Certificados y entidades certificadoras de andar por casa

Un blog muy recomendable es el de Vicente Navarro , al que siempre termino acudiendo por su chuleta sobre la creación de los certificados SSL para montar tu propia autoridad certificadora y crearte los certificados SSL basados en ella.

La chuleta se resume en tres pasos: 'CA.pl -newca', 'CA.pl -newreq-nodes' y 'CA.pl -sign' que utilizan el script de Tim Hudson y Steve Henson que viene en Debian en el openssl (en Fedora Core 20 no lo he encontrado).

Capa SSL agregada

Le puse, por fin, la capa SSL al servidor web que tiene instalado el mini-pc (que todavía sigue sin nombre). Así que ahora todos los servicios del wake-on-lan, subversion y otros, pasan a través del servidor seguro, evitando  ojos indiscretos que hagan inspección de paquetes.

El servidor seguro solo está en el mini-pc (que hace de front-end). Las comunicaciones entre el mini-pc y el servidor web local, se hace en HTTP sin utilizar SSL. Doy por supuesto que la intranet local de casa es los suficientemente segura, evitando una segunda sobrecarga SSL en las peticiones que se le hagan al proxy instalado en el mini-pc.

He cambiado el puerto del router sobre el que se hace NAT (antes era el 80), utilizando el 443 (HTTPS) para la comunicación router-minipc. Como el puerto 443 lo usaba para el SSH, el SSH queda publicado al exterior por el 80.

Auto certificados certificantes

Habia sido un engorro el generar los certificados SSL y los certificados de la 'supuesta entidad certificadora' que sirven para certificar el primer certificado generado previamente.

Al final, es más facil de lo que parece, pero sigue siendo una gran comedura de tarro, porque para tener un certificado SSL autocertificado, se hacen dos más. (Certificado normal, Certificado de Autoridad Certificado, y Certificado final, a partir del primero y firmado por el segundo).

¿Tengo que repetirlo? Tendría que pedir el comodín del público, porque ni me acuerdo de lo que he dicho.