Apêndice C. Gerando um certificado SSL auto-assinado

Apêndice C. Gerando um certificado SSL auto-assinado
Anterior		Próxima

Certificados SSL são necessários para que um determinado serviço opere com suporte a conexão segura por meio de criptografia.

Uma maneira de se obter o certificado, é através de uma Autoridade Certificadora (Certificate Authority ou CA). Outra maneira, é gerando ele por conta própria através de ferramentas adeqüadas.

Um certificado gerado através de ferramentas pode ser de dois tipos: auto-assinado (self-signed) ou assinado por uma CA. No caso de ser assinado por uma CA, você terá que gerar dois certificados: um para a sua própria CA, e o outro para o servidor, sendo que esse último será assinado pela CA que você criou. A maneira mais direta é gerar um certificado auto-assinado, pois nesse caso, não será necessário um certificado separado apenas para a CA.

Quando utilizamos conexão segura, os clientes precisam apenas dos certificados das CA's em quem eles confiam. Por isso que manter certificados auto-assinados pode tornar-se mais difícil. Para que o cliente se conecte a um serviço que usa certificado auto-assinado, precisará de uma cópia do próprio certificado do servidor já que não existe um certificado separado apenas para a CA que o emitiu. Ou seja, para cada serviço existirá um certificado que deverá ser instalado em cada cliente, enquanto que poderíamos instalar apenas um certificado em cada cliente: o da CA responsável pela emissão de todos os certificados da rede.

Repare que cada certificado aponta para uma CA, formando uma cadeia de confiança. A raiz dessa cadeia, que geralmente é uma CA de maior confiança, sempre vai possuir um certificado auto-assinado. Ou seja, certificados auto-assinados funcionam como se fossem a raiz da cadeia de confiança.

Vamos explicar abaixo o processo de criação de um certificado auto-assinado. Se você estiver pensando em disponibilizar suporte SSL/TLS a outros serviços de sua rede, talvez a melhor opção seja utilizar certificados assinado por uma CA. Nesse caso, consulte o site Certificate Management and Generation with OpenSSL para maiores informações sobre como criar uma CA para sua rede e assinar os seus próprios certificados, ou o site da CAcert, que é uma organização que fornece certificados digitais assinados gratuitamente. Também existem várias empresas que vendem este serviço.

Para criar um certificado digital, é necessário que o pacote OpenSSL esteja instalado no servidor. Execute os seguintes comandos na distriuição Ubuntu para realizar essa instalação:

Atualize as listas dos repositórios

usuario@servidor:~$ sudo aptitude update

Instale o pacote OpenSSL

usuario@servidor:~$ sudo aptitude install openssl

Tendo o pacote OpenSSL instalado, execute o script CA com o parâmetro newreq para criar os arquivos do certificado auto-assinado e de sua respectiva chave privada:

usuario@servidor:~$ /usr/lib/ssl/misc/CA.sh -newreq
Generating a 1024 bit RSA private key
...........++++++
..++++++
writing new private key to 'newkey.pem'
Enter PEM pass phrase:secret
Verifying - Enter PEM pass phrase:secret
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:BR
State or Province Name (full name) [Some-State]:Sao Paulo
Locality Name (eg, city) []:Sao Paulo
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Universidade de 
Sao Paulo
Organizational Unit Name (eg, section) []:Instituto de Matematica e Estatis
tica 
Common Name (eg, YOUR name) []:servidor.ime.usp.br
Email Address []:.

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:.
An optional company name []:.
Request is in newreq.pem, private key is in newkey.pem

Não é necessário preencher os três últimos campos, por isso colocamos um ponto ('.') em cada um deles. Você pode preenchê-los se achar conveniente. É importante que o campo Common Name seja preenchido com o endereço correto do servidor (nome e domínio).

Teremos como resultado da execução do script CA dois arquivos: newreq.pem, que contém o certificado auto-assinado do servidor; e newkey.pem, que contém a chave privada do certificado protegida por uma senha. Esses dois arquivos estão listados abaixo:

Exemplo C.1. Arquivo do certificado SSL auto-assinado (newreq.pem)

Exemplo C.2. Arquivo da chave privada com senha (newkey.pem)

Se o certificado auto-assinado que foi criado for usado para proteger um serviço de rede, talvez seja necessário remover a senha de acesso à chave privada. Se a chave privada for mantida com a senha, toda vez que o serviço que a utilizar for inicializado, a senha terá que ser digitada pelo administrador. Para remover a senha de acesso à chave privada execute o seguinte comando:

usuario@servidor:~$ openssl rsa -in newkey.pem -out openkey.pem
Enter pass phrase for newkey.pem:secret
writing RSA key

Esse comando vai abrir o arquivo da chave privada, para isso ele pedirá a mesma senha que você digitou no início da geração do certificado. Ele criará então um novo arquivo, contendo a mesma chave privada, porém sem senha de acesso, que será guardado no openkey.pem ou outro arquivo especificado na linha de comando. A seguir temos um exemplo desse arquivo:

Exemplo C.3. Arquivo da chave privada sem senha (openkey.pem)

Repare a ausência do cabeçalho em relação ao anterior. Não se esqueça de restringir o acesso a esse arquivo agora, já que a chave do certificado não está mais protegida.

Anterior		Próxima
Definição do LDIF	Principal	Apêndice D. Operações do LDAP