Claves y certificados generados

Al generar una CA en EJBCA, se generan hasta tres claves y certificados:

• Un par de claves y un certificado de firma de CA

• Un par de claves de cifrado, utilizado para cifrar la información de recuperación de claves

• Un par de claves de firmante OCSP y un certificado

Al usar claves ECDSA, el par de claves de firma de la CA y el par de claves de firmante de OCSP serán del tipo de clave ECDSA que seleccione al crear la CA. El certificado de firma de la CA y el de OCSP se firmarán con el algoritmo de firma seleccionado. El par de claves de cifrado siempre será RSA, con una longitud de clave de 1024 o 2048 bits. Utiliza la longitud de clave establecida en la interfaz gráfica de usuario (GUI) o, por defecto, 2048 bits mediante la CLI.

Uso de ECDSA con un HSM

Tenga en cuenta que la clave keyEncryptKey no puede ser ECDSA, sino una clave RSA. Su HSM debe ser compatible con claves ECDSA y RSA. Puede usar PKCS11HSMKeyTool de clientToolBox para generar claves y solicitudes de certificado desde un HSM. Para obtener más información, consulte la sección sobre parámetros de propiedades de HSM.

Curvas con nombre ECC frente a parámetros explícitos

Normalmente, se generan solicitudes y certificados utilizando curvas con nombre codificadas en certificados y solicitudes; esto es lo que recomienda el IETF. En algunos casos, es necesario generar la solicitud y el certificado con parámetros explícitos; por ejemplo, la OACI exige su uso en CSCA y DS para pasaportes electrónicos.

• Al generar solicitudes con clientToolBox PKCS11HSMKeyTool certreq, puede especificar un indicador para usar parámetros explícitos en lugar de curvas con nombre. Las curvas con nombre son la opción predeterminada.

• Al crear CA con ejbca.sh ca init, puede especificar un indicador para usar parámetros explícitos en lugar de curvas con nombre. Las curvas con nombre son la opción predeterminada.

• Cuando EJBCA emite un certificado con claves públicas a partir de solicitudes de certificado (CSR), la clave del certificado será la misma que la de la CSR. Si la CSR utiliza parámetros explícitos, también los utilizará el certificado emitido.

Si genera una CA con parámetros ECC explícitos en el certificado de CA, no podrá ejecutar comandos como 'ejbca.sh ca listcas', ya que Java solo admite curvas con nombre al serializar certificados. Puede solucionar esto añadiendo el proveedor de BC como primer proveedor:

Después de editar esto (asegúrese de editar el archivo correcto) debe reiniciar JBoss.

Curvas con nombre

EJBCA admite las curvas compatibles con BouncyCastle, incluyendo curvas con nombre de NIST, SEC y X9.62. Es posible que se admitan nuevas curvas sin actualizar esta lista; pruébelo. Para más información sobre las curvas ECDSA, consulte la wiki de Bouncycastle .

Tenga en cuenta que EJBCA no admite claves EC de menos de 224 bits. Las curvas más cortas se indican a continuación solo como referencia.

Curvas CA implícitas

X9.62 ofrece tres alternativas para los parámetros que se pueden encontrar en una clave pública EC. Una de ellas se denomina implicitlyCA e indica que los parámetros se definen en otro lugar, implícitamente en el nombre de la autoridad de certificación (CA) que emitió la clave. En este caso, los parámetros reales aparecen en la codificación ASN.1 de la clave como un valor NULL codificado en DER. Como indica la definición, al usar la clave, los parámetros deberán provenir de otro lugar. En EJBCA, los parámetros se configuran en conf/cesecore.properties .

Al crear una nueva CA utilizando la función implicitlyCA, primero configure los parámetros de curva en conf/cesecore.properties y emita los comandos:

• limpieza de hormigas

• despliegue de hormigas

Tras reiniciar el servidor de aplicaciones, puede crear una nueva CA con el nombre implicitlyCA en lugar de un nombre de curva como keyspec en la interfaz gráfica de usuario o la CLI de administración. El certificado de la CA se creará con la codificación NULL de la clave pública.

Al emitir certificados de cliente donde la clave pública del cliente usa implicitlyCA, debe permitir una longitud de clave 0 en el perfil del certificado, porque EJBCA no puede leer la longitud de clave, ya que los parámetros se definen en otro lugar.

Consulte la wiki de Bouncycastle para obtener más información sobre la función implicitlyCA.

Los parámetros de curva en conf/cesecore.parameters se configuran en Bouncycastle usando el siguiente código:

Creación de certificados de cliente

También puede emitir solicitudes normales de certificados de cliente utilizando claves ECDSA.

Todos los certificados firmados por una CA ECDSA utilizarán naturalmente firmas ECDSA, independientemente de si las claves del cliente son RSA o ECDSA.

Al generar claves de cliente por lotes mediante el comando de la CLI "bin/ejbca.sh batch", se configura el tipo de claves de cliente que se generarán en el archivo conf/batchtool.properties . Los parámetros posibles se explican allí. Si se utiliza la función implicitlyCA, se utilizan los mismos parámetros configurados para la CA en conf/cesecore.properties .

Limitaciones

Al usar el modo implicitlyCA, solo se puede establecer un conjunto de parámetros de curva para toda la instancia EJBCA. Esto significa que si varias CA usan ECDSA con implicitlyCA , todas usarán los mismos parámetros de curva. Puede combinar implicitlyCA con curvas con nombre según sus preferencias.