Fundamentos de la línea de comandos de OpenSSL

El comando "openssl version -a" muestra la versión de OpenSSL, la fecha de compilación, el compilador y las opciones configuradas. Verificar la versión es importante porque las capacidades y los valores predeterminados criptográficos difieren considerablemente entre OpenSSL 1.0.x, 1.1.x y 3.x. Muchos algoritmos antiguos están deshabilitados de forma predeterminada en las versiones más recientes por motivos de seguridad.

El comando "openssl genrsa -out private.pem 4096" genera una clave privada RSA de 4096 bits en formato PEM. Para uso en producción, 2048 bits es el mínimo, 3072 bits proporcionan una seguridad de aproximadamente 128 bits y 4096 bits ofrecen un margen adicional. Las claves pueden cifrarse con AES en reposo si se añade "-aes256" al comando, que solicitará una frase de contraseña.

Las claves de curva elíptica se generan en dos pasos. Primero, "openssl ecparam -name prime256v1 -genkey -noout -out ec_private.pem" genera una clave privada EC mediante la curva P-256. Como alternativa, puede usar "openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out ec_private.pem", que emplea la interfaz genpkey más reciente y es la opción preferida para el código nuevo.

El contenido de las claves puede inspeccionarse con "openssl rsa -text -noout -in private.pem" para las claves RSA; el comando muestra el módulo, el exponente público y los factores primos. Para las claves EC, "openssl ec -text -noout -in ec_private.pem" muestra el nombre de la curva y el valor de la clave. La opción "-noout" suprime la salida codificada en PEM.

OpenSSL puede generar bytes aleatorios criptográficamente seguros: "openssl rand -hex 32" muestra 32 bytes aleatorios en hexadecimal (64 caracteres hexadecimales), adecuados para generar claves simétricas o nonces. "openssl rand -base64 32" muestra bytes aleatorios codificados en Base64. Para ello utiliza la fuente de entropía del sistema operativo (/dev/urandom en sistemas Unix).

El comando "openssl dgst" calcula resúmenes de mensajes: "openssl dgst -sha256 file.txt" calcula el hash SHA-256 de un archivo. "openssl dgst -sha256 -hmac key file.txt" calcula un HMAC-SHA256. "openssl dgst -sha256 -sign private.pem -out sig.bin file.txt" crea una firma digital sobre el archivo.

El cifrado simétrico de archivos utiliza "openssl enc -aes-256-cbc -pbkdf2 -in plaintext.txt -out encrypted.bin". La opción "-pbkdf2" utiliza PBKDF2 para derivar la clave a partir de la frase de contraseña, en sustitución del obsoleto EVP_BytesToKey. Para descifrar: "openssl enc -d -aes-256-cbc -pbkdf2 -in encrypted.bin -out decrypted.txt". Para código nuevo, se prefieren los modos AEAD, como AES-256-GCM.

Los certificados y las claves existen en dos formatos de codificación. PEM está codificado en Base64 e incluye líneas de encabezado y pie (-----BEGIN CERTIFICATE-----); lo utilizan la mayoría de las herramientas de Unix. DER es una codificación binaria que utilizan Java y Windows. Para convertir de PEM a DER: "openssl x509 -inform PEM -outform DER -in cert.pem -out cert.der". Para convertir de DER a PEM, invierta las opciones -inform/-outform.

Para verificar una firma digital: "openssl dgst -sha256 -verify public.pem -signature sig.bin file.txt". Primero debe extraerse la clave pública: "openssl rsa -pubout -in private.pem -out public.pem". Para la verificación basada en certificados, "openssl verify -CAfile ca.pem cert.pem" comprueba el certificado con la cadena de CA especificada.

La inspección de certificados es una de las tareas más habituales con OpenSSL: "openssl x509 -text -noout -in cert.pem" muestra todos los campos del certificado, incluidos el sujeto, el emisor, las fechas de validez, los SAN y las extensiones. "openssl x509 -enddate -noout -in cert.pem" muestra únicamente la fecha de expiración, lo que resulta útil en scripts de monitorización.

"openssl s_client -connect example.com:443 -servername example.com" establece una conexión TLS y muestra la cadena de certificados del servidor, la versión de TLS negociada y el conjunto de cifrado. Al añadir "-showcerts" se muestran todos los certificados de la cadena. Esto resulta muy útil para depurar problemas de la cadena de certificados, problemas con la versión de TLS y el stapling de OCSP.

¿Qué hace el comando "openssl genrsa -aes256 -out private.pem 2048"?

OpenSSL proporciona comandos para generar claves (genrsa, genpkey), convertir formatos (PEM/DER), generar datos aleatorios (rand), calcular hashes y firmar (dgst), cifrar archivos (enc), inspeccionar certificados (x509 -text), verificar cadenas (verify) y depurar TLS (s_client). Estas funciones cubren la gran mayoría de las tareas cotidianas relacionadas con certificados y criptografía.