Transportverschlüsselung: TLS/SSL x509 Zertifikat installieren

1. Option A: Automatisch mit Slef-Signed Zertifikat
   1.1. Schritt - Web Server beenden
   1.2. Schritt - Hostnamen setzen
   1.3. Schritt - Web Server starten
   1.4. Schritt am Client (optional)
2. Option B: Automatisch mit LetsEncrypt / Certbot / Win-ACME
   2.1. Schritt - Port Forwarding für TCP auf Port 80 und 443 einrichten
   2.2. Schritt - Web Server beenden
   2.3. Schritt - Hostnamen setzen
   2.4. Schritt - cert.bat ausführen
3. Option C: Manuelle Installation mit eigenem Zertifikat
   3.1. Schritt - Web Server beenden
   3.2. Schritt - Hostnamen und Zertifikat setzen
   3.3. Schritt - Web Server starten

---

Es gibt grundsätzlich drei Möglichkeiten, für Dr.DOC Web ein TLS x509 Zertifikat für die Verbindungsverschlüsselung zu installieren.

• A: Automatisch mit Slef-Signed Zertifikat
• B: Automatisch mit LetsEncrypt / Certbot
  • Weitgehend automatisierte Aktualisierung
  • Kostenlos, aber eine kleine Spende wäre nett: https://letsencrypt.org/donate/
  • Port 443 MUSS am Server für Dr.DOC Web verfügbar sein
  • Port Forwarding MUSS am Router für TCP Port 443 und TCP Port 80, mit Verweis auf den Server, aktiv sein
    • Bei Fritz Box: "Internet -> Freigaben -> Portfreigaben -> "Gerät für Freigaben hinzufügen" -> "Neue Freigabe" ->
      • Anwendung "HTTP-Server"
      • Anwendung "HTTPS-Server"
        oder
      • Anwendung "Andere Anwendung", Protokoll "TCP", Port "80"
      • Anwendung "Andere Anwendung", Protokoll "TCP", Port "443"
  • Sicherheitsfeatures nicht anpassbar
• C: Manuelle Installation mit eigenem Zertifikat
  • Zu bevorzugen, wenn man eine PKI in der Organisation hat
  • Etwas komplizierter in der Einrichtung aber dafür mehr Anpassungsmöglichkeiten (Port, Schlüssellänge, Laufzeiten etc.)
  • Theoretisch sicherer, aber in der Praxis läuft bei den allermeisten CAs/TSPs der Signierungsprozess unsicher ab, da die CA den private Key erzeugt. Sicher(er) wäre, wenn die Organisation einen Private Key erzeugt, sowie einen Signing Request an die CA sendet und die CA den Signing Request bzw. das Zert signiert.

1. Option A: Automatisch mit Slef-Signed Zertifikat

1.1. Schritt - Web Server beenden

Dr.DOC Web Server Dienst beenden
sc.exe stop "Dr.DOC Web Server"

1.2. Schritt - Hostnamen setzen

Öffnen Sie in Ihrem Dr.DOC Web Basisverzeichnis im Unterverzeichnis "configs" die Datei "server.ini"
Pfad: <Web-Basisverzeichnis>\configs\server.ini
z.B. C:\DrDOC\WEB\configs\server.ini

Bitte passen Sie folgende Einträge an:

[SERVER]
HOSTNAME=<Ihr Hostname>
PORT=443
SSL_ACTIVE=true

1.3. Schritt - Web Server starten

Dr.DOC Web Server Dienst starten
sc.exe start "Dr.DOC Web Server"

Dr.DOC Web erstellt nun automatisch ein Self-Signed Zertifikat und trägt es ein.

