Cómo trabajar con certificados

Descripción

Esta sección explica cómo utilizar los comandos openssl para validar una cadena de certificados (CA, intermedio y servidor) y separar o combinar certificados.

Puedes traer certificados de la siguiente manera:

• Escenario 1: tres archivos crt/pem que incluyen certificados de CA, intermedios y de servidor y una clave privada.
• Escenario 2: dos archivos crt/pem que incluyen certificados de CA y de servidor y una clave privada.
• Escenario 3: un archivo pfx que contiene todos los certificados de CA/intermedios y de servidor y una clave privada.

La siguiente tabla describe los nombres de archivo utilizados:

Nombre del archivo	Descripción
ca.crt	Un certificado de CA.
intermediate.crt	Un certificado intermedio.
ca-bundle.crt	Un certificado que contiene certificados de CA e intermedios.
server.crt	Un certificado de servidor.
server.key	Una clave privada utilizada para generar el server.crt.
server.pfx	Un archivo de certificado pfx que contiene certificados de CA, intermedios, de servidor y la clave privada del servidor.

Escenario 1 y Escenario 2

Cuando traigas tres archivos de certificado diferentes (CA, intermedio y servidor), sigue los siguientes pasos para la validación:

1. Combina la CA con los certificados intermedios (aplicable solo para el Escenario 1).

   cp ca.crt ca-bundle.crt
   cat intermediate.crt >> ca-bundle.crt
   

2. Comprueba que el certificado del servidor contiene (específicamente los campos subject alternative names y validity .

   openssl x509 -in server.crt -text -noout
   

3. Comprueba si el servidor de CA firmó el certificado del servidor.

   openssl verify -CAfile ca-bundle.crt server.crt
   

   Salida:

   server.crt: OK
   

4. Comprueba si el certificado del servidor fue generado por la clave privada del servidor comparando los hash md5. Si los siguientes resultados de los comandos coinciden, valida que el certificado del servidor se generó utilizando la clave privada.

   • openssl x509 -noout -modulus -in server.crt | openssl md5
     

     Salida del certificado del servidor:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441
     

   • openssl rsa -noout -modulus -in server.key | openssl md5
     

     Salida de clave privada del servidor:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441
     

5. Genera el archivo pfx a partir del certificado del servidor y la clave privada. Una vez ejecutado el siguiente comando, se te pedirá que escribas un código de acceso dos veces. El código de acceso siempre es necesario para descifrar el archivo pfx.

   openssl pkcs12 -inkey server.key -in server.crt -export -out server.pfx
   

   Salida:

   Enter Export Password:
   Verifying - Enter Export Password:
   

Escenario 3

Cuando traes un certificado en formato pfx que contiene CA, clave intermedia, de servidor y privada, puedes utilizar el archivo pfx como certificado de firma de token de identidad, pero debes dividir el archivo pfx en varios archivos de certificado. Los siguientes pasos describen cómo dividir el archivo pfx en consecuencia.

1. Exporta el certificado de CA (incluido el intermedio si se proporciona en el archivo pfx):

   openssl pkcs12 -in server.pfx -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ca.crt
   

2. Exporta el certificado del servidor:

   openssl pkcs12 -in server.pfx -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > server.crt
   

3. Exporta la clave privada:

   openssl pkcs12 -in server.pfx -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > server.key