Haré una breve introducción del porque es una gran iniciativa que realmente está orientando el control de internet hacia nosotros, los usuarios, ya que la privacidad ahora está de nuestra parte.
INTRODUCCIÓN:
HTTPS se basa en la utilización de PKI + SSL/TLS. A través de estos estándares podemos garantizar la integridad, confiabilidad y la autenticidad de la conexión pertinente, gracias a la criptografía de clave pública y a los . No os quiero aburrir con tecnicismos, pueden pedirme si quieren un tutorial extendido sobre criptografía asimétrica, TLS, PKI y certificados.
Cuando uno se conecta a una Web mediante HTTPS se realiza una negociación de claves para establecer una conexión segura, uno de los pasos de esta negociación tiene que ver con el certificado. Éste sólo es válido si ha sido firmado por una entidad certificadora (CA), y estas entidades obviamente cobran por certificado emitido, y sí, son cantidad muchas veces desorbitadas.
Gracias a la iniciativa LetsEncrypt podemos obtener un certificado de manera gratuita. ¿Pero, el certificado ya será válido? Sí, al 100%, puesto que el mismo es firmado por una CA de confianza (IdenTrust CA). ¿Y no pierden dinero las otras CA (competencia)? Sí, pero dar este paso era fundamental para retomar el control sobre nuestra privacidad.
Resumiendo, lo que quiero que entenderemos es que podemos proteger el tráfico de vuestras Webs personales de ataques Man-In-The-Middle (MITM) sin gastar vuestro dinero en certificados costosos que para colmo hay que pagar por cada renovación del mismo. Esto supone una gran patada al gran hermano amigos.
INSTALACIÓN
Primero, remarcar que la herramienta sólo es empleable por ahora en GNU/Linux, preveen portar la pronto a Windows, pero como bien dije todavía están en Beta.
Para los interesados estoy utilizando CentOs. Abrid vuestra terminal, situarse en el directorio que que quieran, descargalo mediante el cliente de git de la siguiente forma y acto seguido lunch el cliente letsencrypt-auto para que instale las dependencias auxiliares necesarias (OJO: necesitaras permisos de root):
$ git clone https://github.com/letsencrypt/letsencrypt
$ cd letsencrypt
$ ./letsencrypt-auto
USO DE LA HERRAMIENTA
Aquí les explicare el método manual, el cual consiste en generar un par de claves pública/privada además del CSR. El CSR (Certificate Signing Request) es el archivo que contiene la información de nuestra entidad, dominios a proteger, algoritmos de firma digital y nuestra clave pública, que será enviado mediante el cliente de LetsEncrypt a su entidad certificadora (CA) para que nos lo firme y nos devuelva un certificado SSL/TLS.
Existen métodos automatizados que facilitan la obtención del certificado sin tanto rodeo, interesados -> https://letsencrypt.org/howitworks/
les aviso de antemano que encontraran MUY POCA info del método manual, todo lo que les voy a explicar a continuación es una recopilación de mi esfuerzo y horas invertidas en este proceso.
Primero generamos nuestro par de claves pública/privada junto al CSR, todo a la vez. En este comando incluiremos la información personal del sitio así como los dominios a proteger:
Os explico los parámetros:
-newkey: Genera un par de claves, en este caso RSA 2048 bit. También soporta 4096 bit.
-sha256: Algoritmo empleado para la verificación de la firma digital del certificado. Recordad, SHA-1 se considerá inseguro.
-nodes: La clave privada no será cifrada mediante criptografía simétrica.
-keyout: Archivo donde se guardará la clave privada, su contenedor es del tipo .pem.
-out: Archivo donde se guardará el CSR, IMPORTANTÍSIMO que sea .der pues LetsEncrypt no soporta .pem para el CSR.
-subj: Información personal del dueño de nuestra Web (nosotros). "C" es Country (país, 2 letras, SV=El Salvador), ST (ciudad, ¿2 letras?, ST=Santa Tecla), O (organicación), CN (dominio de la web).
-outform der: Como ya he dicho, este comando es fundamental para convertir el CSR en formado .der para que sea reconocible por LetsEncrypt.
-reqexts: Nos permite espicificar más de un dominio para el certificado, así un mismo certificado sirve para varios dominios/subdominios.
SAN: Subject Alter Name, campo del CSR donde podemos especificar más de un dominio, como ya he dicho previamente. Importante incluir los dominios sin www y con www, además de incluir el dominio del campo "CN".
