Comandos básicos para manejarse con openssl

Ver información directamente desde internet:

openssl s_client -showcerts -connect blog.ciberterminal.net:443

openssl x509 -text -in cert.crt

openssl req -noout -text -in cert.csr

La key no tiene info, solo se puede ver si se corresponde con un certificado, para ello podemos ver la info de un crt y de la key y ver si son iguales, por ejemplo:

openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5

Debería darnos la misma suma md5. A lo rápido podemos usar:

if [ `openssl x509 -noout -modulus -in server.crt | openssl md5` = `openssl rsa -noout -modulus -in server.key | openssl md5` ] ; \
then echo "La suma coincide" ; else echo "La suma NO COINCIDE!"; fi

openssl x509 -text -in cert.pem

openssl pkcs12 -info -in keyStore.p12

cat server.key server.crt > server.pem

openssl x509 -inform DER -outform PEM -in cs.atlasit.com.cer -out cs.atlasit.com.crt

openssl x509 -in input.crt -out input.der -outform DER

openssl x509 -in input.crt -out input.der -outform DER
openssl x509 -in input.der -inform DER -out output.pem -outform PEM

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

Cuando tengamos una keyfile encriptada con password (

-des3

) cada vez que reiniciemos el apache, pedirá password, con esto generamos una nueva key sin password:

openssl rsa -in file.key -out newfile.key

En caso de que lo que tengamos es un pem (crt+key), se tiene que hacer en 2 pasos:

openssl rsa -in cert.pem -out newcert.pem
openssl x509 -in cert.pem >> newcert.pem

ssh-keygen -t rsa -b 2048

ssh-keygen -l -f id_rsa

Donde id_rsa es la priv key

ssh-keygen -p -f id_rsa

ssh-keygen -y -f ~/.ssh/id_rsa

ssh-copy-id -i ~/.ssh/id_rsa user@host

ssh -o "StrictHostKeyChecking no" -l user HOST

o

ssh -o StrictHostkeyChecking=no -l user HOSTS

También se puede añadir al .ssh/config, por supuesto.

Para ello necesitamos java, por supuesto, por lo que el path puede cambiar:

keytool -list -v -keystore keystore

Puede que pida password del keystore, puede ser “changeit”, “zimbra” u otro diferente que habrá que “adivinar”

keytool -import -keystore KEYSTORE.jks -storepass "changeit" -file MYCERT.crt

keytool -delete -alias mydomain -keystore keystore.jks

gsk7cmd -certs -list -db KDBFILE.kdb  -pw PASSWORD_DEL_KDB

Para “ver” el password del kdb, podemos recurrir al passwordfile o stash-file que normalmente se configura en el producto que estamos tratando. Más abajo pongo un script para “desencriptar” el password del stash-file.

gsk7cmd -cert -details  -label "IDENTIFICADOR_DEL_CERTIFICADO"  -db KDBFILE.kdb -pw PASSWORD_DEL_KDB

Donde IDENTIFICADOR_DEL_CERTIFICADO es el nombre del certificado que obtenemos de la lista.

Podemos obtener todavía más información añadiendo la flag -showOID:

gsk7cmd -cert -details -showOID -label "IDENTIFICADOR_DEL_CERTIFICADO"  -db KDBFILE.kdb -pw PASSWORD_DEL_KDB

gawk 'BEGIN {found = 0}; \$0=="-----BEGIN CERTIFICATE-----" {found = 1}; {if (found==1) print \$0}' ${CER_FILE} > ${ARM_CER_FILE}

vi unstash.pl

use strict;

die "Usage: $0 <stash file>\n" if $#ARGV != 0;

my $file=$ARGV[0];
open(F,$file) || die "Can't open $file: $!";

my $stash;
read F,$stash,1024;

my @unstash=map { $_^0xf5 } unpack("C*",$stash);

foreach my $c (@unstash) {
    last if $c eq 0;
    printf "%c",$c;
}
printf "\n";

Se puede ejecutar de forma habitual: perl unstash.pl STASH-FILE.sth

• Los comandos más usados para java keytool
• Mega-Howto con muchos comandos por el estilo
• ibm howto para gsk7