Aplicaciones criptográficas 2

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Aplicaciones criptográficas 2"

Alba Prado Cordero
hace 7 años
Vistas:

1 1 Tema 5: Aplicaciones criptográficas Aplicaciones criptográficas 2 1 Certificados digitales

2 1- Certificados digitales 3 1 Certificados digitales Cómo puedo asegurarme de que los datos de cierta entidad o persona (su clave pública, su dirección de correo electrónico, su páginaweb,...) sonlasqueaparecen, por ejemplo en una página web? La página web puede haber sido alterada deliberadamente falseando estos datos. Si alguna otra entidad o persona (autoridad certificadora) me asegura que ciertos datos son correctos, firmando digitalmente un documento, yo tendría dicha certeza. Este documento se denomina certificado digital: empaquetamiento en un fichero de la información de una persona o entidad, junto con la firma digital de la autoridad certificadora (realizada con la clave privada de la misma). 1- Certificados digitales 4 Recordemos que Documento firmado: M + F, donde M : mensaje H(M): resumen del mensaje (K pri,k pub ): clave asimétrica (clave privada, clave pública) F :firma F = Firmar(H(M),K pri ) Verificación: la firma se corresponde con el documento y el propietario de la clave (autenticación de originante y comprobación de integridad) si H(M) ==Firmar 1 (F, K pub )

Si alguna otra entidad o persona (autoridad certificadora) me asegura que ciertos datos son correctos, firmando digitalmente un documento, yo tendría dicha certeza.

3 1- Certificados digitales 5 Cómo puedo asegurarme de que el certificado digital (documento compuesto por información y por la firma) emitido por dicha autoridad certificadora no es falso? Comprobando que la firma es correcta, para lo cual necesitaría la clave pública de la autoridad certificadora. Dicha clave pública podría estar en: un certificado digital firmado por esta misma autoridad certificadora (autofirmado) (si no tengo información o confianza en ese certificado autofimado) un certificado digital fimado por otra autoridad certificadora, y asísucesivamente,..., hastallegar a algún certificado autofirmado de clave pública (cadena de certificados), de alguna autoridad en la que sí confíe. 1- Certificados digitales 6 Explicación del concepto de confianza: se confía en un certificado si es posible comprobar de alguna forma que lo que dice es absolutamente cierto. Ejemplos: El propietario del certificado nos lo ha entregado en mano (en un disco): no ha pasado por ninguna red. Hemos visto publicado en el B.O.E., el DOGV, el Levante y Las Provincias el resumen del fichero que contiene al certificado (huella digital o fingerprint), lo comprobamos con el del fichero que nosotros tenemos y coincide. El propietario del certificado nos entregó su tarjeta de visita, en la que figura el resumen del fichero que contiene al certificado (huella digital o fingerprint). Podemos verificar el contenido con la firma, porque ha sido firmado con una clave privada, cuya clave pública está firmada en un certificado en el que tenemos confianza. Porque alguien en quien confiamos, confía en él. Ejemplo: Internet Explorer tiene de fábrica algunos certificados digitales en los que Microsoft cree. Si trabajamos con el sistema operativo Windows, estamos creyendo implícitamente en Microsoft.

Dicha clave pública podría estar en: un certificado digital firmado por esta misma autoridad certificadora (autofirmado) (si no tengo información o confianza en ese certificado autofimado) un

4 1- Certificados digitales 7 Certificado digital: documento (fichero) que contiene datos de un individuo o entidad, y una firma (digital) con la que se puede probar la veracidad de lo argumentado, si creemos en quien ha efectuado la firma. Certificado digital X.509: especificación ASN.1 de la estructura de datos de un certificado digital. Tres versiones. La actual v.3. Estructura: TBS (To Be signed): la información (identificación de la persona o entidad, propiedades del certificado, clave pública,...) Algoritmo de firma Firma digital El certificado se suele guardar en un fichero con varias opciones de formato: DER, Base64, PKCS#7, Certificados digitales 8 La JCA/JCE de Java no permite generar certificados digitales. Sí posee clases para leeros, verificarlos y utilizarlos. Herramienta keytool de Java permite: Crear claves asimétricas (key entry), guardar secretamente la clave privada y generar un certificado autofirmado de la clave pública. Importar certificados de confianza (trusted certificate entry): certificados en los que se cree firmemente. Estos certificados son de ciertas personas o entidades incluyendo una clave pública y firmados por sí mismas o por Autoridades de Certificación. Almacenar de forma relativamente segura estas claves y certificados en un fichero (almacén de claves o keystore).

