Professional Documents
Culture Documents
Herramientas a utilizar:
Win32OpenSSL-v0.9.8a.
Appserv-win32-2.4.5.
Apache_1.3.34-Mod_SSL_2.8.25-Openssl_0.9.8a.
Internet Explorer.
Windows XP service pack 2.
OpenSSL
• DESARROLLO
La primera operación que vamos a realizar es la instalación del programa APPSERV-
WIN32-2.4.5 el cual utilizaremos para poder trabajar con el servidor Apache el local y
Mysql, tras lo cual pasaremos a la instalación del programa OpenSSL para Windows. El
software OpenSSL es un proyecto de software desarrollado por lo miembros de la
comunidad Open Source. Es un robusto juego de herramientas que le ayudan a su
sistema a implementar el Secure Sockets Layer (SSL), así como otros protocolos
relacionados con la seguridad, tales como el Transport Layer Security (TLS). También
incluye una librería de criptografía.
Una vez que tenemos instaladas todas las herramientas necesarias pasaremos a crear en
primer lugar nuestra autoridad certificadora para que pueda expedir certificados digitales a
nuestros clientes:
openssl req -x509 -newkey rsa:2048 -keyout cakey.pem -days 3650 -out cacert.pem
Antes de hacer un certificado, hay que hacer una petición donde se define el propietario
del certificado:
openssl req -new -subj "/DC=root.com/OU=com/CN=root" -key
Hay que decirle a Apache que tiene que cargar el modulo correspondiente al paquete SSL
y para ello lo hacemos añadiendo la siguiente instrucción en el apartado de carga de
módulos:
LoadModule ssl_module modules/mod_ssl.so
Además también tenemos que decirle que lo añada a la lista de módulos que también
disponemos:
AddModule mod_ssl.c
Una vez hecho esto solamente nos queda declarar nuestro servidor virtual en el fichero de
configuración con las directivas correspondientes para ello añadimos al final del fichero el
siguiente fragmento de código:
NameVirtualHost *:443
ServerAdmin root@localhost
SSLEngine on
SSLCertificateFile ssl\servidor-cert.pem
SSLCertificateKeyFile ssl\serv-priv.pem
Reiniciamos el servidor y a partir de ahora ya tenemos nuestro servidor listo para pedir
certificados clientes.
Y ahora finalmente ya podemos emitir el certificado, para ello debemos editar el archivo de
configuración openssl.cnf, pero nosotros lo haremos con un archivo externo al que
llamaremos config2.txt y al cual le pondremos las siguientes lineas:
basicConstraints = critical,CA:FALSE
extendedKeyUsage = clientAuth
Y hacemos por fin el certificado cliente para enviárselo a nuestros compañeros para que
puedan entrar a nuestro sitio https:
openssl x509 -CA cacert.pem -CAkey cakey.pem -req -in petic-cert-client.pem
-set_serial 3 -days 15 -extfile config2.txt -sha1 -out client-cert.pem
Veamos que estamos haciendo, le indicamos que será un certificado del tipo x509 cuya
CA (-CA) está definida en el fichero cacert.pem y que usa como clave privada (-CAkey) el
fichero cakey.pem y que el certificado a generar tendrán las especificaciones definidas en
el apartado anterior (-req -in) las cuales están en el fichero de petición petic-cert-
client.pem.
El certificado tendrá una validez de quince dias (-days 15), le indicamos que el certificado
es para un cliente, y como esto lo tenemos en nuestro fichero de configuración se lo
indicamos poniendo -extfile y nuestro fichero config2.txt y utilizaremos un algoritmo de
cifrado SHA (-sha1).
También le decimos que nuestro certificado tendrá el numero 3; es importante decir que
este numero se debería cambiar para realizar distintos certificados cliente, ya que a la
hora de revocarlos openssl lo hace por el numero de certificado.
