bijvoorbeeld example.sn.mynetname.net), geeft u de dns-name uit het menu /ip/cloud op als domeinnaam, of leest u deze inline uit met [/ip/cloud/get dns-name]:

/certificate/add-acme domain-names=[/ip/cloud/get dns-name]

Info De directory van Let's Encrypt wordt gebruikt als directory-url niet is opgegeven.

SCEP

SCEP gebruikt het HTTP-protocol en base64-gecodeerde GET-verzoeken. De meeste verzoeken zijn zonder authenticatie en versleuteling, maar belangrijke verzoeken kunnen indien nodig beschermd worden (versleuteld of ondertekend met een ontvangen publieke sleutel).

De SCEP-client in RouterOS zal:

• Haal het CA-certificaat op bij de CA-server of de RA (indien gebruikt).
• De gebruiker moet de fingerprint van het CA-certificaat vergelijken of nagaan of het van de juiste server afkomstig is.
• Genereer een zelfondertekend certificaat met een tijdelijke sleutel.
• Stuur een certificaataanvraag naar de server.
• Als de server met status x antwoordt, blijft de client verzoeken sturen totdat de server een fout of een goedkeuring stuurt.

De SCEP-server ondersteunt uitsluitend de uitgifte van één certificaat. RouterOS ondersteunt ook de opties renew en next-ca:

• renew - de mogelijkheid om het oude certificaat automatisch met dezelfde CA te vernieuwen.
• next-ca - de mogelijkheid om het huidige CA-certificaat te vervangen door het nieuwe.

De client vraagt de server periodiek om wijzigingen; als de server aangeeft dat de next-ca beschikbaar is, kan de client de volgende CA opvragen of wachten tot de CA bijna verloopt en dan de next-ca opvragen.

De RouterOS-client zal standaard proberen POST, AES en SHA256 te gebruiken als de server aangeeft dat te ondersteunen. Als de bovenstaande algoritmen niet worden ondersteund, probeert de client 3DES, DES en SHA1, MD5 te gebruiken.

SCEP-certificaten worden vernieuwd wanneer 3/4 van hun geldigheidsduur is verstreken.

Ingebouwde trust store-autoriteiten

RouterOS bevat een lijst met ingebouwde root-certificaatautoriteiten die specifieke services kunnen gebruiken voor de verificatie van hostcertificaten.

SMIPS-apparaten hebben een beperkte ingebouwde CA-truststore.

De lijst met diensten die ingebouwde root certificate authorities kunnen gebruiken is te vinden in het gedeelte Settings.

Het is mogelijk om DoH te gebruiken met certificaatvalidatie zonder dat u het betreffende root-certificaat handmatig hoeft te importeren.

De lijst met ingebouwde root certificate authorities is toegankelijk via System → Certificates → Built In CA, of via /certificate/builtin/.

Lijst met ingebouwde CA's

De volgende lijst met ingebouwde CA's is beschikbaar op alle architecturen behalve SMIPS.

Ingebouwde CA's van SMIPS

SMIPS-apparaten hebben een beperkte ingebouwde CA-truststore: