Este documento presenta una introducción a la infraestructura de clave pública (PKI) y proporciona instrucciones para la creación y administración de una autoridad de certificación (AC) raíz y subordinada utilizando OpenSSL. Explica conceptos clave como cifrado simétrico y asimétrico, pares de llaves públicas y privadas, y el ciclo de vida de los certificados. También cubre temas como la generación y verificación de listas de revocación de certificados (CRL), el protocolo de estado de cert

1. La Seguridad de la Información comienza por TI...
Taller – Infraestructura de
Clave
Pública 1
Axel Díaz – adiaz@suscerte.gob.ve
Especialista – Servicios de Certificación Electrónica y Criptografía

2. Agenda
 PKI
 Cifrado simétrico y asimétrico
 Par de llaves
 Aponwao (cómo firmar electrónicamente)
 RSA
 Ciclo de vida de un certificado
 Métodos de verificación
 CRL
 OCSP
 CRL
 Base de datos
 LDAP
 OpenSSL
 Creación y administración de una AC
 Archivo de configuración de OpenSSL
 Generación de CRL
 Comandos básicos para lectura y
conversión de extensiones
 Certificados
 CRL
 OCSP

3. Secretos en la humanidad
 Secretos
 Claves bancarias
 Claves en redes sociales
 Claves de los correos electrónicos
 Fotos
 Conversaciones
 Archivos informáticos

4. ¿Cómo compartir tus secretos?
¡Contándoselo al oído!

5. ¿Secretos a distancia?
 Hablar en clave...¿? Es(pe)to(po) es(pe) un(pu)
se(pe)cre(pe)to(po)
 ¿Mensajeros?
 Códigos secretos...

6. Cifrado simétrico
Metemos el documento en la caja fuerte, le enviamos a la otra persona
la caja junto con la contraseña
Supongamos un documento que queremos enviar de forma segura.
¿Por qué no la metemos en una caja fuerte?

7. Cifrado asimétrico
Abrir
Personal
Todo candado hace dos funciones: Abrir y Cerrar. Todos pueden cerrar
el candado, pero sólo el dueño de la llave puede abrirlo.
Cerrar

8. Cifrado asimétrico
¿Cómo le enviamos la clave secreta a un amigo entonces?
 Le pedimos a nuestro amigo que nos
envíe su candado abierto
 Metemos el mensaje en una caja
 Cerramos la caja con el candado de
nuestro amigo
 Enviamos la caja cerrada por el
candado
 Nuestro amigo con su llave abre la
caja y saca el mensaje

9. Cifrado asimétrico
¡Números primos!
3 x 11 = 33
Número primo 1 x Número primo 2 Resultado
Clave privada Clave pública
¿N1 x N2? = 4,951760155×10²⁷
¿1,650586718×10²⁷ y 3?
¿4,951760155×10²⁷ y 1?
¿2305843009213693951 y 2147483647?

10. RSA – Rivest, Shamir y Adleman
 Método de cifrado más utilizado
 Posibilidad de cifrar y firmar
 Generación de par de llaves de forma rápida, sencilla pero muy robusta.

11. Par de llaves
Suponga la existencia de un candado especial que usa dos llaves,
una para abrirlo y otra para cerrarlo.
La Llave Privada debe mantenerse en secreto, mientras que la
llave Pública puede ser distribuida.
Llave pública
Llave privada
Internet
Personal

12. RSA – Práctico
 Instalación
# aptitude install ssh
 Generación de par de llaves
$ ssh-keygen
 Ubicación del par de llaves:
$ /home/USUARIO/.ssh/id_rsa
$ /home/USUARIO/.ssh/id_rsa.pub

13. RSA – Práctico
Llave privada Llave pública
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,BB0BA5DB68F73BE4403BC9EDF3B6BFE7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-----END RSA PRIVATE KEY-----
ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQDvZryrAupQDroUBkh29Q+17DBrYjqv0su
0k8vewGt15DjVjlYowQSzr9RScX85P3jFCptvhw9zFCoe0Y3rUTv3et4qYZ9YyiMNXO
iRH8U7IS3sW/95PHZs5HSrD/4V0kvU708YugbdrlzcHnaC/GAsHNVuJUFaw7KL9FTr
Qm/7uudjNMRnZZSMOwXwSVwaN1LlONnNJfvxUNmaj5DsEprPruWHdsiRyWYIZG
eLFS/e3iY0KXa2stvEcdFBaEr504x8mqN0Q+0KIEcA8svgByPceNvF9Qa5GSfqX7k/3i
GOuaooFq1+JDqfDvQrjUiV2JHY6ph7Rr95Rm/OotOKCTYD adiaz@dscec