Si todo va bien obtendremos el siguiente output al ejecutar el comando:
Generating a 2048 bit RSA private key
.........................................................................................+++
....................................................+++
writing new private key to 'privkey.pem'
-----
Ahora que tenemos el CSR, necesitamos que la entidad certificadora (CA) de LetsEncrypt nos lo firme con su clave privada, bueno, realmente firma el SHA256 de nuestro certificado y lo incluye en un nuevo campo, y ese resultado es lo que conocemos por certificado x509v3 o certificado SSL/TLS.
Para ello ejecutamos el cliente de LetsEncrypt de la siguiente forma:
./letsencrypt-auto certonly --authenticator manual --email vuestro@email.com --csr signreq.der --text --debug
Bueno no nos preocupemos de la cascada de datos que se muestra en pantalla. Llegará un punto en el que el cliente se detenga y nos pregunte si le das consentimiento para almacenar nuestra IP, por seguridad, aceptamos y estariamos en la siguiente fase, donde tendremos que probar a LetsEncrypt que somos los dueños de los dominios pertenecientes al CSR. Obtendremos algo como:
Make sure your web server displays the following content at
http://www.dominio.com/.well-known/acme-challenge/XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ before continuing:
XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ.BON7JEeVn9miBfADQ34eQIcUTsSTVsHRQqCeXuVUGVs
Simplemente nos dicen que creemos el directorio .well-known/acme-challenge en el directorio raíz de nuestro servidor. Una vez creado, en este ejemplo, crearemos el archivo XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ con la siguiente cadena dentro XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ.BON7JEeVn9miBfADQ34eQIcUTsSTVsHRQqCeXuVUGVs. Cuando hayamos terminado visita la URL en nuestro navegador para cerciorarnos de que la cadena es visible. Una vez completado el proceso presionad ENTER en la terminal donde estemos ejecutando el cliente LetsEncrypt.
nos daremos cuenta que las cadenas de arriba son un ejemplo, además tendremos que repetir este proceso por cada dominio especificado en el apartado SAN del CSR, ya que por cada dominio tendremos que probar a LetsEncrypt que somos nosotros sus respectivos dueños.
Si la verificación del challenge ha sido satisfactoria obtendremos un mensaje como este:
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/home/kub0x/letsencrypt/0001_chain.pem. Your cert will expire on
2016-03-10. To obtain a new version of the certificate in the
future, simply run Let's Encrypt again.
Felicidades, ya tenemos nuestro propio certificado gratuito firmado por una entidad de confianza, por lo que nuestro certificado es válido en cualquier plataforma, navegador etc. El siguiente paso se lo dejo a ustedes. Si tenemos apache simplemente modificamos nuestra configuración de VirtualHosts e indicar donde está la clave privada, el certificado que habemos obtenido y la certificate chain, pues sin esta última es imposible verificar que el certificado fue emitido por LetsEncrypt.
PROS:
- Certificado válido bajo cualquier plataforma y firmado por una entidad de confianza (CA), ya que LetsEncrypt delega en IdenTrust, CA (trust-anchor) confiada por todo tipo de plataformas. + info sobre la CA en: https://letsencrypt.org/certificates/
- Renovación del certificado gratuita.
- Dentro de poco implementarán la emisión de certificados mediante la prueba de DNS, junto a la previamente expuesta basada en HTTP.
CONTRAS:
- Se encuentra en fase Beta, por lo que requiere de un conocimiento avanzado (según el modo de instalación) y no está para nada libre de bugs.
- Los certificados tienen que ser renovados cada cierto tiempo, es una política de seguridad para evitar que estén activos largos periodos de tiempo.
- En algunos hostings gratuitos o administrados es necesario deshabilitar el módulo de apache mod_security puesto que obtendremos un error "403 forbidden". En nginx ni idea.
- No se puede obtener un certificado de tipo WildCard, es decir, no emiten certificados del tipo *.dominio.com. por lo que debemos especificar en el campo SAN del CSR todos los dominios a proteger.
- Por ahora no tiene soporte en Windows.
INTRODUCCIÓN:
HTTPS se basa en la utilización de PKI + SSL/TLS. A través de estos estándares podemos garantizar la integridad, confiabilidad y la autenticidad de la conexión pertinente, gracias a la criptografía de clave pública y a los . No os quiero aburrir con tecnicismos, pueden pedirme si quieren un tutorial extendido sobre criptografía asimétrica, TLS, PKI y certificados.