Ahora hay que configurar Apache para que nuestro servidor pida certificados cliente, para
ello vamos al archivo de configuración httpd.conf y en la declaración de nuestro host
virtual añadimos las siguientes 2 lineas:
SSLCACertificateFile ssl\cacert.pem
SSLVerifyClient require
Reiniciamos el servidor y ya esta listo para solicitar certificados a cada persona que entre.
Por ultimo tenemos que crear los certificados que cada cliente deberá añadir al
navegador. Para ello necesitamos crear con nuestro certificado un fichero comprimido en
formato pkcs12 que el navegador entiende:
openssl pkcs12 -export -in client-cert.pem -inkey client-priv.pem -certfile cacert.pem
out cert-pck12.p12
Esto nos genera el archivo de salida cert-pck12.p12 a partir de nuestro certificado cliente
client-cer.pem que tiene como clave privada client-priv.pem y cuya entidad certificadora
esta definida en cacert.pem. El nombre cert-pck12.p12 podemos cambiarlo a nuestro
gusto para crear certificados personalizados para cada cliente.
Este archivo .p12 es el que cada cliente debe añadir a su navegador para poder ver
nuestra página web vía https.
Revocación de Certificados
Un aspecto importante para poder hacer nuestra CA segura es poder revocar certificados,
para asegurarnos de que la perdida de un certificado no supone entradas no autorizadas a
clientes que no les hemos dado el certificado correspondiente.
Lo primero que debemos hacer es crear una lista de revocación en la cual se reflejaran
todos aquellos certificados que han sido revocados y por lo tanto son inválidos y no
utilizables por los clientes. Para poder hacerla bien, debemos tener en el directorio
OpennSSL/bin un archivo de texto llamado index.txt el cual tendrá todas las entradas de
certificados revocados (base de datos de certificados revocados).
También tenemos que tener bien configurado el archivo openssl.cnf para que coja las
rutas adecuadamente, para ello nos aseguraremos que las siguientes entradas están bien
puestas en dicho archivo:
[ CA_default ]
dir= c:/openssl/bin # Directorio donde esta OpenSSl
certs= $dir/certs # El directorio de certificados (da lo mismo)
#crl_dir= $dir/crl #La dejamos comentada. CRL en raíz
database= $dir/index.txt #Donde tengamos nuestro fichero index.txt
#unique_subject= no #Lo dejamos en ‘no’ para poder crear certificados con el mismo
subject
new_certs_dir = $dir/newcerts # Directorio de nuevos certificados (tampoco es importante)
certificate= $dir/cacert.pem #Ruta del certificado de nuestra CA
serial= $dir/serial #El actual numero de serie para los certificados
#crlnumber= $dir/crlnumber #El numero actual de la lista de revocación. Debe estar
comentado
#crl= $dir/crl.pem #La actual lista de revocación
Una vez tenemos este archivo bien configurado pasamos a crear nuestra lista de
revocación o CRL de la siguiente manera:
openssl ca -gencrl -out listarev.crl
Con esto le estamos diciendo que revoque el archivo client-cert.pem que habíamos creado
anteriormente. OpenSSL añadirá dicha entrada a la base de datos hasta que actualicemos
nuestra lista de revocación que deberemos hacerla con el mismo comando utilizado para
crearla:
openssl ca -gencrl -out listarev.crl
openssl ca -gencrl -out listarev.pem
Para publicar la lista de revocación CRL en nuestro servidor para que se entere de los
certificados que han sido revocados, deberemos copiar los 2 archivos de la lista de
rovocación listarev.crl y listarev.pem en el directorio /apache/ssl y configurar el archivo
htttp.conf para indicarle donde tenemos la lista de revocación almacenada. El paso de
copiar las listas al direcorio de apache/ssl se puede evitar poniendo la correspondiente
ruta en el archivo de configuracion hhtpd.conf, para ello añadimos a la entrada de nuestro
virtuahost lo siguiente:
SSLCARevocationFile ssl\listarev.pem
Reiniciamos nuestro servidor Apache con la nueva configuración y ya lo tenemos todo listo
para pedir certificados y revocar aquellos que nos interesa por diferentes causas.