Tutorial de Certificados HTTPS y SSL

Funciones HTTPS y SSL de TSPlus

El Servidor Web incluido en TSPlus puede gestionar el protocolo “HTTPS” y la encriptación “SSL” con un certificado autofirmado o un certificado “CA” entregado por una Autoridad de Certificación (CA).

El protocolo “HTTPS” encripta la comunicación entre el cliente y el servidor.

El certificado único, generado a partir de una clave RSA de 2048 bits, incluye la clave de cifrado y la certificación del servidor o del nombre de dominio al que se conecta el usuario.

El usuario es informado de que la comunicación está encriptada y el Servidor o Nombre de Dominio está certificado por una Autoridad de Certificación.
Esta información aparece en la barra de direcciones del navegador como un candado.

En este tutorial, aprenderemos a instalar un certificado en el Servidor Web de TSPlus, proporcionando a los usuarios la seguridad de “HTTPS”, el cifrado “SSL” 2048 y la certificación del nombre de dominio.

Para recibir un certificado SSL le recomendamos que lo adquiera de un proveedor de confianza como pueda ser “DigiCert” .

Por favor, siga este procedimiento para pedir e instalar su SSL en el TSplus Servidor / “Gateway”.

Contenido del Tutorial

1. Certificados y proceso de certificación
   1. Proceso de certificación
   2. Los Certificados
   3. Propiedades de los certificados
   4. Aviso importante sobre el par de claves (clave privada)
2. Cómo hacer una solicitud de “CA” y obtener un certificado
   1. Recordatorio – Proceso de certificación
   2. Cómo generar una CSR (Solicitud de Firma de Certificado)
   3. Cómo obtener un certificado SSL
   4. ¿Cómo generar lo que necesito para TSplus?
3. Solución de problemas
   1. Sólo he recibido un archivo (.crt o cer) que contiene el certificado MiNombrededominio.com
   2. Mi clave privada es .pem. No puedo importar mi clave privada en “Portecle”
   3. Errores “HTTPS”
   4. Aviso sobre TSPlus y el servidor web Microsoft IIS

Proceso de certificación y certificados

1. Proceso de certificación

Los certificados son entregados por las Autoridades de Certificación (CA). Se trata de un proceso de 3 pasos.

a) La generación de un Par de Claves o Clave Privada en estándar RSA de 2048 bits. Esta clave se utilizará para generar una Solicitud de CA basada en ella.

b) La Solicitud de CA generada se transmite a la CA. Contiene toda la información necesaria para que el proveedor entregue un certificado (Nombre del país de 2 letras, nombre completo del estado o provincia, nombre de la localidad, nombre de la organización, por ejemplo, empresa, nombre de la unidad de la organización, por ejemplo, sección, dirección de correo electrónico válida y nombre común (CN), por ejemplo, minombrededominio.com).

c) La autoridad de certificación verifica la información que has transmitido y te devuelve el certificado, y eventualmente también los certificados intermedios que se requieren para acceder a tu certificado.
El certificado también contiene la respuesta de la CA (la clave privada validada). Una vez que tenga el certificado, la respuesta de la CA, su par de claves (clave privada), y los certificados intermedios, deben ser importados en el almacén de claves que maneja Terminal Service Plus.

2. Los Certificados

La entrega suele contener varios archivos. Cada archivo es un certificado. Como se ha dicho anteriormente, la autoridad entrega el certificado de su nombre de dominio y los certificados intermedios que son obligatorios para acceder a su certificado.

El archivo de formato común es .cer o .crt. Estas extensiones son reconocidas por el sistema operativo que asocia el icono del certificado.

En nuestro ejemplo anterior, hemos recibido 4 archivos (.crt). El primero, el segundo y el tercero son certificados intermedios (CARoot, TrustCA, DomainValidationCA).
El cuarto es nuestro certificado que certifica nuestro nombre de dominio “MyDomainName.crt”. Todos ellos tienen que ser instalados juntos.

Para entender mejor cómo proceder, vamos a examinar los certificados.

