Un pequeño ordenado caos
Si bien es posible asociar cualquier certificado mediante archivos PFX a los servicios publicado en Microsoft Azure, también es posible comprar el certificado directamente en el portal de gestión. Nos facilitará las tareas de renovación y costes asociados a los servicios, en realidad Microsoft ha optado por integrarse con los servicios de GoDaddy dentro de su plataforma por lo que algunos pasos son parecidos, también es posible realizar integraciones con DigiCert y GlobalSign.
La guerra entre los navegadores más populares a día de hoy (Chrome, Firefox, Edge – El artista anteriormente conocido como Internet Explorer, Opera, Safari, Konqueror… tiene sus precuelas años atrás. Una de ellas tiene nombre propio: Netscape Navigator.
Si lo conoces, seguramente te tocó navegar por las primeras webs con módem analógico y su sonido característico.
Desde 1994, este navegador ya desaparecido, fue mejorando las especificaciones necesarias para implementar «el candadito» del navegador. No fue hasta su versión 3.0 y un par de vulnerabilidades después que haría pública y operativa pero sentó las bases del intercambio seguro de datos entre dos partes.
Leer másSi disponemos de un certificado en entornos Windows y queremos utilizar un certificado en otro tipo de dispositivos, por ejemplo un wilcard (*.midominio.com) podemos desglosar en dos partes utilizando OpenSSL:
openssl pkcs12 -in certificadoCompleto.pfx -nocerts -out llaveSegura.key
De este modo tenemos en un archivo la parte correspondiente a la clave privada de forma encriptada (BEGIN ENCRYPTED PRIVATE KEY). Por otro lado tenemos el certificado firmado:
openssl pkcs12 -in certificadoCompleto.pfx -clcerts -nokeys -out certificado.crt
Si necesitamos las claves sin encriptar (BEGIN RSA PRIVATE KEY), cuidado donde guardar este tipo de ficheros, podemos hacerlo mediante:
openssl rsa -in llaveSegura.key -out llaveNoSegura.key
Con estas 2+1 partes podremos instalar el certificado, por ejemplo en PLESK:
La digitalización en la administración pública no lleva precisamente un ritmo rápido… y tampoco lo ponen fácil a usuarios finales…
Veremos como para dar de alta un proveedor en FACe, o gestionar su renovación, nos solicitan certificado en formato PEM. Por simplificar, tal como en un fichero de texto Word o una hoja de Excel tenemos diferentes formatos y versiones con los que podemos trabajar, con el certificado nos pasa lo mismo.
Leer másEn entornos Windows la encapsulación de certificado en ocasiones suele ser algo complicada en algunos contextos. En este en concreto, plantemos unir un certificado CER/CRT (es lo mismo) recibido con la clave pública con otro archivo con las claves privadas en un único archivo PFX
En ocasiones se utilizan diferentes extensiones para los certificados, lo primero es identificar cada fichero, podemos abrirlos con bloc de notas y reconocer las cabeceras:
Certificado público (micertificado.cer):
-----BEGIN CERTIFICATE----- MIIFszCCBJugAwIBAgIQCn/RxfJgDNYmoD7jyCSfGjANBgkqhkiG9w0BAQsFADBe ...BLOQUE DE TEXTO... KPYJupIYuFSDoL/C77KF9zntk1gft5o= -----END CERTIFICATE-----
Clave privada asociada (clave.key):
-----BEGIN RSA PRIVATE KEY----- MIIEpQIBAAKCAQEAzHvXgg7VbCHXDSihNDx3q5GrNhDhnw2IAU/z259t6wi+gTjv ..BLOQUE DE TEXTO... PEMYrxRR46jUuQqNpqYqYk5Trg6dtjKf6/82caESpr1vYG0uErwXTow= -----END RSA PRIVATE KEY-----
Necesitaremos varias herramientas:
A partir de nuestro archivo de claves privadas (clave.key) generaremos un archivo PVK ejecutando (C:\Program Files (x86)\Windows Kits\10\bin\x64\):
PVK.exe -in clave.key -topvk -out misclaves.pvk -strong
Nos pedirá que introduzcamos una contraseña. Con los dos ficheros misclaves.pvk + micertificado.cer ejecturemos contra la herramienta del SDK asegurando las rutas de acceso:
pvk2pfx.exe /pvk misclaves.pvk /spc micertificado.cer /pfx MiCertificadoCompleto.pfx
Ya tendremos unificado en un fichero toda la información.
Manual Pvk2Pfx