Crear un CA para firmar certificados SSL - Historial de revisiones

Lantolin: /* Procedimiento */

2022-02-04T10:16:51Z

Procedimiento

← Revisión anterior		Revisión del 10:16 4 feb 2022
Línea 51:		Línea 51:
	Firmar la solicitud de certificado con la CA		Firmar la solicitud de certificado con la CA

	openssl ca -config openssl.conf -extensions v3_req -days 3650 -notext -md sha256 -in csr/${DOMINIO}.csr.pem -out certs/${DOMINIO}.cert.pem		openssl ca -config openssl.conf -policy policy_loose -extensions v3_req -days 3650 -notext -md sha256 -in csr/${DOMINIO}.csr.pem -out certs/${DOMINIO}.cert.pem
	chmod 444 certs/${DOMINIO}.cert.pem		chmod 444 certs/${DOMINIO}.cert.pem

Lantolin en 22:35 2 mar 2021

2021-03-02T22:35:22Z

← Revisión anterior		Revisión del 22:35 2 mar 2021
Línea 1:		Línea 1:
	Problema: estamos practicando SSL/TLS y queremos ir más allá de los certificados auto-firmados.		Problema: estamos practicando SSL/TLS y queremos ir más allá de los certificados auto-firmados. Además es un incordio estar añadiendo las excepciones de seguridad en los programas cliente, y además quiero usar comodines en los dominios.

	Solución: crear una clave privada+certificado de una CA, usarla para firmar certificados, e importar esa CA a Firefox y Thunderbird para que confien en ella.		Solución: crear una clave privada+certificado de una CA, usarla para firmar certificados, e importar esa CA a Firefox y Thunderbird para que confien en ella.
Línea 5:		Línea 5:
	== Procedimiento ==		== Procedimiento ==

	Practicamente todo está tomado de https://blog.guillen.io/2018/09/29/crear-autoridad-certificadora-ca-y-certificados-autofirmados-en-linux/		Practicamente todo está tomado de este fantástico artículo [https://blog.guillen.io/2018/09/29/crear-autoridad-certificadora-ca-y-certificados-autofirmados-en-linux/ Crear autoridad certificadora (CA) y certificados autofirmados en Linux]. ¡Muchas gracias Antonio Guillen!

	Basicamente lo que ves aquí es una simplificación de ese artículo.		Basicamente lo que ves aquí es una simplificación de ese artículo.

Lantolin: /* openssl.conf */

2021-03-02T22:17:21Z

openssl.conf

← Revisión anterior		Revisión del 22:17 2 mar 2021
Línea 64:		Línea 64:
	== openssl.conf==		== openssl.conf==

	~~<nowiki>~~
	<pre>		<pre>
	[ ca ]		[ ca ]
Línea 226:		Línea 225:
	extendedKeyUsage = critical, OCSPSigning		extendedKeyUsage = critical, OCSPSigning
	</pre>		</pre>
	~~</nowiki>~~

Lantolin: /* openssl.conf */

2021-03-02T22:16:58Z

openssl.conf

← Revisión anterior		Revisión del 22:16 2 mar 2021
Línea 64:		Línea 64:
	== openssl.conf==		== openssl.conf==

	<~~pre~~><~~nowiki~~>		<nowiki>
			<pre>
	[ ca ]		[ ca ]
	# man ca		# man ca
Línea 224:		Línea 225:
	keyUsage = critical, digitalSignature		keyUsage = critical, digitalSignature
	extendedKeyUsage = critical, OCSPSigning		extendedKeyUsage = critical, OCSPSigning
	</pre></~~code~~>		</pre>
			</nowiki>

Lantolin en 22:16 2 mar 2021

2021-03-02T22:16:18Z

← Revisión anterior		Revisión del 22:16 2 mar 2021
Línea 11:		Línea 11:
	Creamos un directorio vacío como base, aquí va a estar la CA.		Creamos un directorio vacío como base, aquí va a estar la CA.

	export $BASE='/root/ca'		export BASE='/root/ca'
	mkdir $BASE		mkdir $BASE
	cd $BASE		cd $BASE

Lantolin en 22:06 2 mar 2021

2021-03-02T22:06:43Z

← Revisión anterior		Revisión del 22:06 2 mar 2021
Línea 53:		Línea 53:
	openssl ca -config openssl.conf -extensions v3_req -days 3650 -notext -md sha256 -in csr/${DOMINIO}.csr.pem -out certs/${DOMINIO}.cert.pem		openssl ca -config openssl.conf -extensions v3_req -days 3650 -notext -md sha256 -in csr/${DOMINIO}.csr.pem -out certs/${DOMINIO}.cert.pem
	chmod 444 certs/${DOMINIO}.cert.pem		chmod 444 certs/${DOMINIO}.cert.pem

			Convertimos el certificado en DER, por si nos lo piden en ese formato, tenerlo ya

			openssl x509 -in certs/${DOMINIO}.cert.pem -out certs/${DOMINIO}.cert.der -outform DER

	Ahora hay colocar el certs/DOMINIO.cert.pem y el private/DOMINIO.key.pem al servidor (Apache, o Postfix, o Dovecot), en donde corresponda en cada caso.		Ahora hay colocar el certs/DOMINIO.cert.pem y el private/DOMINIO.key.pem al servidor (Apache, o Postfix, o Dovecot), en donde corresponda en cada caso.