Estructura: TBS (To Be signed): la información (identificación de la persona o entidad, propiedades del certificado, clave pública,.

5 1- Certificados digitales 9 Ejemplos Generación de clave asimétrica y de certificado autofirmado de la clave pública (generación de key entry): >keytool -keystore almacen -storepass clavealmacen -genkey -alias pacorsa -keypass clavepacorsa -keyalg RSA -keysize sigalg SHA1withRSA -validity 3 Para visualizar la información generada y guardada en el fichero almacen: >keytool -keystore almacen -storepass clavealmacen -list -alias pacorsa -v La JCA/JCE de Java permite recuperar el certificado digital de la clave pública, así comolaclave privada. 1- Certificados digitales 10 El certificado puede exportarse a un fichero, para que alguien pueda emplear la clave pública que hay en él: Formato DER: >keytool -keystore almacen -storepass clavealmacen -alias pacorsa -export -file pacorsa.cer Formato Base64: >keytool -keystore almacen -storepass clavealmacen -alias pacorsa -export -file pacorsa2.cer -rfc Pueden observarse con un editor de textos ASCII y con el visor de certificados de Windows.

almacen -storepass clavealmacen -list -alias pacorsa -v La JCA/JCE de Java permite recuperar el certificado digital de la clave pública, así comolaclave privada.

6 1- Certificados digitales 11 Podemos importar certificados al keystore (fichero almacen en nuestro caso). Ejemplos: Los ficheros previamente exportados El certificado de la UPV 1- Certificados digitales 12 El fichero que contiene al certificado autofirmado generado anteriormete, podríamos publicarlo en nuestra página web personal, pero podría ser suplantado por un certificado generado por un hacker. Posibles soluciones: Incluir en nuestra tarjeta de visita la huella digital del certificado: aquél que tenga nuestra tarjeta podrá verificar la veracidad del certificado. Pedir a una autoridad certificadora reconocida que nos firme nuestro certificado (que retire del certificado nuestra propia firma e incluya la suya): suele costar dinero. Pedir a nuestra empresa que se genere un certificado digital autofirmado, que le pida a una autoridad de certificación reconocida que le firme dicho certificado, y que sea ella quien nos firme el nuestro. Nosotros adjuntaremos a nuestro certificado el certificado expedido por la autoridad a nuestra empresa (cadena de certificados).

nuestra página web personal, pero podría ser suplantado por un certificado generado por un hacker.

7 1- Certificados digitales 13 Existe un formato especial de petición de firma de certificado (Certification Signing Request CSR ), denominado PKCS#10, que keytool permite. Ejemplo: >keytool -keystore almacen -storepass clavealmacen -alias pacorsa -keypass clavepacorsa -certreq -file peticionpacorsa.csr Hay que hacérselo llegar a una autoridad certificadora y mediante ciertos trámites conseguir que lo firme. Tendremos que generar una nueva entry key ya que el asunto (CN) debe ser el indicado por esta CA (Certification Authority) 1- Certificados digitales 14 Revocación de certificados: cuando una clave privada está comprometida hay que revocar el certificado para que nadie emplee la clave pública que hay en él para cifrar información hacia nosotros. Existe un formato expecial para indicar esta situación a la CA, para que lo añada a una lista especial: CRL (Certificate Revocation List) la cual debería ser consultada con cierta frecuencia.

csr Hay que hacérselo llegar a una autoridad certificadora y mediante ciertos trámites conseguir que lo firme.

Documentos relacionados

Analiza y elabora un manual de uso con ejemplos de la herramienta OpenSSL.

Analiza y elabora un manual de uso con ejemplos de la herramienta OpenSSL. Instalacion de OpenSll El proceso de instalación de OpenSSL para Windows es muy sencillo, tendremos el clásico asistente donde tendremos que aceptar la licencia y seleccionar el destino donde queremos