Como trabalhar com certificados

Description

Esta seção explica como usar os comandos openssl para validar uma cadeia de certificados (CA, intermediário e de servidor), e separar ou combinar certificados.

Você pode trazer certificados da seguinte forma:

• Cenário 1: três arquivos crt/pem, incluindo os certificados de CA, intermediário e de servidor e uma chave privada.
• Cenário 2: dois arquivos crt/pem, incluindo certificados de CA e de servidor e uma chave privada.
• Cenário 3: um arquivo pfx contendo todos os certificados de CA/intermediários e de servidor e uma chave privada.

A tabela a seguir descreve os nomes de arquivos usados:

Nome do arquivo	Description
ca.crt	Um certificado CA.
intermediate.crt	Um certificado intermediário.
ca-bundle.crt	Um certificado contendo a CA e certificados intermediários.
server.crt	Um certificado de servidor.
server.key	Uma chave privada usada para gerar a server.crt.
server.pfx	Um arquivo de certificado pfx contendo CA, intermediário, certificados do servidor e a chave privada do servidor.

Cenário 1 e Cenário 2

Quando você trazer três arquivos de certificados diferentes (CA, intermediário e de servidor), siga as seguintes etapas para validação:

1. Combine a CA com os certificados intermediários (aplicáveis apenas para o Cenário 1).

   cp ca.crt ca-bundle.crt
   cat intermediate.crt >> ca-bundle.crt
   

2. Verifique se o certificado do servidor contém (especificamente os campos subject alternative names e validity .

   openssl x509 -in server.crt -text -noout
   

3. Verifique se o certificado do servidor foi assinado pelo servidor da CA.

   openssl verify -CAfile ca-bundle.crt server.crt
   

   Saída:

   server.crt: OK
   

4. Verifique se o certificado do servidor foi gerado pela chave privada do servidor comparando os hashes md5. Se as saídas dos comandos a seguir corresponderem, ela validará que o certificado do servidor foi gerado usando a chave privada.

   • openssl x509 -noout -modulus -in server.crt | openssl md5

     Saída do certificado do servidor:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

   • openssl rsa -noout -modulus -in server.key | openssl md5

     Saída da chave privada do servidor:

     stdin)= c9b0c5c3fe11b0b09947415236c4a441)

5. Gere o arquivo pfx a partir do certificado do servidor e da chave privada. Depois que o comando a seguir for executado, você será solicitado a digitar uma senha duas vezes. A senha é sempre necessária para descriptografar o arquivo pfx.

   openssl pkcs12 -inkey server.key -in server.crt -export -out server.pfx
   

   Saída:

   Enter Export Password:
   Verifying - Enter Export Password:
   

Cenário 3

Quando você traz um certificado no formato pfx contendo CA, intermediário, servidor e chave privada, você pode usar o arquivo pfx como um certificado de assinatura de token de identidade, mas deve dividir o arquivo pfx em vários arquivos certificados. As seguintes etapas descrevem como quebrar o arquivo pfx de acordo.

1. Exporte o certificado da CA (incluindo o intermediário, se fornecido no arquivo pfx):

   openssl pkcs12 -in server.pfx -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ca.crt
   

2. Exporte o certificado do servidor:

   openssl pkcs12 -in server.pfx -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > server.crt
   

3. Exporte a chave privada:

   openssl pkcs12 -in server.pfx -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > server.key