Lantolin en 22:05 2 mar 2021

2021-03-02T22:05:05Z

← Revisión anterior		Revisión del 22:05 2 mar 2021
Línea 28:		Línea 28:
	chmod 400 ./private/ca.key.pem		chmod 400 ./private/ca.key.pem

	Generamos el certificado de la CA		Generamos el certificado de la CA (En Common Name ponemos lo que queramos)

	URL=luisantolin.com		URL=luisantolin.com
Línea 34:		Línea 34:
	openssl req -config openssl.conf -key private/ca.key.pem -new -x509 -days 7300 -sha256 -extensions v3_ca -out certs/ca.cert.pem		openssl req -config openssl.conf -key private/ca.key.pem -new -x509 -days 7300 -sha256 -extensions v3_ca -out certs/ca.cert.pem
	chmod 444 certs/ca.cert.pem		chmod 444 certs/ca.cert.pem

	~~En Common Name ponemos lo que queramos.~~

	Crear una clave privada para nuestro sitio web.		Crear una clave privada para nuestro sitio web.
Línea 44:		Línea 42:
	chmod 400 ./private/${DOMINIO}.key.pem		chmod 400 ./private/${DOMINIO}.key.pem

	Generar la solicitud de certificado		Generar la solicitud de certificado (en Common Name ponemos el DOMINIO)

	URL="*.miweb.com"		URL="*.miweb.com"
Línea 50:		Línea 48:
	export SAN=DNS:$URL,DNS:$DOMINIO		export SAN=DNS:$URL,DNS:$DOMINIO
	openssl req -config openssl.conf -key private/${DOMINIO}.key.pem -new -sha256 -out csr/${DOMINIO}.csr.pem		openssl req -config openssl.conf -key private/${DOMINIO}.key.pem -new -sha256 -out csr/${DOMINIO}.csr.pem

	~~En Common Name ponemos el DOMINIO.~~

	Firmar la solicitud de certificado con la CA		Firmar la solicitud de certificado con la CA

Lantolin en 22:04 2 mar 2021

2021-03-02T22:04:31Z

← Revisión anterior		Revisión del 22:04 2 mar 2021
Línea 50:		Línea 50:
	export SAN=DNS:$URL,DNS:$DOMINIO		export SAN=DNS:$URL,DNS:$DOMINIO
	openssl req -config openssl.conf -key private/${DOMINIO}.key.pem -new -sha256 -out csr/${DOMINIO}.csr.pem		openssl req -config openssl.conf -key private/${DOMINIO}.key.pem -new -sha256 -out csr/${DOMINIO}.csr.pem

			En Common Name ponemos el DOMINIO.

	Firmar la solicitud de certificado con la CA		Firmar la solicitud de certificado con la CA

Lantolin en 22:03 2 mar 2021

2021-03-02T22:03:06Z

← Revisión anterior		Revisión del 22:03 2 mar 2021
Línea 40:		Línea 40:

	URL="*.miweb.com"		URL="*.miweb.com"
	openssl genrsa -out ./private/${~~URL~~}.key.pem 2048		DOMINIO=$(echo $URL \| sed 's/*\.//g' )
	chmod 400 ./private/${~~URL~~}.key.pem		openssl genrsa -out ./private/${DOMINIO}.key.pem 2048
			chmod 400 ./private/${DOMINIO}.key.pem

	Generar la solicitud de certificado		Generar la solicitud de certificado

Lantolin: Página creada con «Problema: estamos practicando SSL/TLS y queremos ir más allá de los certificados auto-firmados. Solución: crear una clave privada+certificado de una CA, usarla para fir…»

2021-03-02T22:01:50Z

Página creada con «Problema: estamos practicando SSL/TLS y queremos ir más allá de los certificados auto-firmados. Solución: crear una clave privada+certificado de una CA, usarla para fir…»

Página nueva

Problema: estamos practicando SSL/TLS y queremos ir más allá de los certificados auto-firmados.

Solución: crear una clave privada+certificado de una CA, usarla para firmar certificados, e importar esa CA a Firefox y Thunderbird para que confien en ella.

== Procedimiento ==

Practicamente todo está tomado de https://blog.guillen.io/2018/09/29/crear-autoridad-certificadora-ca-y-certificados-autofirmados-en-linux/

Basicamente lo que ves aquí es una simplificación de ese artículo.

Creamos un directorio vacío como base, aquí va a estar la CA.

export $BASE='/root/ca'
mkdir $BASE
cd $BASE

mkdir certs csr crl newcerts private
chmod 700 private
touch index.txt
touch index.txt.attr
echo 1000 > serial

Creamos el fichero <code>openssl.conf</code>, puedes ver el contenido al final.

