Llaves privadas

Generar una llave RSA

Utilizamos la opción genrsa

# usa una llave de 512-bit de forma predeterminada y muestra en la salida estándar

openssl genrsa
              

# llave de 1024-bit key y el resultado en cert.key

openssl genrsa -out cert.key 1024
              

# igual que antes pero cifrado con contraseña

openssl genrsa -des3 -out cert.key 1024
              

Generar una llave RSA pública

La opción rsa produce una versión pública de la llave privada RSA:

openssl rsa -in cert.key -pubout
              

Generar una llave DSA

La generación de una llave DSA requiere un fichero de parámetros y las operaciones de verificación son más lentas que las correspondientes a las llaves RSA.

Si sólo quiere generar unasimple llave DSA, puede hacerlo en un solo paso mediante la suborden dsaparam.

# la llave se llama dsakey.pem

openssl dsaparam -noout -out dsakey.pem -genkey 1024
              

Si por otro lado pretende cear varias llaves DSA, es probable que antes le interese crear un fichero de parámetros compartido. Construir los parámetros se lleva su tiempo pero la generación se hace mucho más rápida.

# parámetros en dsaparam.pem

openssl dsaparam -out dsaparam.pem 1024
              

# creamos la primera llave

openssl gendsa -out key1.pem dsaparam.pem
              

# y el resto, ...

openssl gendsa -out key2.pem dsaparam.pem
              

Eliminar una contraseña de una llave

Si el certificado lo utiliza un demonio, no es conveniente que las llaves estén protegidas con contraseña salvo que queramos introducir la contraseña cada vez que iniciamos el demonio. Si ya tenemos la llave con contraseña podemos desencriptarla para eliminar la necesidad de contraseña. El mecanismo depende del sistema de cifrado empleado.

Lo que haremos será crear una nueva versión de la llave sin contraseña.

# se le solicitará la contraseña por última vez

openssl rsa -in key.pem -out newkey.pem
              

Con frecuencia se almacenan las llave privada y el certificado en el mismo fichero. En este caso tenemos que seguir dos pasos:

# hay que introducir la contraseña

openssl rsa -in mycert.pem -out newcert.pem
openssl x509 -in mycert.pem >>newcert.pem