Preguntas sobre CAs y solicitudes de certificados

0

Revisé la lista de los diferentes sitios de StackExchange, y este me pareció el mejor lugar para hacer esta pregunta, aunque si hay un lugar mejor, ¡por favor avíseme!

Recientemente pasé por el proceso de obtener un certificado SSL / TLS para un nuevo servidor de correo electrónico. Este fue un proceso bastante suave, y entiendo los fundamentos detrás de todo.

También me interesa obtener un certificado de correo electrónico, es decir, un certificado que un programa como Thunderbird puede usar para cifrar y descifrar correos electrónicos. También tengo claves PGP, y sí, puedo usar un complemento para cifrar el texto y luego enviarlo por correo electrónico, pero esto es parcialmente para aprender y parcialmente para opciones.

Al utilizar Kleopatra, puedo crear un archivo de solicitud de certificado (.p10). Sin embargo, parece que no puedo encontrar una única CA que mencione estos archivos en su sitio web. El que recomienda Kleopatra / GPG en su sitio web es cacert.org, que en realidad parece una gran opción, excepto que no puedo hacer que genere un certificado. ¡Sigue diciendo que no pudo encontrar una solicitud de certificado válida! Sin embargo, el asistente ni siquiera lo mencionó ni lo solicitó.

¿Alguien aquí ha creado con éxito un certificado para firmar / cifrar correos electrónicos? Intenté usar uno de los otros servicios gratuitos, como Comodo, pero como no tengo la clave privada que se usó para crear la solicitud de certificado, Thunderbird no la aceptará. De ahí va la ruta de Kleopatra. Hay un tutorial en el sitio web de cacert que usa una utilidad llamada XCA, sin embargo, no pude importar mis claves existentes en él porque no aceptará las claves de armadura ascii, y las otras opciones de exportación de GPG4Win no son opciones de importación aceptables XCA. Realmente no quiero crear una clave completamente nueva solo para crear un certificado de correo electrónico, especialmente si no puedo mantener esa clave en mi llavero existente.

¡Cualquier pensamiento, ayuda o consejo es extremadamente apreciado!

    
pregunta Aurelius 19.08.2016 - 16:55
fuente

1 respuesta

1

Usted debe generar la clave privada y el CSR derivado usted mismo. Esto es por diseño para evitar que la CA conozca su clave privada (podrían generar todo ellos mismos y darle un .p12 fácil de usar, pero eso comprometería la no repudio).

Usando OpenSSL, puedes generar una clave privada como esta:

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -aes-256-cbc -out mykey.key

Esto cifraría la clave. Deberá ingresar su contraseña cada vez que un programa acceda a ella.

Para generar el CSR desde la clave, haga lo siguiente:

openssl req -new -out mycsr.csr -key mykey.key

Envíelo a su CA, y debería obtener un certificado de vuelta.

Si no desea cifrar la clave privada, puede omitir el argumento -aes-256-cbc del primer comando o usar este comando todo en uno para generar una clave y un CSR en al mismo tiempo:

openssl req -new -out mycsr.csr -keyout mykey.key
    
respondido por el André Borie 19.08.2016 - 17:06
fuente

Lea otras preguntas en las etiquetas