Question

Hola a todos!

Tengo algunas dudas sobre certificados SSL/TLS. Encontre en Internet comandos para crear un certificado autofirmado y su clave privada. Al ingresar los comandos obtengo los siguientes archivos: clave-privada.key (es la clave privada que utiliza el servidor, la clave publica supongo que la genera Apache por ejemplo), dominio-web.csr (es necesario para crear el certificado), dominio-web.crt (es el certificado) y dominio-web.pem (contiene el certificado y la clave privada junto en un solo archivo)

Los comandos mencionados son:

1 - Creo una clave privada con una longitud de bits de 2048. Yo creo que 4096 es exageradamente seguro. ¿Debería elegir 4096?

openssl genrsa -out clave-privada.key 2048

2 - Creo una "Solicitud de Firma de Certificado" (CSR). Segun los tutoriales en Internet es necesario para crear el certificado. Utilizo sha256 en vez de sha1, pues no esta demás. Ademas en el ultimo parametro indico el dominio web para el que va a ser válido, este puede ser cualquiera. Si no agrego este parametro me hace un monton de preguntas como por ejemplo, nombre de la organización y demas preguntas. ¿Esto lo hace inseguro? ¿Es seguro contra ataques Man-In-The-Middle o cualquier otro tipo de ataque?

openssl req -new -sha256 -key clave-privada.key -out dominio-web.csr -subj '/CN=dominio-web'

3 - Creo el certificado. Utilizo sha256 en vez de sha1, pues no esta demás. A este le doy una validez de 3650 días que equivale a 10 años. El sitio web no es accesible al publico, pues va a ser una aplicación web para un negocio con varias sucursales. Por defecto la validez es de un año y yo creo que estar renovando el certificado todos los años es innecesario dada la seguridad de SSL/TLS. ¿Es esto seguro?

openssl x509 -req -sha256 -days 3650 -in dominio-web.csr -signkey clave-privada.key -out dominio-web.crt

4 - Creo el archivo en formato PEM. Creo que Apache soporta este formato.

cat dominio-web.crt clave-privada.key > dominio-web.pem

Saludos cordiales!

Answer 1

Hola @pedrourday,

Intento responder a tus preguntas:

Lo que hace seguro a la transmisión usando un certificado SSL es el tamaño de la clave: 2048 es más seguro que 1024 pero muchísimo menos que 4196.

Hacer que el certificado sirva para varios dominios en vez de para uno solo no lo hace ni más ni menos seguro: lo hace usable por otros nombres de dominio.

Si te roban el certificado y es para varios dominios, te lo puede usar otro (?), pero también alguien puede hacerse pasar por el único dominio para el que está habilitado si te lo roba.

La seguridad contra ataques M-i-M no depende (casi) del certificado, sino de la red entre el cliente y el atacante. Por ejemplo si atacan mi red y cuando voy a unbanco.com.ar estoy siendo llevado a la máquina del atacante, si esa página fake tiene un certificado digital es raro que el usuario se ponga a ver quién lo emitió, etc... pero si usás un certificado autofirmado, el atacante podría poner los mismos datos que vos y firmar su propio certificado.

Lo que te garantiza un certificado es que las conexiones vayan cifradas, así que alguien sniffando la red no puede ver lo que se envía ni lo que devuelve el servidor.

No te previene contra "cualquier tipo de ataque"... es un universo enorme. No te salva de virus en la PC cliente, ni de estar filamdo el teclado para robarte contraseñas, etc.

Por último, lamentablemente da muchas más señales de alarma en un navegador moderno un certificado autofirmado que un sitio HTTP sin la S. Hay un gran negocio atrás de esto por la venta de certificados, ya que cualquiera sin ninguna validación de identidad puede comprar un certificado para cualquier nombre de dominio... y los navegadores mostrarán alegremente el candadito verde. Hay vendedores de certificados que los dan solo si validan la identidad del titular del sitio: cuestan alrededor de u$s2000.00 anuales.

Para las cosas personales, los certificados autofirmados están buenos porque te dan cifrado entre extremos gratis... y vos deberías saber reconocer el certificado que firmaste del de un impostor.

Saludos!

Answer 2

Hola Pedro, quí ejemplo SSL hay un ejemplo bastante claro de como generar certificados autofirmados y su utilización en una aplicación cliente servidor Mariadb - Java.

Saludos.