1.4. Schritt am Client (optional)

Das Public x509 Zertifikat am Client in den Root/Stammzertifikate Store laden:

1. Doppelklick auf Zertifikat
2. "Lokaler Computer", Button "Weiter" klicken
3. "Alle Zertifikate in folgendem Speicher speichern", Button "Durchsuchen.." klicken
4. "Vertrauenswürdige Stammzertifizierungsstellen" wählen, Button "OK" klicken
5. Button "Weiter" klicken

2. Option B: Automatisch mit LetsEncrypt / Certbot / Win-ACME

Bitte beachten Sie, dass LetsEncrypt ein Zertifikat signiert, welches auf einen Domain Namen lauten muss. Beim Signieren muss Dr.DOC Web von außen aus dem Internet zugänglich sein. Zusätzlich muss dabei Dr.DOC Web den Port 443 und Port 80 verwenden.
Es gibt Möglichkeiten das zu umgehen, jedoch hat das einige Nachteile.

2.1. Schritt - Port Forwarding für TCP auf Port 80 und 443 einrichten

Beispiel:

• from any IP Port 443/TCP to 192.168.100.2
• from any IP Port 80/TCP to 192.168.100.2

Beispiel für FritzBox:

1. Internet -> Freigaben -> Portfreigaben:
2. Button "Gerät für Freigaben hinzufügen"
3. Freigabe erstellen für Port 443 (HTTPS)
   1. Protokoll: TCP
   2. Port extern vergeben: 443
   3. Port intern vergeben: 443
4. Freigabe erstellen für Port 80 (HTTP)
   1. Protokoll: TCP
   2. Port extern vergeben: 80
   3. Port intern vergeben: 80

2.2. Schritt - Web Server beenden

Dr.DOC Web Server Dienst beenden
sc.exe stop "Dr.DOC Web Server"

2.3. Schritt - Hostnamen setzen

Öffnen Sie in Ihrem Dr.DOC Web Basisverzeichnis im Unterverzeichnis "confisgs" die Datei "server.ini"
Pfad: <Web-Basisverzeichnis>\configs\server.ini
z.B. C:\DrDOC\WEB\configs\server.ini

Bitte passen Sie folgende Einträge an:

[SERVER]
HOSTNAME=<Ihr Hostname>

2.4. Schritt - cert.bat ausführen

Als Administrator ausführen:
Pfad: <Web-Basisverzeichnis>\cert.bat
z.B. C:\DrDOC\WEB\cert.bat

Die LetsEncrypt Zertifikate laufen ca. alle drei Monate ab und müssen erneuert werden. Der Certbot aktualisiert die Zertifikat automatisch, Win-ACME leider nicht.
Die Zertifikate sollten vor Ablauf erneuert werden (renew).

Folgende Aktionen werden ausgeführt:

• WIN-ACME bzw. CertBot (LetsEncrypt) installieren
• Port 443 und SSL setzen
• PFX Datei (SSL_CERT_FILE) oder PEM Datei Pfad setzen (SSL_CERT_FILE_PRIVATE, SSL_CERT_FILE_PUBLIC)
• Server starten
• Zertifikat für Web Server setzen

3. Option C: Manuelle Installation mit eigenem Zertifikat

3.1. Schritt - Web Server beenden

Dr.DOC Web Server Dienst beenden
sc.exe stop "Dr.DOC Web Server"

3.2. Schritt - Hostnamen und Zertifikat setzen

Öffnen Sie in Ihrem Dr.DOC Web Basisverzeichnis im Unterverzeichnis "configs" die Datei "server.ini"
Pfad: <Web-Basisverzeichnis>\configs\server.ini
z.B. C:\DrDOC\WEB\configs\server.ini

Bitte passen Sie folgende Einträge an:

[SERVER]
HOSTNAME=<Ihr Hostname>
PORT=443
SSL_ACTIVE=true

SSL_CERT_FILE=<Pfad zur *.pfx Datei ODER Fingerprint des Zertifikats im Windows Zertifikate Store>
SSL_CERT_PASSWORD=<Passwort zur *.pfx Datei>

; oder PEM Zertifikat mit je einer Datei für Private- und Public Key

SSL_CERT_FILE_PRIVATE=<Pfad zur private key Datei>
SSL_CERT_FILE_PUBLIC=<Pfad zur PEM Cert Datei>

3.3. Schritt - Web Server starten

Dr.DOC Web Server Dienst starten
sc.exe start "Dr.DOC Web Server"