Este artículo presenta un resumen de las tareas de administración más habituales/frecuentes al trabajar con certificados y OpenSSL.

Crear una solicitud de firma de certificado X.509

Es decir, crear el archivo .csr (Certificate Signing Request), el cual incluye el certificado y clave pública que se desea firmar.

openssl req -config openssl.my.cnf -new -nodes -keyout private/linuxito.key -out linuxito.csr -days 547

openssl.my.cnf es el archivo de configuración de OpenSSL y linuxito.key indica el nombre de archivo correspondiente con la clave privada que se va a generar.

Desencriptar la clave privada (eliminar/remover passphrase)

openssl rsa -in private/linuxito.key.org -out private/linuxito.key

linuxito.key.org es la clave privada protegida con contraseña (passphrase), linuxito.key es la clave plana. Esto es necesario cuando el certificado es utilizado por un servicio (por ejemplo Apache). Si se utiliza una clave privada encriptada es necesario ingresar la contraseña cada vez que inicia el servicio.

Firmar un certificado

Utilizando nuestra autoridad certificante (CA), firmar la solicitud y expedir el certificado ejecutando:

openssl ca -config openssl.my.cnf -out certs/linuxito.crt -infiles linuxito.csr

linuxito.crt es el certificado generado.

Verificar un certificado X.509

Verificar la cadena de certificación de un certificado (no su validez). Se utiliza generalmente para comprobar que no falte ningún certificado intermedio en la cadena.

openssl verify -purpose sslserver -CAfile certs/ca.crt certs/linuxito.crt 

ca.crt es el certificado de nuestra CA.

Obtener información de un certificado X.509

openssl x509 -subject -issuer -enddate -noout -in certs/linuxito.crt

Las opciones -subject, -issuer y -enddate se utilizan para mostrar los datos del certificado, la autoridad certificante que lo firma, y su validez (fecha de expiración). La opción -noout indica que no se vuelque la versión codificada del certificado.

Comprobar la validez de un certificado X.509

Si sólo se desea determinar si un certificado X.509 es aún válido, simplemente ejecutar:

openssl x509 -enddate -noout -in certs/linuxito.crt

Exportar un certificado X.509 en formato PKCS#12

Algunos servicios, notablemente en sistemas operativos de la familia Windows, requieren que el certificado, junto con su clave privada, estén almacenados en un archivo de formato PKCS#12. Para convertir un certificado X.509 junto con su clave privada en un archivo PKCS#12, simplemente ejecutar:

openssl pkcs12 -export -out certs/linuxito.p12 -in certs/linuxito.crt -inkey private/linuxito.key

linuxito.p12 es el archivo PKCS#12 de salida. Durante la conversión es necesario especificar una contraseña de exportación.

Obtener información de un certificado PKCS#12

openssl pkcs12 -info -in private/linuxito.p12 

Requiere ingresar la contraseña de exportación.

Actualizar la base de datos de la CA

Si se requiere actualizar la base de datos de la autoridad certificante para detectar certificados expirados, ejecutar:

openssl ca -config openssl.my.cnf -updatedb

Permitir sujetos duplicados

La configuración por defecto de la CA no permite sujetos (subject) replicados (mismo Common Name). Para modificar este comportamiento se debe modificar el valor de la variable unique_subject en la configuración del índice (archivo index.txt.attr):

unique_subject = no

Más información

Para más información acerca de OpenSSL y todos sus componentes, consultar la ayuda y sus páginas de manual:

openssl req --help
openssl rsa --help
openssl ca --help
openssl x509 --help
openssl pkcs12 --help
man openssl
man req
man rsa
man ca
man x509
man pkcs12
man verify