Criptografía asimétrica en OpenSSL - Llave encriptada

Por Darío Rivera

Publicado el 2019-08-21 en OpenSSL

En post anteriores hemos visto conceptualmente cómo funciona la criptografía asimétrica y cómo encriptar mensajes de dos formas distintas (con llave pública o privada) y con objetivos distintos (confidencialidad o autenticidad). Si aún no conoces de que va todo esto, en los siguientes enlaces podrás encontrar toda la información necesaria para estar al corriente de lo que veremos en el post del día de hoy.

- Criptografía asimétrica en OpenSSL - Llave pública
- Criptografía asimétrica en OpenSSL - Llave privada

Cómo ya hemos visto, el comando genrsa nos permite crear nuestra propia llave privada de la cuál se deriva la que también es nuestra llave pública. Sin embargo, qué sucede si se te ocurre guardar tu llave secreta en una usb stick y por cuestiones del destino te la roban o alguién más se hace con ella ?. Pues en el peor de los casos te roba tu identidad digital, esta persona podría enviar mensajes auténticos en nombre tuyo o descifrar aquellos que te han sido enviados y encriptados con tu llave pública. Cómo mejoramos la seguridad de nuestra llave privada para que no sea suceptible a este tipo de adversidades ?. La respuesta es encriptar nuestra llave privada.

Cuando se protege una llave privada con un algoritmo de cifrado cada vez que se quiera encriptar o desencriptar un mensaje con esta llave se nos solicitará dicha clave. Esto significa que será de muy poca ayuda que alguien más posea nuestra llave privada encriptada puesto que no sabrá nuestro password. Veamos pues como encriptar nuestra llave privada. Pero antes que nada, generemos un par nuevo de llaves pública y privada.

Generación de las llaves

Para generar las llaves privada y pública podemos hacer uso de los siguientes comandos:

openssl genrsa -out key.pem 1024
openssl rsa -in key.pem -pubout -out pub-key.pem

Después de generar la llave pública (pub-key.pem) y privada (key.pem) podemos proceder a encriptar nuestra llave privada con una clave segura.

Encriptación de la llave privada

Para encriptar la llave privada vamos a hacer uso del algoritmo de cifrado triple des (3-des). Tú puedes utilizar el algoritmo de cifrado de tu preferencia, lo que importa realmente en este post es que el password de encriptación sea seguro. Uno de los algoritmos más utilizados y seguros es el AES128 (-aes128).

openssl rsa -in key.pem -des3 -out enc-key.pem

Enseguida se nos solicitará el password con el cuál será encriptada la llave privada.

writing RSA key
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:

El producto final es el archivo enc-key.pem y su contenido será similar al que se muestra a continuación.

Encriptación con llave pública

Para encriptar un mensaje en el archivo message.txt con la llave pública pub-key.pem debemos utilizar el comando openssl rsautl con la opción -encrypt.

openssl rsautl -encrypt -inkey pub-key.pem -pubin -in message.txt -out message.enc

El producto de esta ejecución es el archivo message.enc el cuál podrá ser desencriptado con el mismo comando con la opción -decrypt.

openssl rsautl -decrypt -inkey enc-key.pem -in message.enc -out message.dec

El contenido del archivo message.dec contendrá el mensaje original.

Encriptación con llave privada (encriptada)

Para encriptar un mensaje en el archivo message.txt con la llave privada enc-key.pem debemos utilizar el comando openssl rsautl con la opción -encrypt.

openssl rsautl -inkey enc-key.pem -in message.txt -sign > message.enc

El producto de esta ejecución es el archivo message.enc el cuál podrá ser desencriptado con el mismo comando de la siguiente manera utilizando nuestra llave pública.

openssl rsautl -inkey pub-key.pem -pubin -in message.enc -out message.dec

El contenido del archivo message.dec contendrá el mensaje original.

Generación de las llaves

Encriptación de la llave privada

Encriptación con llave pública

Encriptación con llave privada (encriptada)

Categorías