3. Propiedades de los Certificados

Las propiedades del certificado “CA Root” muestran su ruta. Cada certificado tiene una ruta desde la raíz hasta el certificado de su nombre de dominio.

Las propiedades de nuestro certificado muestran toda la información general sobre el certificado (propósitos, direcciones, emitido a “CN”), emitido por y validez.
Lo que es importante observar es la ruta de certificación. Incluye toda la ruta necesaria para acceder a nuestro certificado.
Muestra todos los certificados intermedios que están incluidos dentro del nuestro.

Este es un proceso sencillo. Hay que importar toda esta ruta de certificación, más el par de claves en el archivo del almacén de claves de TSplus.

Utilice el gestor de certificados de Windows para importar el par de claves y todos los certificados en el almacén de claves de Windows como se describe en el proceso de Certificados y Certificación (¡haga que el par de claves sea exportable cuando lo importe!) y luego exporte esa clave de vuelta desde el almacén de claves de Windows marcando la opción “Incluir todos los certificados en la ruta de certificación si es posible”. Para el formato elija por ejemplo “*.p12” Ahora cree un nuevo almacén de claves en formato “JKS” en “Portecle“, y vaya a Herramientas > Importar par de claves e importe ese archivo *.p12:

4. Aviso importante sobre el par de claves (clave privada)

El par de claves es la clave RSA de 2048 bits generada para la solicitud de la “CA” del certificado. Ha sido generada en el complemento de “Portecle” que proporcionamos, o con otro generador disponible como openssl, IIS, sitios en línea, o aplicaciones del proveedor de “CA”.

Debe conservar esta Clave Privada. Se trata de un archivo de texto plano en formato no seguro “.pem” o en formato seguro “.p12” o “.pfx”.
La Clave Privada generada es obligatoria para poder generar los certificados correctamente

Cómo hacer una solicitud de CA y obtener un certificado

A modo de recordatorio, aquí se explica el proceso de certificación. Este proceso se puede realizar tanto en el complemento de “Portecle” que proporcionamos, como con otro generador disponible como openssl, IIS, sitios online, o aplicaciones del proveedor de CA.

1. Recordatorio – Proceso de certificación

Los certificados son entregados por las Autoridades de Certificación (CA). Se trata de un proceso de 3 pasos.

a) La generación de un Par de Claves o Clave Privada en estándar RSA 2048 bits. Esta clave se utilizará para generar una Solicitud de CA basada en ella.

b) La Solicitud de CA generada se transmite a la CA. Contiene toda la información necesaria para que el proveedor entregue un certificado (Nombre del país de 2 letras, nombre completo del estado o provincia, nombre de la localidad, nombre de la organización, por ejemplo, empresa, nombre de la unidad de la organización, por ejemplo, sección, dirección de correo electrónico válida y nombre común (CN), por ejemplo, minombrededominio.com).

El trabajo principal consiste en crear la solicitud, que indagará correctamente en un formulario en el que se pide toda la información mencionada anteriormente.

c) La autoridad de certificación verifica la información que ha transmitido y devuelve el certificado, y eventualmente también los certificados intermedios que se requieren para acceder a su certificado. El certificado también contiene la respuesta de la CA (la clave privada validada). Una vez que tenga el certificado, la respuesta de la CA, su par de claves (clave privada), y los certificados intermedios, deben ser importados en el almacén de claves que maneja TSplus.

2. Cómo generar una CSR (Certificate Signing Request)

En este tutorial aprenderemos a instalar un certificado en el Servidor Web de TSPlus, proporcionando a los usuarios la seguridad de HTTPS, cifrado SSL 2048 y certificación de nombres de dominio. Para recibir un certificado SSL le recomendamos que lo adquiera de un proveedor de confianza como DigiCert. Por favor, siga este procedimiento para pedir e instalar su SSL en el TSplus Gateway/Servidor.

Para crear una “CSR” con la utilidad “DigiCert”, siga los pasos siguientes:

1. En su servidor Windows, descargue y guarde el ejecutable DigiCert Certificate Utility para Windows (DigiCertUtil.exe).
2. Ejecute la Utilidad de Certificados “DigiCert” para Windows (haga doble clic en DigiCertUtil).
3. En la Utilidad de Certificados DigiCert para Windows©, haga clic en SSL (candado dorado), y luego haga clic en Crear “CSR”.

