Bruno en 11:25 25 feb 2021

2021-02-25T11:25:15Z

Página nueva

Se os servizos da rede non requiren un número considerable de certificados, o mellor é crear unha ''autoridade certificadora'' (CA) propia para uso interno da nosa organización.

O uso de certificados asinados pola propia CA, permite que varios servizos que usan certificados confien en certificados emitidos pola CA.

O proceso para ter unha CA é o seguinte:
<ol>
<li>Creamos o directorio onde se garda o certificado da CA e ficheiros relacionados:
{|
<syntaxhighlight lang="bash">
mkdir /etc/ssl/CA
mkdir /etc/ssl/newcerts
</syntaxhighlight>
|}</li>
<li>
A CA necesita uns ficheiros adicionais: Un deles para gardar o último numero de serie utilizado pola CA, xa que cada certificado debe ter un número de serie único, e outro ficheiro para rexistrar os certificados emitidos:
{|
<syntaxhighlight lang="bash">
sh -c "echo '01' > /etc/ssl/CA/serial"
touch /etc/ssl/CA/index.txt
</syntaxhighlight>
|}
</li>
<li>Editamos o ficheiro de configuración da CA. Edita o ficheiro ''/etc/ssl/openssl.cnf'', e na sección ''[ CA_default ]'' cambia:
{|
<syntaxhighlight lang="bash">
dir = /etc/ssl/ # Onde se garda o certificado
database = $dir/CA/index.txt # Ficheiro da base de datos da relación certificados.
certificate = $dir/certs/cacert.pem # O certificado da CA
serial = $dir/CA/serial # O numero de serie actual
private_key = $dir/private/cakey.pem# A chave privada
</syntaxhighlight>
|}
</li>
<li>Creamos o certificado raíz da CA autoasinado:
{|
<syntaxhighlight lang="bash">
openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.pem -days 3650
</syntaxhighlight>
|}

</li>Haberá que responder aos detalles da creación do certificado. Os datos que introduzamos en pais, localidade, organización deben ser os mesmos que os dos certificados que vai asinar. Non se poden asinar certificados con datos diferentes.
<li>Instalación do certificado raíz e da chave:
{|
<syntaxhighlight lang="bash">
mv cakey.pem /etc/ssl/private/
mv cacert.pem /etc/ssl/certs/
</syntaxhighlight>
|}
</li>
</ol>
Se queremos comprobar os datos do certificado, tecleamos:
<syntaxhighlight lang="bash">
openssl x509 -in /etc/ssl/certs/cacert.pem -text -noout
</syntaxhighlight>
Desde este momento xa se poderían emitir certificados dixitais por parte da CA. Os pasos para emitilos son os seguintes:
<ol>
<li>Primeiro creamos unha chave privada no equipo onde se vai a empregar:
{|
<syntaxhighlight lang="bash">
openssl genrsa -des3 -out server.key 2048
#Se queremos que non nos pregunte o contrasinal, podemos introducilo coa opción -passout
#openssl genrsa -des3 -out server.key -passout pass:abc123. 2048
</syntaxhighlight>
|}
</li>
<li>Agora creamos unha chave insegura:
{|
<syntaxhighlight lang="bash">
openssl rsa -in server.key -out server.key.insecure
#Se queremos que non nos pregunte o contrasinal, introducímolo coa opción -passin
#openssl rsa -in server.key -out server.key.insecure -passin pass:abc123.
mv server.key server.key.secure
mv server.key.insecure server.key
</syntaxhighlight>
|}
</li>
<li>A chave insegura, agora chámase ''server.key'' e usaremola para crear a solicitide (ficheiro .csr) que logo asinará a CA:
{|
<syntaxhighlight lang="bash">
openssl req -new -key server.key -out server.csr
</syntaxhighlight>
|}
Preguntará tamén por nome da organización, nome do sitio, .... Estes mesmos datos volveran a ser preguntados a hora de emitir o certificado.
Tamén hai a opción de empregar o modo batch, para introducir os datos de organización, nome do sitio, etc.
{|
<syntaxhighlight lang="bash">
openssl req -new -key server.key -out server.csr -batch -subj "/C=ES/ST=Galicia/L=Santiago/O=IES San Clemente/CN=www.sitio.lan"
</syntaxhighlight>
|}

Os datos de organización, estado, país, localidade deben ser os mesmos, que se introduciron cando se creou a autoridade certificadora.

</li>
<li>Agora xa se pode asinar o certificado. Levamos o ficheiro .csr ao equipo que é autoridade certificadora, e asinamos o certificado.:
{|
<syntaxhighlight lang="bash">
openssl ca -in server.csr -config /etc/ssl/openssl.cnf
</syntaxhighlight>
|}
Se os datos de pais, localidade, organización son os mesmos, permitiranos asinar o certificado, senón non.
</li>
Tamén hai a opción de empregar o modo batch, para non ter que introducir de cada vez a palabra de paso.
{|
<syntaxhighlight lang="bash">
openssl ca -in server.csr -batch -notext -out server.crt -config /etc/ssl/openssl.cnf -passin pass:abc123.
</syntaxhighlight>
|}

<li>O comando anterior producirá unha saída por pantalla, que coincidirá co contido do ficheiro ''/etc/ssl/newcerts/01.pem'' (Os seguintes certificados serán 02, 03, ...)
Deberáse gardar o contido dese ficheiro entre <tt>-----BEGIN CERTIFICATE-----</tt> e <tt>----END CERTIFICATE-----</tt> '''incluídas ámbalas dúas'''. O nome dese ficheiro de texto pode ser www.sitio.lan.crt
</li>
</ol>
Unha vez rematado, temos dous ficheiros, o ''server.key'' contendo a chave privada e o ficheiro ''.crt'' contendo o certificado asinado pola CA

Para verificar que un certificado foi asinado, por unha autoridade, executamos
<syntaxhighlight lang="bash">
openssl verify -verbose -CAfile cacert.pem server.crt
</syntaxhighlight>

Autoridade certificadora - Historial de revisiones

Bruno en 11:25 25 feb 2021