Serveur HTTP Apache Version 2.5

Apache > Serveur HTTP > Documentation > Version 2.5 > Programs

# ctlogconfig, l'utilitaire de configuration du service de transparence des certificats

`ctlogconfig` est un utilitaire permettant de crÃ©er et maintenir une base de donnÃ©es pour la configuration du service de transparence des certificats utilisable par le module `mod_ssl_ct` ; nous nous rÃ©fÃ©rerons Ã ce service sous le terme "log" dans la suite de cette documentation.

Avant d'aller plus loin, et si ce n'est dÃ©jÃ fait, veuillez consulter le document Configuration des logs dans la documentation du module `mod_ssl_ct`.

Vous pouvez vous inspirer des exemples ci-dessous pour une utilisation typique.

### Voir aussi

- `mod_ssl_ct`

## Exemples et dÃ©finitions ¶

`ctlogconfig /path/to/db dump`

`ctlogconfig /path/to/db configure-public-key [ log-id|record-id ] /path/to/public-key.pem`

`ctlogconfig /path/to/db configure-url [ log-id|record-id ] log-URL`

`ctlogconfig /path/to/db valid-time-range log-id|record-id min-timestamp max-timestamp`

`ctlogconfig /path/to/db trust log-id|record-id`

`ctlogconfig /path/to/db distrust log-id|record-id`

`ctlogconfig /path/to/db forget log-id|record-id`

log-id
  Il s'agit de l'identifiant du log qui est gÃ©nÃ©rÃ© en effectuant un hash SHA-256 au format hexadÃ©cimal de la clÃ© publique du log. La taille de cette chaÃ®ne est de 64 caractÃ¨res.
record-id
  Il s'agit du numÃ©ro d'enregistrement dans la base de donnÃ©es, tel qu'il s'affiche avec la sous-commande dump, prÃ©fixÃ© par le caractÃ¨re #. Par exemple, #4 renvoie au quatriÃ¨me enregistrement de la base de donnÃ©es (utilisez le mÃ©canisme d'Ã©chappement du shell si nÃ©cessaire).
/path/to/public-key.pem
  Il s'agit du chemin vers le fichier contenant la clÃ© publique du log au format PEM. En effet, la clÃ© publique n'est pas stockÃ©e dans la base de donnÃ©es, et le fichier ne peut donc pas Ãªtre supprimÃ© jusqu'Ã ce que la donnÃ©e qui y fait rÃ©fÃ©rence dans la base de donnÃ©es soit supprimÃ©e ou modifiÃ©e.
min-timestamp, max-timestamp
  Un repÃ¨re de temps (timestamp) est un temps exprimÃ© en millisecondes depuis le temps epoch, sans tenir compte des secondes sautÃ©es. C'est le format de temps utilisÃ© dans les SCTs. Le repÃ¨re de temps doit Ãªtre fourni sous la forme d'un nombre dÃ©cimal.
  SpÃ©cifiez `-` pour un des repÃ¨res de temps s'il n'est pas connu. Par exemple, lorsque vous dÃ©finissez le repÃ¨re de temps minimum valide pour un log qui reste valide, spÃ©cifiez `-` pour max-timestamp.
  Les SCTs reÃ§u par le mandataire depuis ce log seront invalides si le repÃ¨re de temps est plus ancien que min-timestamp ou plus rÃ©cent que max-timestamp.

## Commandes ¶

dump
  Affiche les Ã©lÃ©ments de configuration de la base de donnÃ©es. L'identifiant des enregistrements que cette commande affiche peut servir de rÃ©fÃ©rence pour les enregistrements devant Ãªtre affectÃ©s par les autres commandes.
configure-public-key
  Ajoute une clÃ© publique pour un log de la base de donnÃ©es ou modifie la clÃ© publique d'un log existant. La clÃ© publique d'un log permet de valider la signature des SCTs (Signed certificate Timestamp) reÃ§us par un mandataire depuis un serveur d'arriÃ¨re-plan (La base de donnÃ©es sera crÃ©Ã©e si elle n'existe pas encore).
configure-url
  Ajoute une URL pour un log de la base de donnÃ©es ou modifie l'URL d'un log existant. L'URL d'un log permet de soumettre des certificats de serveur Ã ce dernier afin d'obtenir des SCTs qui pourront Ãªtre envoyÃ©s aux clients (La base de donnÃ©es sera crÃ©Ã©e si elle n'existe pas encore).
valid-time-range
  Cette commande permet de dÃ©finir le temps de validation minimum et/ou maximum pour un log. Les SCTs en provenance du log possÃ©dant un repÃ¨re de temps en dehors de la plage dÃ©finie seront rejetÃ©s. Utilisez `-` pour un temps non dÃ©fini (La base de donnÃ©es sera crÃ©Ã©e si elle n'existe pas encore).
trust
  Marque un log comme digne de confiance, ce qui est la situation par dÃ©faut. Cette command permet de marquer un log comme digne de confiance, alors que ce n'Ã©tait pas le cas auparavant (La base de donnÃ©es sera crÃ©Ã©e si elle n'existe pas encore).
distrust
  Marque un log comme non digne de confiance (La base de donnÃ©es sera crÃ©Ã©e si elle n'existe pas encore).
forget
  Supprime de la base de donnÃ©es les informations relatives Ã un log.

## Exemples ¶

Soit une instance de httpd Apache qui fonctionne en tant que serveur TLS et mandataire. Le serveur TLS doit obtenir des SCTs de la part de certains logs connus afin de pouvoir les transmettre aux clients, et le mandataire doit pouvoir valider la signature des SCTs en provenance des serveurs d'arriÃ¨re-plan.

Nous allons tout d'abord dÃ©finir les URLs des logs oÃ¹ les certificats sont enregistrÃ©s :

    $ ctlogconfig /path/to/conf/log-config configure-url http://log1.example.com/
    $ ctlogconfig /path/to/conf/log-config configure-url http://log2.example.com/
    $ ctlogconfig /path/to/conf/log-config dump
    Log entry:
      Record 1
      Log id         : (not configured)
      Public key file: (not configured)
      URL            : http://log1.example.com/
      Time range     : -INF to +INF

    Log entry:
      Record 2
      Log id         : (not configured)
      Public key file: (not configured)
      URL            : http://log2.example.com/
      Time range     : -INF to +INF

Nous pouvons maintenant attribuer une clÃ© publique Ã un log oÃ¹ le certificat de notre seul serveur d'arriÃ¨re-plan est publiÃ©. Dans notre cas, il s'agit du log dont l'URL est http://log2.example.com/, et qui a dÃ©jÃ Ã©tÃ© configurÃ©.

    $ ctlogconfig /path/to/conf/log-config configure-public-key \#2 /path/to/conf/log2-pub.pem
    $ ctlogconfig /path/to/conf/log-config dump
    Log entry:
      Record 1
      Log id         : (not configured)
      Public key file: (not configured)
      URL            : http://log1.example.com/
      Time range     : -INF to +INF

    Log entry:
      Record 2
      Log id         : (not configured)
      Public key file: /path/to/conf/log2-pub.pem
      URL            : http://log2.example.com/
      Time range     : -INF to +INF