OpenVASでLets EncryptのSSL証明書を使うには

OpenVAS Managerのユーザー認証やWebインターフェイスへとhttps://で接続する場合にはデフォルトではOpenVMSのインストール時に生成される自己証明局(CA)やSSL証明書が使われるため、ブラウザによっては接続を拒否されてしまう場合もあるようです。
そこでSSL証明書をLet's Encryptで取得した正常なSSL証明書に入れ替えようと思ったのですが意外とネット上にも情報が少なく、いろいろと調べてみたのでその覚書です。

先ずはOpenVASの設定ファイルにSSL証明書の場所が記載されていないかを調べてみました。
すると、 /etc/openvas/openvassd.conf の中でSSL証明書の場所が設定されているのを発見したので、これをLet's Encryptで取得したSSL証明書と入れ替えてOpenVASのWebインターフェイスGreenbone Security Assistant(gsad)を再起動してみました。

/etc/openvas/openvassd.confの証明書設定と思わしき箇所

# Certificates
#
cert_file=/var/lib/openvas/CA/servercert.pem
key_file=/var/lib/openvas/private/CA/serverkey.pem
ca_file=/var/lib/openvas/CA/cacert.pem

残念ながらgsadではOpenVASの設定ファイルは読み込んでいないらしく、使われている証明書は以前のままの様です。
※実はこの設定はOpenVASをインストールした時に作ったOpenVAS ManagerとOpenVAS Scannerとの通信に使うSSL証明書のためのもので、これはいじってはいけないものだったようです…

/etc/openvas/gsad_log.confというgsadのログファイルに関する設定ファイルがあるので、もしかしたら/etc/openvas/gsad.confとかに設定できるのだろうか？とも思ったのですが、どこを探してもそんな情報はありません。

仕方がないのでgsadの起動スクリプト /etc/rc.d/init.d/gsad を読んでみたら、どうやらこのスクリプト中で直接パラメータをgsadに渡すしか手段は無いようです。 (環境変数の設定は /etc/sysconfig/gsad の中で行なうと良さそうです)

/etc/sysconfig/gsad での設定例

GSA_SSL_PRIVATE_KEY=/etc/letsencrypt/live/openvas.example.com/privkey.pem
GSA_SSL_CERTIFICATE=/etc/letsencrypt/live/openvas.example.com/fullchain.pem

※残念ながら中間証明書を指定することができないので、Let's Encrypt発行の証明書を使った場合、ブラウザなどでLet's Encryptがroot認証局としてインストールされていないブラウザではエラーになってしまいます。 (現在、解決策を模索中…)
証明書と中間証明書が含まれるファイルfullchain.pemを証明書ファイルとして指定すればこの問題は解決出来ることがわかりました！

CentOS 7の場合

CentOS 7の場合、サービスを起動するためのスクリプトは/etc/systemd/system/multi-user.target.wants/gsad.serviceとなりますが、一応このスクリプトの中でCentOS 6などと同様に/etc/sysconfig/gsadが読み込まれているものの、SSL証明書に関する設定GSA_SSL_PRIVATE_KEYとGSA_SSL_CERTIFICATEがgsadへと渡されている様子がないので、SSL証明書を変更したい場合には/etc/systemd/system/multi-user.target.wants/gsad.serviceに若干の修正を加えなければなりません。

オリジナルの/etc/systemd/system/multi-user.target.wants/gsad.service

[Unit]
Description=OpenVAS Manager
After=network.target
After=openvas-scanner.service
After=openvas-manager.service

[Service]
Type=forking
EnvironmentFile=-/etc/sysconfig/gsad
ExecStart=/usr/sbin/gsad --listen $GSA_ADDRESS --port $GSA_PORT --mlisten $MANAGER_ADDRESS --mport $MANAGER_PORT $OPTIONS
Restart=always
RestartSec=1
User=root
Group=root
TimeoutSec=1200

[Install]
WantedBy=multi-user.target

/etc/sysconfig/gsadで設定されたGSA_SSL_PRIVATE_KEYとGSA_SSL_CERTIFICATEをgsadに引き渡す様に変更を加える

[Unit]
Description=OpenVAS Manager
After=network.target
After=openvas-scanner.service
After=openvas-manager.service

[Service]
Type=forking
EnvironmentFile=-/etc/sysconfig/gsad
ExecStart=/usr/sbin/gsad --listen $GSA_ADDRESS --port $GSA_PORT --mlisten $MANAGER_ADDRESS --mport $MANAGER_PORT $OPTIONS --ssl-private-key $GSA_SSL_PRIVATE_KEY --ssl-certificate $GSA_SSL_CERTIFICATE
Restart=always
RestartSec=1
User=root
Group=root
TimeoutSec=1200

[Install]
WantedBy=multi-user.target

/etc/systemd/system/multi-user.target.wants/gsad.serviceに変更を加えた後はsystemdのデーモンをリロードしないと設定が反映されないのでご注意を！

# systemctl daemon-reload

参考資料

/etc/rc.d/init.d/gsad で設定可能な環境変数とその内容

gsad起動時に指定可能なオプションの一覧