Introducción

EJBCA admite el protocolo EST según se define en RFC 7030. La compatibilidad con EST se agregó en la versión 6.11 de EJBCA.

EST proporciona un protocolo básico para la inscripción y gestión de certificados similar a SCEP, con las siguientes ventajas distintivas:

• Mientras que SCEP se comunica a través de HTTP y garantiza la integridad envolviendo la carga útil en un sobre criptográfico, las solicitudes EST siempre se realizan a través de TLS y, por lo tanto, son inherentemente seguras.

• EST admite ECC, mientras que SCEP no.

• Mientras que SCEP requiere un secreto compartido para autenticar los CSR, en EST la autenticación es implícita al negocia la conexión TLS.

• La renovación del certificado es una parte integral del EST, mientras que en el SCEP es más bien una cuestión de último momento.

• Si bien no es compatible con EJBCA, EST admite la generación de claves del lado del servidor, algo que SCEP no hace.

EJBCA puede funcionar en los siguientes modos con EST:

• Modo cliente : El modo cliente funciona como cualquier otra inscripción en EJBCA. Cuando se recibe una solicitud, EJBCA la verifica y emite un certificado a un usuario previamente registrado en EJBCA (preautorizado). El contenido del certificado se basa (de forma predeterminada) en los datos prerregistrados en lugar de los datos de la solicitud, aunque se puede utilizar la función de anulación en los perfiles de certificado.

• Modo RA : Se utiliza cuando el cliente EST actúa como RA para EJBCA, donde la RA envía una solicitud de certificado a EJBCA, esperando que la CA emita un certificado con aproximadamente el contenido solicitado. Ningún usuario se prerregistra en EJBCA, pero cuando llegan mensajes EST de RA autenticados, se crea un usuario en EJBCA y se emite un certificado.

Operaciones apoyadas

Se admiten las siguientes operaciones en EST:

Una solicitud con una operación no compatible dará como resultado una respuesta HTTP no encontrada (404) del servidor.

Configuración EST