Us arriba una sol·licitud de certificat: un proveïdor necessita el vostre certificat de client, un balancejador de càrrega nou necessita el certificat comodí, un company necessita el certificat de signatura per compilar una versió. El fitxer que us demanen pot ser inofensiu o pot ser la clau privada que permet a qualsevol suplantar el vostre servei, i sovint tots dos viatgen al mateix paquet.
Per compartir un certificat privat amb un enllaç segur sense riscos, primer esbrineu quina de les dues meitats cal de debò, empaqueteu la clau privada perquè no serveixi de res sense una contrasenya, envieu el fitxer amb un enllaç d'un sol ús que es destrueix després d'una baixada i envieu la contrasenya per una altra via. Aquesta guia explica cada pas amb les ordres.
El certificat és públic. La clau, no.
Un certificat conté una clau pública, el subjecte a qui es va emetre, l'emissor i les dates de validesa. Està fet per repartir-lo: cada navegador que es connecta al vostre lloc web el rep. La clau privada és el secret separat que demostra que el certificat és vostre. Qui la té pot desxifrar el trànsit que us va adreçat, signar coses en nom vostre o posar en marxa un servidor que es fa passar pel vostre.
La primera pregunta, doncs, és si el destinatari necessita la clau.
| El destinatari vol | Necessita | És confidencial? |
|---|---|---|
| Confiar en el vostre servei o verificar una signatura | El certificat (i potser la cadena de la CA) | No |
| Instal·lar TLS en un servidor o dispositiu que gestiona | El certificat, la cadena i la clau privada | Sí |
| Signar codi o documents en nom de la vostra organització | El certificat i la clau privada | Sí, molt |
| Autenticar-se en un sistema amb un certificat de client | El certificat i la clau privada | Sí |
Si la resposta és la primera fila, envieu el fitxer .crt o .cer com vulgueu i no cal que seguiu llegint. Tot el que ve a continuació és per a les files en què la clau s'ha de moure.
Comproveu què conté el fitxer abans d'enviar-lo
Les extensions enganyen. Un .pem pot contenir un certificat, una clau o totes dues coses. Un .pfx o un .p12 normalment agrupa el certificat, la cadena i la clau protegits amb una contrasenya. Inspeccioneu-lo abans d'enviar-lo:
# what is in this PEM?
openssl x509 -in cert.pem -noout -subject -issuer -dates
grep -c "PRIVATE KEY" cert.pem # 0 means no key inside
# what is in this PFX? (prompts for the password)
openssl pkcs12 -in bundle.pfx -info -noout
Confirmeu que el subjecte coincideix amb el que ha demanat el destinatari i que la data de caducitat encara no ha arribat. Enviar el certificat equivocat és habitual; enviar el certificat equivocat amb la seva clau és una bretxa de seguretat.
Empaqueteu la clau perquè no serveixi de res tota sola
Si la clau ha de viatjar, no l'envieu mai sense protecció. Poseu-la en un format xifrat amb una contrasenya que enviareu a part.
# bundle certificate, chain and key into a password-protected PFX
openssl pkcs12 -export -out service.pfx \
-inkey service.key -in service.crt -certfile chain.crt
# or encrypt a PEM key on its own
openssl pkey -in service.key -aes-256-cbc -out service.enc.key
Feu servir una contrasenya llarga generada per un gestor de contrasenyes. La contrasenya és el segon factor: qui obtingui el fitxer encara no el podrà fer servir, i qui obtingui la contrasenya no tindrà on aplicar-la.
Envieu el fitxer amb un enllaç segur d'un sol ús
L'enllaç és el pas del lliurament, i l'objectiu és que després no en quedi cap còpia en cap missatge.
- Verifiqueu el destinatari amb una font de què ja us fieu: el tiquet, el contacte del proveïdor que teniu registrat, una trucada. Una sol·licitud de certificat des d'una adreça inesperada mereix una trucada, no una resposta.
- Creeu un enllaç secret amb el fitxer adjunt. Amb la sessió iniciada en un compte de LinkPilot, obriu «Secret Links», trieu «New» i adjunteu el PFX o el PEM xifrat. Cada fitxer té un límit de 9 MB, milers de vegades més que qualsevol paquet de claus. L'adjunt es xifra al vostre navegador abans de pujar-lo i se suprimeix la primera vegada que es baixa.
- Ajusteu la caducitat al període real. Una hora si el destinatari està esperant, 24 hores si hi ha fusos horaris pel mig. La baixada única és el control principal; la caducitat és la xarxa de seguretat per a un enllaç que ningú obre.
- Poseu el límit de visualitzacions a una. Si dos enginyers necessiten el paquet, cadascun rep el seu enllaç.
- Afegiu una frase de contrasenya a l'enllaç amb un compte Pro si ha de passar per un canal que altres persones poden veure.
- Envieu l'enllaç amb una línia de context: quin certificat, quin sistema, quan caduca.
- Envieu la contrasenya del fitxer per un altre canal. Un SMS, una trucada o un segon enllaç secret enviat per una altra via. Mai al mateix missatge que l'enllaç del fitxer, i mai al nom del fitxer.
Si la clau és text PEM i és curta, la podeu enganxar directament a l'eina gratuïta d'enllaços secrets en lloc d'adjuntar un fitxer. El text es xifra al vostre navegador i es destrueix en la primera obertura de la mateixa manera.
Expliqueu al destinatari què n'ha de fer
Envieu les instruccions d'instal·lació amb el missatge de context, no amb la contrasenya:
- Quin fitxer rebrà, en quin format i a quin sistema va.
- On l'ha de desar: al directori de certificats del servidor, amb permisos limitats al compte del servei, o al magatzem de certificats del sistema operatiu. No a Baixades ni en una unitat compartida.
- Que suprimeixi la còpia baixada un cop importada, i que no la pugi mai a un repositori.
- Que confirmi la recepció amb el nom del fitxer i l'empremta digital, mai tornant-vos el fitxer:
openssl x509 -in service.crt -noout -fingerprint -sha256
Després
Comproveu que l'enllaç apareix com a «revealed» (mostrat) i que el destinatari confirma que l'empremta coincideix. Els comptes Pro poden veure a la cronologia d'auditoria l'hora exacta de la baixada. Si l'enllaç s'ha obert abans que hi arribés el destinatari, o el fitxer ha anat a l'adreça equivocada, no espereu proves d'un mal ús: revoqueu el certificat amb la CA emissora, genereu un parell de claus nou, torneu-lo a emetre i substituïu el certificat a tots els llocs on estigui instal·lat.
Anoteu qui ha rebut cada certificat i quan. Conserveu el registre. El fitxer ha d'existir als sistemes que el necessiten i enlloc més entremig.