1. En la página Crear CSR, proporcione la siguiente información y luego haga clic en Generar:

Tipo de certificado: Seleccione SSL.
Nombre común: Introduzca el nombre de dominio completo (FQDN) (por ejemplo, www.example.com).
Nombres alternativos del sujeto: Si solicita un certificado multidominio (SAN), introduzca los SAN que desee incluir (por ejemplo, www.ejemplo.com, www.ejemplo2.com y www.ejemplo3.net).
Organización: Introduzca el nombre legalmente registrado de su empresa (por ejemplo, YourCompany, Inc.).
Departamento: (Opcional) Si lo desea, introduzca el nombre de su departamento dentro de la organización o simplemente puede dejar la casilla en blanco.
Ciudad: Introduzca la ciudad en la que se encuentra legalmente su empresa.
Estado: Utilice la lista desplegable para seleccionar el estado en el que se encuentra legalmente su empresa.
Nota: Si su empresa está ubicada fuera de los Estados Unidos, puede escribir el nombre correspondiente en la casilla.
País: Utilice la lista desplegable para seleccionar el país en el que su empresa está legalmente ubicada.
Tamaño de la llave: En la lista desplegable, seleccione 2048 (a menos que tenga una razón específica para utilizar una longitud de bits mayor).
Proveedor: En la lista desplegable, seleccione “Microsoft RSA SChannel Cryptographic Provider” (a menos que tenga un proveedor criptográfico específico).

1. En la página DigiCert Certificate Utility for Windows© – Create CSR, realice una de las siguientes acciones y haga clic en Close:

Haga clic en Copiar CSR. Copia el contenido del certificado en el portapapeles. Utilice esta opción si está listo para pegar la “CSR” en el formulario de pedido de DigiCert.
Nota: Dado que la Utilidad de Certificados DigiCert no almacena las “CSR”, le recomendamos que pegue la “CSR” en un editor de texto (como el Bloc de notas) cuando utilice esta opción.
Si cierra la página de la “CSR” y accidentalmente sobrescribe el contenido del portapapeles sin hacer esto, tendrá que generar una nueva “CSR”.

Haga clic en Guardar en archivo. Esto guarda la “CSR” como un archivo .txt en Windows Server 2012. (Se recomienda utilizar esta opción).

1. Utilice un editor de texto (como el Bloc de notas) para abrir el archivo. Luego, copie el texto, incluyendo las etiquetas —–BEGIN NEW CERTIFICATE REQUEST—– y —–END NEW CERTIFICATE REQUEST—– y péguelo en el formulario de pedido de “DigiCert”.
2. Después de recibir su certificado SSL de DigiCert, puede utilizar la utilidad de certificados DigiCert para Windows para instalarlo.

3. ¿Cómo puedo generar lo que necesito para TSplus?

1) Abra la aplicación DigiCert
a) haga clic en SSL
b) Importe su SSL
Ahora verá que el certificado que ha instalado está resaltado:

En la parte inferior de la interfaz gráfica verá el botón “Exportar certificado”, haga clic en él.

Asegúrese de que la opción “Yes, export the private key and pfx file / Include all certificates in the certification path if possible” esté marcada.

A continuación, guarde el archivo en la carpeta con los certificados que ha descomprimido.

DEBERÁ UTILIZAR LA CONTRASEÑA ‘secret’.

4. ¿Cómo instalo los certificados en el servidor web de TSplus?

1) Copie el archivo descomprimido que ahora contiene los archivos .pfk y crt en el servidor TSplus Archivos de programa (x86)TSplusClientswebserver
2) Haga una copia del “cert.jks”
3) Desde la Consola de Administración de TSplus / Web / HTTPS / HTTPS Certificate Toolkit / File / Open Keystore File “cert.jks”
La contraseña es “secret”
Elimine el par de claves de importación de jwts Tools (lo encontrará en la carpeta que acaba de copiar) Cuando se le pida el nombre del Alias debe ser jwts y la contraseña “secret”

Herramientas “Importar Certificado de Confianza” e “importar el crt” que tiene en la carpeta.
Cierre la herramienta y asegúrese de que el “cert.jks” se guarda con la contraseña secreta.
“TSplus AdminTool” / Web y reinicie los servicios.
Ahora ya ha completado el procedimiento de SSL Cert.

