☰

Navigation :

Luotetun TLS-varmenteen käyttäminen

Luotetun TLS-varmenteen asentaminen Web Radio Controliin

TLS-varmenteet (tai SSL-sertifikaatit) ovat osa tietoliikennettä web-selaimen ja palvelimen välillä ja ne todistavat, että web-selaimesta otettu yhteys palvelimeen on luotettava (eli palvelin on osoitteen mukainen) ja että kommunikointi palvelimelle on salattu. Web-selaimet luottavat vain tiettyihin, luotettavista lähteistä hankittuihin varmenteisiin, joten sellaisen hankkiminen on hyödyllistä, jotta voi välttää yhteysongelmia sekä turvallisuusvaroituksia selaimissa.

Erityisesti useammalle operaattorille jaetuilla kerhoasemilla etäaseman käyttö on tällaisella luotetulla varmenteella sujuvampaa, koska tällöin etäaseman käyttäjien (eli operaattorien) ei tarvitse asentaa omiin web-selaimiinsa erillistä varmennetta.

Vaihtoehto luotetuille TLS-varmenteille on ns. self-signed eli itse allekirjoitetun varmenteen käyttö, mikä on etäaseman operaattorien/käyttäjien kannalta hieman monimutkaisempaa, mutta silti tietoturvaltaan riittävää.

Erona on se, että luotettu TLS-varmenne on usein maksullinen ja se täytyy hankkia luotettavasta palvelusta. Itse allekirjoitetun TLS-varmenteen voi luoda suoraan Web Radio Controlin asennuskäyttöliittymässä, mutta jokainen etäaseman operaattori/käyttäjä joutuu asentamaan itse allekirjoitetun TLS-varmenteen web-selaimiinsa, jotta selain ei näyttäisi turvallisuusvaroituksia. Lisäksi Applen Safari-selaimissa - sekä tietokoneilla ja mobiililaitteissa - itse allekirjoitetun varmenteen asentaminen on pakollista.

Ohjeita itse allekirjoitetun TLS-varmenteen käyttöön:

Luotetun TLS-varmenteen hankkiminen

Esimerkiksi ZeroSSL on palvelu, josta saa pienellä vuosimaksulla rajattomasti 3 kk voimassa olevia ilmaisia varmenteita. Myös 12 kk varmenteita on tarjolla, mutta niitä on rajoitetusti tai niistä täytyy maksaa erikseen. Myös No-IP-palvelu, jota käytetään pääsiassa dynamic DNS-domain nimien hankkimiseen, tarjoaa vastaavanlaisia ilmaisia varmenteita sopivalla hankkimisprosessilla varustettuna.

Jotta voit saada käyttöösi luotetun varmenteen, sinun tulee todistaa domain-nimen (esim. kerho.dy.fi tai kerho.ddns.net) omistajuus jotenkin ja käytännössä se vaatii sähköpostiosoitteen (esim. webmaster@kerho.dy.fi) ohjaamista johonkin omistamaanne sähköpostiosoitteeseen. Mainituissa dy.fi- ja No-IP- palveluissa on mahdollista ohjata sähköpostit mainitulla tavalla.

Täysin ilmaisia, luotettuja TLS-varmenteita tarjoaa myös esim. Let’s Encrypt-palvelu, mutta se ei tarjoa edellä mainittua mahdollisuutta varmistaa domainin omistajuus sähköpostilla. Sen sijaan vaatimuksena on pitää Web Radio Control HTTP-palvelin vakioportissa 80 tai 443, joiden käyttö on estetty lähes kaikissa kuluttajanettiliittymissä. Toinen Let’s Encryptin tarjoama vaihtoehto domainin omistajuuden todistamiseen on sopivat DNS-tietueet domainin tiedoissa, mutta silloin on usein tarpeen omistaa kokonaan oma domain-nimi (esim. kerho.net), jotta sen DNS-tietueita voisi hallita sopivalla tavalla. Let’s Encryptin varmenteita voi siis myös käyttää, mutta varmenteen hankkiminen on teknisesti vaativampaa eikä sitä käsitellä tässä tarkemmin.

Varmenteiden hankkimisessa on siis omat haasteensa ja tällä hetkellä yksinkertaisimmat, vaikkakin maksulliset palvelut TLS-varmenteiden hankkimiseen ovat ZeroSSL ja No-IP. Muitakin vastaavia palveluja on toki olemassa, vaikka niitä ei käsitellä tässä.

TLS-varmennetiedostojen paketointi Web Radio Controlia varten

Luotetun, esimerkiksi ZeroSSL:stä hankitun, TLS-varmenteen asennus Web Radio Controliin tapahtuu seuraavasti:

Varmenteeseen liittyviä tiedostoja on yleensä 2 tai 3: "avaintiedosto" (.key-päätteinen) ja lisäksi 1 tai 2 varmennetiedostoa (.crt-päätteisiä). Ne ovat kaikki tietynlaista tekstiä erityisessä Base64-muodossa, joten niitä voi käsitellä tekstieditoreilla, kuten vaikka Windowsin Notepad (Muistio).

a) Jos tiedostoja on vain 2, niin riittää, että nimeät .crt-päätteisen tiedoston nimellä wrc.crt ja .key-päätteisen tiedoston nimellä wrc.key.

Nämä kaksi tiedostoa pitää pakata ZIP-pakettiin. Pakettitiedoston nimellä ei ole väliä.

b) Jos tiedostoja on 3, niin .crt-päätteiset tiedostot tulee "yhdistää" eli kopioida sisällöt peräkkäin (väliin rivinvaihto) siten, että itse varmenne (usein nimellä certificate.crt) tulee ensimmäisenä ja sitten toinen "intermediate certificate" tai "bundle" (joskus nimellä ca_bundle.crt) tulee sen jälkeen. Nämä kaksi .crt-tiedostoa kopioidaan siis tekstieditorilla peräkkäin tiedostoon nimeltä wrc.crt. On tärkeää kopioida varmenteet oikeassa järjestyksessä!

Avain eli .key-päätteinen tiedosto nimetään uudelleen nimellä wrc.key.

Seuraavaksi nämä kaksi tiedostoa, wrc.crt ja wrc.key, tulee pakata ZIP-pakettiin. Pakettitiedoston nimellä ei ole väliä.

ZIP-paketoitujen TLS-varmennetiedostojen asentaminen Web Radio Controliin

ZIP-paketti, jossa varmennetiedostot ovat, tulee asentaa Web Radio Controliin.

Siirry Web Radio Controlin etäohjauskäyttöliittymässä osioon Settings > Backup/Restore, kohtaan Import new TLS certificate.

  • Laita raksi kohtaan This certificate was created outside Web Radio Control and it is trusted by browsers.

    • Tämä kertoo, että asennettava varmenne on hankittu lähteestä, johon web-selaimet jo luottavat.

  • Klikkaa "Select certificate file (ZIP)…​" ja etsi tekemäsi ZIP-tiedosto

  • Klikkaa "Import" ja käyttöliittymä ilmoittaa onnistuiko varmenteen asennus

Käynnistä Web Radio Control-ohjelmisto uudelleen Settings > System-osiossa klikkaamalla Restart WRC server-painiketta.

Web Radio Control:in uudelleenkäynnistyksen jälkeen tämä uusi varmenne on käytössä. Tämän voi varmistaa tarkistamalla, että web-selain ei ilmoita enää turvallisuusvaroituksia, kun avaat Web Radio Controlin käyttöliittymän selaimessa.