Creamos la clave privada de la CA

openssl genrsa -aes256 -out ./private/ca.key.pem 4096
chmod 400 ./private/ca.key.pem

Generamos el certificado de la CA

URL=luisantolin.com
export SAN=DNS:$URL
openssl req -config openssl.conf -key private/ca.key.pem -new -x509 -days 7300 -sha256 -extensions v3_ca -out certs/ca.cert.pem
chmod 444 certs/ca.cert.pem

En Common Name ponemos lo que queramos.

Crear una clave privada para nuestro sitio web.

URL="*.miweb.com"
openssl genrsa -out ./private/${URL}.key.pem 2048
chmod 400 ./private/${URL}.key.pem

Generar la solicitud de certificado

URL="*.miweb.com"
DOMINIO=$(echo $URL | sed 's/*\.//g' )
export SAN=DNS:$URL,DNS:$DOMINIO
openssl req -config openssl.conf -key private/${DOMINIO}.key.pem -new -sha256 -out csr/${DOMINIO}.csr.pem

Firmar la solicitud de certificado con la CA

openssl ca -config openssl.conf -extensions v3_req -days 3650 -notext -md sha256 -in csr/${DOMINIO}.csr.pem -out certs/${DOMINIO}.cert.pem
chmod 444 certs/${DOMINIO}.cert.pem

Ahora hay colocar el certs/DOMINIO.cert.pem y el private/DOMINIO.key.pem al servidor (Apache, o Postfix, o Dovecot), en donde corresponda en cada caso.

Por ultimo hay que importar el certs/ca.cert.pem en los clientes. En Mar-2021, para Firefox Linux y para Thunderbird Linux, en Ubuntu 20.04 LTS el procedimiento es trivial, basta con ir a opciones, buscar certificados, ahi CAs e importar el PEM.

== openssl.conf==

<pre><nowiki>
[ ca ]
# man ca

default_ca = CA_default

[ CA_default ]
# Directory and file locations.

dir = ./
certs = ./certs
crl_dir = ./crl
new_certs_dir = ./newcerts
database = ./index.txt
serial = ./serial
RANDFILE = ./private/.rand

# The root key and root certificate.

private_key = ./private/ca.key.pem
certificate = ./certs/ca.cert.pem

# For certificate revocation lists.

crlnumber = ./crlnumber
crl = ./crl/ca.crl.pem
crl_extensions = crl_ext
default_crl_days = 30

# SHA-1 is deprecated, so use SHA-2 instead.

default_md = sha256

name_opt = ca_default
cert_opt = ca_default
default_days = 375
preserve = no
policy = policy_strict

[ policy_strict ]
# The root CA should only sign intermediate certificates that match.

# See the POLICY FORMAT section of man ca.

countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[ policy_loose ]
# Allow the intermediate CA to sign a more diverse range of certificates.

# See the POLICY FORMAT section of the ca man page.

countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[ req ]
# Options for the req tool (man req).

default_bits = 2048
distinguished_name = req_distinguished_name
string_mask = utf8only
# SHA-1 is deprecated, so use SHA-2 instead.

default_md = sha256
# Extension to add when the -x509 option is used.

x509_extensions = v3_ca
# Extension for SANs

req_extensions = v3_req

[ v3_req ]
# Extensions to add to a certificate request

# Before invoke openssl use: export SAN=DNS:value1,DNS:value2

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = ${ENV::SAN}

[ req_distinguished_name ]
# See <https://en.wikipedia.org/wiki/Certificate_signing_request>.

countryName = Country Name (2 letter code)
stateOrProvinceName = State or Province Name
localityName = Locality Name
0.organizationName = Organization Name
organizationalUnitName = Organizational Unit Name
commonName = Common Name
emailAddress = Email Address

# Optionally, specify some defaults.

countryName_default = CO
stateOrProvinceName_default = Coruscant
localityName_default = Ciudad Galactica
0.organizationName_default = Consejo Jedi
organizationalUnitName_default = CJ
emailAddress_default = consejo@templo.jedi.org

[ v3_ca ]
# Extensions for a typical CA (man x509v3_config).

subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, cRLSign, keyCertSign

[ v3_intermediate_ca ]
# Extensions for a typical intermediate CA (man x509v3_config).

subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true, pathlen:0
keyUsage = critical, digitalSignature, cRLSign, keyCertSign

[ usr_cert ]
# Extensions for client certificates (man x509v3_config).

basicConstraints = CA:FALSE
nsCertType = client, email
nsComment = "OpenSSL Generated Client Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer
keyUsage = critical, nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = clientAuth, emailProtection

[ server_cert ]
# Extensions for server certificates (man x509v3_config).

basicConstraints = CA:FALSE
nsCertType = server
nsComment = "OpenSSL Generated Server Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth

[ crl_ext ]
# Extension for CRLs (man x509v3_config).

authorityKeyIdentifier=keyid:always

[ ocsp ]
# Extension for OCSP signing certificates (man ocsp).

basicConstraints = CA:FALSE
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer
keyUsage = critical, digitalSignature
extendedKeyUsage = critical, OCSPSigning
</pre></code>