Curso: Sistemas de Informação Disciplina: Criptografia e segurança de dados TUTORIAL PARA GERAÇÃO DE CERTIFICADOS DIGITAIS

Transcrição

1 Página 1 de 7 SOFTWARES UTILIZADOS: XCA OPENSSL WIN 64BITS O XCA é um software utilizado para gerenciamento de requisições e certificados digitais para um infra-estrutura de um cartório digital, onde é possível controlar e gerar certificados digitais a partir de requisições de usuários. Este tutorial apresentará desde a criação de um certificado digital para um autoridade certificadora até a geração de certificados digitais a partir de requisições feitas de usuários. O primeiro passo é fazer a instalação do XCA Figura 1 - Tela de instalação de componentes no XCA Fonte: Do Autor, 2015 Após a instalação, uma base de dados deve ser criada, base esta que irá armazenar o certificado digital da AC (Autoridade de certificação, ou autoridade certificadora) e sua chave privada, bem como todas as requisições e certificados digitais que posteriormente serão criados para os usuários. Essa base de dados é protegida por uma senha. Figura 2 - Base de dados da AC UFMT Fonte: Do autor, 2015.

2 Página 2 de 7 O primeiro certificado digital a ser criado é o da AC, além da requisição desse certificado será necessário criar a chave privada da AC, chave esta que será usada para assinar as requisições recebidas pela AC para geração dos certificados. Os dois passos a seguir mostram respectivamente a criação do certificado digital e da cave privada da AC. Figura 3 - Aba certificate signing requests -> New request -> Subjects Figura 4 - New key Com a chave privada criada, o certificado digital deverá então ser assinado por essa chave. Os detalhes do certificados (dados) podem ser visualizados a partir de um clique com o botão esquerdo do mouse acessando a opção show details.

3 Página 3 de 7 Figura 5 - Requisição de certificado digital com assinatura da chave privada da AC Para gerar o certificado digital, na aba Certificate signing request, clicando com o botão direito do mouse, e acessando a opção Sign. As alterações devem ser realizadas na geração do certificado da AC, são elas: Na aba extensions, o tipo de certificado deve ser: Certification authority; Na aba key usage devem ser marcadas as opções: Certificate sign e CRL sign; Na aba Netscape, as opções: SSL CA, S/MIME CA e Object signning CA devem ser marcadas. O certificado então é gerado e está pronto para ser exportado. Essa operação é feita na aba certificates, clicando com o botão direito sob o certificado na opção export. A extensão que deve ser usada para exportação é o DER. Figura 6 - Dados do certificado gerado.

4 Página 4 de 7 Este certificado deve ser instalado como confiável no computador utilizado para geração dos certificados, isto é, o computador da AC, assim como também deverá ser instalado nos computadores dos usuários. O repositório usado para instalação será: Autoridades certificadoras de raiz confiável. Figura 7 - Certificado digital de AC Confiável Para que seja gerado certificados digitais para usuários finais, o passo inicial é ter a requisição, a requisição deve ser encaminhada até a AC. Quem faz esse papel dentro de uma estrutura ICP é a AR (Autoridade de registro). Em conjunto neste processo já é gerado a chave privada e pública do usuário, a chave pública dele se tornará a requisição do certificado digital. O arquivo que será gerado com a extensão KEY será a chave privada do usuário, já o arquivo gerado com a extensão REQ é a chave pública e consequentemente será a requisição a ser enviada para a AC. O OpenSSL será o software utilizado aqui neste tutorial, mas existem várias outras ferramentas que podem ser utilizadas para a geração das chaves, como característica pode-se dizer que o OpenSSL é uma alternativa de software livre e muito utilizado. Figura 8 - Criação da chave pública e privada e um usuário.

5 Página 5 de 7 Alguns dados são preenchidos, dados estes que serão visualizados pela AC através da opção show details, comentada anteriormente para conferencia e posterior geração do certificado. As chaves são geradas e armazenadas no diretório de instalação do OpenSSL. Figura 9 - Dados para geração das chaves Seguindo o processo, o passo agora é enviar o arquivo REQ para a AC, que por sua vez deverá importar este arquivo como uma requisição de certificado no XCA. Figura 10 - Detalhes da requisição do certificado da Maria da Rosa. O certificado será assinado pela AC, para um certificado de um cliente o tipo será HTTPS/Client, alterando para este tipo os parâmetros de configuração automaticamente ficam adaptados para um certificado de um usuário final. As alterações são listadas a seguir:

6 Página 6 de 7 Na aba extensions é definido o tempo de validade do certificado, que geralmente é de 01 ano (365 days); Na aba key usage os seguintes campos ficam marcados: Digital signature, key encipherment e data encipherment; Na aba Netscape os campos marcados são: SSL Client e S/MIME. Figura 11 - Geração do certificado digital assinado pela AC. O certificado digital é visualizado na imagem abaixo, sendo gerado e assinado pela AC. Clicando com o botão direito e acessando a opção detail é possível na aba issuer ver os dados da AC que emitiu o documento. Figura 12 - Certificado gerado.

7 Página 7 de 7 Deve ser enviado para o usuário, tanto seu certificado como o da AC que o emitiu, por sua vez o usuário deverá como dito anteriormente instalar primeiro o certificado da AC no repositório de certificados confiáveis e posteriormente o certificado que lhe foi gerado. ARQUIVOS UTILIZADOS: AC UFMT.xdb privada.key requisicao.req AC_UFMT.cer Maria_da_Rosa.cer As senhas para acesso dos arquivos: abcd