Cuando uno se conecta a una Web mediante HTTPS se realiza una negociación de claves para establecer una conexión segura, uno de los pasos de esta negociación tiene que ver con el certificado. Éste sólo es válido si ha sido firmado por una entidad certificadora (CA), y estas entidades obviamente cobran por certificado emitido, y sí, son cantidad muchas veces desorbitadas.
Gracias a la iniciativa LetsEncrypt podemos obtener un certificado de manera gratuita. ¿Pero, el certificado ya será válido? Sí, al 100%, puesto que el mismo es firmado por una CA de confianza (IdenTrust CA). ¿Y no pierden dinero las otras CA (competencia)? Sí, pero dar este paso era fundamental para retomar el control sobre nuestra privacidad.
Resumiendo, lo que quiero que entenderemos es que podemos proteger el tráfico de vuestras Webs personales de ataques Man-In-The-Middle (MITM) sin gastar vuestro dinero en certificados costosos que para colmo hay que pagar por cada renovación del mismo. Esto supone una gran patada al gran hermano amigos.
INSTALACIÓN
Primero, remarcar que la herramienta sólo es empleable por ahora en GNU/Linux, preveen portar la pronto a Windows, pero como bien dije todavía están en Beta.
Para los interesados estoy utilizando CentOs. Abrid vuestra terminal, situarse en el directorio que que quieran, descargalo mediante el cliente de git de la siguiente forma y acto seguido lunch el cliente letsencrypt-auto para que instale las dependencias auxiliares necesarias (OJO: necesitaras permisos de root):
$ git clone https://github.com/letsencrypt/letsencrypt
$ cd letsencrypt
$ ./letsencrypt-auto
Si no pueden correr el cliente letsencrypt-auto prueben a ejecutarlo de la siguiente forma:
$ ./letsencrypt-auto --debug (esto sucede con versiones de Python obsoletas/antiguas.)
USO DE LA HERRAMIENTA
Aquí les explicare el método manual, el cual consiste en generar un par de claves pública/privada además del CSR. El CSR (Certificate Signing Request) es el archivo que contiene la información de nuestra entidad, dominios a proteger, algoritmos de firma digital y nuestra clave pública, que será enviado mediante el cliente de LetsEncrypt a su entidad certificadora (CA) para que nos lo firme y nos devuelva un certificado SSL/TLS.
Existen métodos automatizados que facilitan la obtención del certificado sin tanto rodeo, interesados -> https://letsencrypt.org/howitworks/
les aviso de antemano que encontraran MUY POCA info del método manual, todo lo que les voy a explicar a continuación es una recopilación de mi esfuerzo y horas invertidas en este proceso.
Primero generamos nuestro par de claves pública/privada junto al CSR, todo a la vez. En este comando incluiremos la información personal del sitio así como los dominios a proteger:
openssl req -new -newkey rsa:2048 -sha256 -nodes -keyout privkey.pem -out signreq.der -subj "/C=SP/ST=BI/O=NoLucro,S.A./CN=dominio.com" -outform der -reqexts SAN -config <(cat /etc/pki/tls/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:dominio.com,DNS:www.dominio.com,DNS:subdominio.com,DNS:www.subdominio.com"))
Os explico los parámetros:
-newkey: Genera un par de claves, en este caso RSA 2048 bit. También soporta 4096 bit.
-sha256: Algoritmo empleado para la verificación de la firma digital del certificado. Recordad, SHA-1 se considerá inseguro.
-nodes: La clave privada no será cifrada mediante criptografía simétrica.
-keyout: Archivo donde se guardará la clave privada, su contenedor es del tipo .pem.
-out: Archivo donde se guardará el CSR, IMPORTANTÍSIMO que sea .der pues LetsEncrypt no soporta .pem para el CSR.
-subj: Información personal del dueño de nuestra Web (nosotros). "C" es Country (país, 2 letras, SV=El Salvador), ST (ciudad, ¿2 letras?, ST=Santa Tecla), O (organicación), CN (dominio de la web).
-outform der: Como ya he dicho, este comando es fundamental para convertir el CSR en formado .der para que sea reconocible por LetsEncrypt.
-reqexts: Nos permite espicificar más de un dominio para el certificado, así un mismo certificado sirve para varios dominios/subdominios.
