La configuración del entorno lab va avanzando poco a poco y es el momento de empezar a pensar en la seguridad. El despliegue de servidores web va a requerir de certificados X.509 y, por supuesto, no voy a comprar ninguno. Así que, para atender el suministro de los distintos certificados, me voy a montar una CA, basada en OpenSSL, en el entorno lab. En concreto, en el servidor de administración que tengo desplegado.
El primer paso es crear el certificado raíz de la CA. Este certificado no lo voy a usar para firmar certificados sino para emitir certificados intermedios que sí emplearé para firmar.
1. Creación de la Estructura de Directorios
Para empezar voy a crear un árbol de directorios para manejar los ficheros de la CA. Este árbol de directorios va a estar basado en /root/ca:
2. Fichero de configuración de OpenSSL (openssl.conf)
A continuación voy a preparar el fichero de configuración para OpenSSL (/root/ca/openssl.conf). Las secciones y parámetros del fichero están descritos en la página de manual del comando ca (man ca). A continuación voy a ir haciendo una disección de las distintas partes del fichero:
-
La primera sección (ca) es obligatoria y, en este caso, la configuración instruye a OpenSSL a que tome los parámetros de configuración de la sección CA_default.
-
La siguiente sección (CA_default) define parámetros por defecto para la CA (directorios, nombres de ficheros, etc.). El directorio raíz para la CA es el que creamos al principio del proceso.
-
La siguiente sección (policy_strict) contiene las reglas que vamos a aplicar a la CA raíz. El certificado de la CA raíz sólo se va a usar para firmar certificados de CA’s intermedias.
-
Vamos a aplicar la política policy_loose para firmar certificados de cliente y servidor que pueden tener distintas procedencias:
-
La siguiente sección (req) contiene parámetros que se aplican en la creación de certificados o solicitudes de firma de certificados (CSRs).
-
La sección req_distinguished_name declara la información necesaria que deben incluir las solicitudes de firma de certificados. En esta sección se declaran, también, valores por defecto para esos parámetros.
-
La siguiente sección v3_ca contiene las extensiones que se van a aplicar en la generación del certificado de la CA raíz.
-
La sección v3_ca_intermediate contiene las extensiones a aplicar en la creación de los certificados de CA intermedias.
-
Las siguientes secciones, user_certs y server_certs, definen, respectivamente, las extensiones para la creación de certificados de autenticación de usuarios y servidores:
-
La extensión crl_ext se aplica en la creación de listas de revocación de certificados:
-
Finalmente, la extensión ocsp se emplea en la firma del certificado para el protocolo online de estado de certificados (OCSP):
3. Creación de la clave raíz (ca.key.pem)
El siguiente paso es crear la clave raíz y mantenerla bajo la más estricta seguridad. Voy a usar una clave de 4096 bits para el certificado raíz y los certificados de CA intermedia.
4. Creación del certificado raíz (ca.cert.pem)
Voy a usar la clave raíz generada en el paso anterior para crear el certificado raíz.
Verificamos el certificado generado:
5. Creación del par intermedio
Voy a crear, a continuación, un par intermedio (clave privada, certificado) para una CA intermedia. De este modo se protege la CA raíz ya que no se usa su clave para firmar certificados sino la clave de la CA intermedia. En caso de que la CA intermedia fuese comprometida, se revocarían todos los certificados firmados y se procedería a generar una nueva CA intermedia. El proceso es muy similar al realizado para la generación del par raíz (creación de estructura de directorios, creación de clave y creación de certificados) así que no voy a entrar en detalles excesivos.
Copiamos el fichero de configuración openssl.cnf del directorio padre al directorio actual y lo editamos modificando los cinco parámetros que aparecen marcados a continuación:
A continuación creamos la clave y el CSR para la CA intermedia:
y firmamos el CSR con la clave raíz de la CA …
Verificamos la cadena de confianza del certificado de la CA intermedia y creamos la cadena de certificados que permita validar los certificados emitidos por la CA intermedia:
En este punto, ya estamos listos para firmar certificados de servidor y de clientes.
El Ñapas 