Solución de problemas

1. Sólo he recibido un archivo (.crt o cer) que contiene el certificado “MydomainName.com”

Mire la ruta en las propiedades del certificado. Si su certificado está en la raíz, entonces no tiene ningún certificado intermedio.
Sólo debe importar el .cer o crt que ha recibido.

Si la ruta contiene otros certificados intermedios, entonces serán necesarios. Puede exportar estos certificados incluidos en el suyo y crear un archivo por certificado.

Puede exportar cada certificado incluido en la ruta y obtener un archivo por certificado.

Haga doble clic en el certificado que desea exportar. Luego vaya a Detalles / Copiar a archivo.

Haga clic en siguiente. Los valores por defecto están bien. Haga clic en siguiente hasta que tenga que dar un nombre. Confirme la exportación.
El resultado es un archivo “.cer” que contiene sólo el certificado exportado. Repita esta exportación para cada nivel de la ruta.

2. Mi clave privada es .pem. No puedo importar mi clave privada en “Portecle”

Puede convertir su .pem en formato pfx con herramientas o sitios en línea. Por ejemplo, en este sitio: https://www.sslshopper.com/ssl-converter.html

Debe tener su clave privada y su certificado (por ejemplo, MiNombreDeDominio.com)

Navegue para seleccionar el certificado a convertir y la Clave Privada que lo acompaña. El tipo de certificado actual es “PEM”. El tipo a convertir es “PFX” (PKCS#12).
Como .pfx es un formato seguro, debe introducir una contraseña. Puedes elegir la que quieras, pero, al menos, deberás ponerla como ‘secret’.
Así que debes introducir la contraseña ‘secret’.

El resultado es un formato .pfx que podrás importar en “Portecle”. Como vimos en la sección de instalación, esta Clave Privada importada en Portecle debe recibir una Respuesta de la CA. Vea la sección Instalación / Respuesta de CA para más información.

3. Errores HTTPS

Error de SSL “ssl_error_no_cypher_overlap”

La Clave Privada o el Par de Claves no ha sido importado en cert.jks o no es válido. Otros tipos de errores dan la misma pantalla con otro código de error.
Echa un vistazo a este código de error. Tiene que ver con el certificado y algo con él que va mal.
Suele ser porque uno de los campos del certificado no es válido o está en blanco. Eche un vistazo a las propiedades y a la solicitud de su certificado.
Verifique que todos los campos son correctos. Informe a la sección cómo hacer una Solicitud para más información.

4. Aviso sobre TSplus y el servidor web Microsoft IIS

Consulte nuestra documentación sobre el uso de IIS con TSplus

Sin embargo, aquí hay una información importante sobre “IIS” y los certificados:

Cuando se utiliza “IIS”, el certificado tiene que ser instalado en el almacén de claves “cert.jks”. Esto debe hacerse de la misma manera que si estuviéramos usando el Servidor Web de TSPlus, y como se describe en el capítulo anterior.

No hay que enlazar el puerto 443 HTTPS en “IIS”, ya que es el servidor web de TSPlus el que gestiona el protocolo HTTPS, el certificado y su cifrado.
No hay que crear ningún enlace “bind” en el puerto 443. Por lo tanto, “IIS” sólo debe tener vinculado el puerto 81.

Podemos utilizar la herramienta de solicitud de “IIS” “IIS Request Tool” para crear la clave privada y la solicitud de CA. Es sencillo exportar la Clave Privada desde IIS (IIS/Sitio predeterminado/Certificados) en el formato “.pfx” e importarla en “cert.jks” como se describe en el capítulo anterior.

Nota: Puede utilizar esta herramienta de prueba de Servidor “SSL” para validar la buena calidad de un portal web en “HTTPS”.