14. Ciclo de vida de un certificado
Autoridad de Registro (AR)
de PSC
Llave privada
Signatario
Llave pública
Autoridad de
Certificación (AC)
de PSC
Certificado
Electrónico

15. Métodos de verificación
 CRL (Certificate
Revoqued List)
 OCSP (Online
Certificate Status
Protocol)
 CRL
 Base de Datos
 LDAP

16. OpenSSL – Creación y administración de
una AC
 Todo comando inicia con “openssl”
 Luego se debe indicar el tipo de objeto que se quiere tratar: x509
(certificados), crl (listas de revocación), rsa (llaves rsa), ocsp
(ocsp)
 De aquí en adelante vienen los parámetros propios de cada tipo
de objeto, pero casi todos tienen en común: -text, -in, -out,
-noout, -inform, -outform

17. OpenSSL – Creación de la AC Raíz
 Crear directorio para nuestra PKI:
# mkdir PKI
# cd PKI/
 Preparar directorios y archivos necesarios
# mkdir root_ca
# cp /etc/ssl/openssl.cnf root_ca
 Se edita el archivo openssl.cnf en las siguientes líneas:
(Se comenta la línea RANDFILE)
#RANDFILE = $ENV::HOME/.rnd
(Se modifica la línea del dir)
dir = . # Where everything is kept

18. OpenSSL – Creación de la AC Raíz
 Se crean los directorios que almacenarán los datos para la creación del certificado raíz:
# mkdir certs
# mkdir crl
# mkdir newcerts
# mkdir private
# touch serial
# echo 0100 > serial
# touch index.txt
# touch crlnumber
# echo 0100 > crlnumber

19. OpenSSL – Creación de la AC Raíz
 Se genera un número aleatorio de 1024 bits de longitud:
# openssl rand -out ./private/.rand 1024
 Se genera el par de llaves con una contraseña ingresada por
nosotros:
# openssl genrsa -out ./private/cakey.pem -des3 -rand
./private/.rand 2048
 Se crea el certificado autofirmado:
# openssl req -x509 -new -key ./private/cakey.pem -out
cacert.pem -config openssl.cnf

20. OpenSSL – Creación de la AC
Subordinada
 Vamos al directorio raíz y preparamos los archivos de
configuración y directorio de la AC Subordinada:
# cd ../
# mkdir sub_ca
# cp root_ca/openssl.cnf sub_ca/

21. OpenSSL – Creación de la AC
Subordinada
 Se crean los directorios que almacenarán los datos para la creación del certificado raíz:
# mkdir certs
# mkdir crl
# mkdir newcerts
# mkdir private
# touch serial
# echo 0100 > serial
# touch index.txt
# touch crlnumber
# echo 0100 > crlnumber

22. OpenSSL – Creación de la AC
Subordinada
 Se genera un número aleatorio de 1024 bits de longitud:
# openssl rand -out ./private/.rand 1024
 Se genera el par de llaves con una contraseña ingresada por
nosotros:
# openssl genrsa -out ./private/cakey.pem -des3 -rand
./private/.rand 2048
 Creamos una petición de certificado:
# openssl req -new -key ./private/cakey.pem -out subcareq.pem
-config openssl.cnf

23. OpenSSL – Creación de la AC
Subordinada
 Firmamos la petición con el certificado de la AC Raíz:
# cd ../root_ca/
# openssl ca -in ../sub_ca/subcareq.pem -extensions v3_ca
-config openssl.cnf
 Nos copiamos el certificado generado por la AC Raíz hacia el
directorio de la AC Subordinada:
# cd ../subca/
# cp ../root_ca/newcerts/0100.pem cacert.pem

24. OpenSSL - Generación de LCR
 Se genera una nueva LCR a partir del archivo de configuración
openssl.cnf
# openssl ca -gencrl -config openssl.cnf -out lcr.pem

25. OpenSSL – Leer y convertir certificados y
lista de certificados revocados
 openssl x509 -text -noout -in [certificado.pem]
 openssl x509 -inform [DER/PEM] -outform [PEM/DER] -in
[certificado.der/pem]

26. Aponwao
 Aplicación para firma y validación de documentos PDF
 Certificados de la cadena de confianza en Venezuela
 Firmas en lotes y de documentos duplicados
 Envío de documentos firmados a email o medio extraíble
 Personalización de ubicación de imagen de firma
 Múltiples perfiles de firma