SAN: Subject Alter Name, campo del CSR donde podemos especificar más de un dominio, como ya he dicho previamente. Importante incluir los dominios sin www y con www, además de incluir el dominio del campo "CN".
Si todo va bien obtendremos el siguiente output al ejecutar el comando:
Generating a 2048 bit RSA private key
.........................................................................................+++
....................................................+++
writing new private key to 'privkey.pem'
-----
Ahora que tenemos el CSR, necesitamos que la entidad certificadora (CA) de LetsEncrypt nos lo firme con su clave privada, bueno, realmente firma el SHA256 de nuestro certificado y lo incluye en un nuevo campo, y ese resultado es lo que conocemos por certificado x509v3 o certificado SSL/TLS.
Para ello ejecutamos el cliente de LetsEncrypt de la siguiente forma:
./letsencrypt-auto certonly --authenticator manual --email vuestro@email.com --csr signreq.der --text --debug
Bueno no nos preocupemos de la cascada de datos que se muestra en pantalla. Llegará un punto en el que el cliente se detenga y nos pregunte si le das consentimiento para almacenar nuestra IP, por seguridad, aceptamos y estariamos en la siguiente fase, donde tendremos que probar a LetsEncrypt que somos los dueños de los dominios pertenecientes al CSR. Obtendremos algo como:
Make sure your web server displays the following content at
http://www.dominio.com/.well-known/acme-challenge/XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ before continuing:
XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ.BON7JEeVn9miBfADQ34eQIcUTsSTVsHRQqCeXuVUGVs
Simplemente nos dicen que creemos el directorio .well-known/acme-challenge en el directorio raíz de nuestro servidor. Una vez creado, en este ejemplo, crearemos el archivo XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ con la siguiente cadena dentro XU61P5E-sEefZB5vjllHeQWRpkDs2G_AvlxitI6hOIQ.BON7JEeVn9miBfADQ34eQIcUTsSTVsHRQqCeXuVUGVs. Cuando hayamos terminado visita la URL en nuestro navegador para cerciorarnos de que la cadena es visible. Una vez completado el proceso presionad ENTER en la terminal donde estemos ejecutando el cliente LetsEncrypt.
nos daremos cuenta que las cadenas de arriba son un ejemplo, además tendremos que repetir este proceso por cada dominio especificado en el apartado SAN del CSR, ya que por cada dominio tendremos que probar a LetsEncrypt que somos nosotros sus respectivos dueños.
Si la verificación del challenge ha sido satisfactoria obtendremos un mensaje como este:
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/home/kub0x/letsencrypt/0001_chain.pem. Your cert will expire on
2016-03-10. To obtain a new version of the certificate in the
future, simply run Let's Encrypt again.
Felicidades, ya tenemos nuestro propio certificado gratuito firmado por una entidad de confianza, por lo que nuestro certificado es válido en cualquier plataforma, navegador etc. El siguiente paso se lo dejo a ustedes. Si tenemos apache simplemente modificamos nuestra configuración de VirtualHosts e indicar donde está la clave privada, el certificado que habemos obtenido y la certificate chain, pues sin esta última es imposible verificar que el certificado fue emitido por LetsEncrypt.
PROS:
- Certificado válido bajo cualquier plataforma y firmado por una entidad de confianza (CA), ya que LetsEncrypt delega en IdenTrust, CA (trust-anchor) confiada por todo tipo de plataformas. + info sobre la CA en: https://letsencrypt.org/certificates/
- Renovación del certificado gratuita.
- Dentro de poco implementarán la emisión de certificados mediante la prueba de DNS, junto a la previamente expuesta basada en HTTP.
CONTRAS:
- Se encuentra en fase Beta, por lo que requiere de un conocimiento avanzado (según el modo de instalación) y no está para nada libre de bugs.
- Los certificados tienen que ser renovados cada cierto tiempo, es una política de seguridad para evitar que estén activos largos periodos de tiempo.
- En algunos hostings gratuitos o administrados es necesario deshabilitar el módulo de apache mod_security puesto que obtendremos un error "403 forbidden". En nginx ni idea.
- No se puede obtener un certificado de tipo WildCard, es decir, no emiten certificados del tipo *.dominio.com. por lo que debemos especificar en el campo SAN del CSR todos los dominios a proteger.
- Por ahora no tiene soporte en Windows.
Luego les hare un videotutorial realizando este tutorial ya que por el momento estamos cortos de tiempo por varios proyectos.
saludos,