Las autoridades de emisión de certificados (CA) administran solicitudes de certificados y emiten certificados a entidades participantes como organizadores, dispositivos de red o usuarios. Las CA proporcionan una administración centralizada de las claves para las entidades que participan.

Firmas digitales, basadas en la criptografía de la clave pública, autentican digitalmente los dispositivos y los usuarios individuales. En la criptografía de la clave pública, como el sistema de cifrado RSA, cada dispositivo o usuario tiene un par de claves que contiene tanto una clave privada como una clave pública. La clave privada se mantiene en secreto y solo es conocida por el dispositivo o el usuario propietario. Sin embargo, la clave pública es conocida por todos. Todo lo que esté cifrado con una de las claves se puede descifrar con el otro. Se forma una firma cuando se cifran los datos con la clave privada de un remitente. El receptor verifica la firma descifrando el mensaje con la clave pública del remitente. Este proceso depende de que el receptor tenga una copia de la clave pública del remitente y sepa con un alto grado de certeza que realmente pertenece al remitente y no a alguien que finja ser el remitente.

Los certificados digitales vinculan la firma digital con el remitente. Un certificado digital contiene información para identificar a un usuario o dispositivo, como el nombre, el número de serie, la empresa, el departamento o la dirección IP. También contiene una copia de la clave pública de la entidad. La CA que firma el certificado es una entidad de terceros en la que el receptor confía explícitamente para validar identidades y para crear certificados digitales.

Para validar la firma de la CA, el receptor primero debe conocer la clave pública de la CA. Generalmente, este proceso se maneja fuera de la banda o a través de una operación realizada en la instalación. Por ejemplo, la mayoría de los exploradores web se configuran con las claves públicas de varias CA de manera predeterminada.

El modelo de confianza PKI es jerárquico con varias CA de confianza configurables. Puede configurar cada dispositivo que participa con una lista de CA de confianza para que se autentique un certificado de la otra parte obtenido durante los intercambios de protocolos de seguridad si fue emitido por una de las CA de confianza local. El software de Cisco NX-OS almacena localmente la certificado raíz de firma automática de la CA de confianza (o cadena de certificados para una CA subordinada). El proceso para obtener en forma segura el certificado raíz de una CA de confianza (o toda la cadena en el caso de una CA subordinada) y almacenarla en forma local se denomina autenticación de CA.

La información sobre una CA de confianza que ha configurado se denomina punto de confianza y la propia CA se denomina CA de punto de confianza. Esta información se compone de un certificado de CA (o cadena de certificados en caso de una CA subordinada) y información de comprobación de revocación de certificados.

El dispositivo Cisco NX-OS también puede inscribirse con un punto de confianza para obtener un certificado de identidad para asociarlo con un par de claves. Este punto de confianza se llama CA de identidad.

Puede obtener un certificado de identidad al generar uno o más pares de claves RSA y asociar cada par de claves RSA con una CA de punto de confianza en la que el dispositivo Cisco NX-OS desea inscribirse. El dispositivo Cisco NX-OS solo necesita una identidad por CA, que consta de un par de claves y un certificado de identidad por CA.

El software de Cisco NX-OS le permite generar pares de claves RSA con un tamaño de clave configurable (o util). El tamaño de clave predeterminado es 512. También puede configurar una etiqueta de par de claves RSA. La etiqueta de clave predeterminada es la información sobre nombre de dominio completamente calificado dispositivo (FQDN).

La siguiente lista resume la relación entre los puntos de confianza, los pares de claves RSA y los certificados de identidad:

• Un punto de confianza corresponde a una CA específica en la que confía el dispositivo Cisco NX-OS para la certificado de la otra parte de cualquier aplicación (como SSH).

• Un dispositivo Cisco NX-OS puede tener muchos puntos de confianza y todas las aplicaciones del dispositivo pueden confiar en un certificado de la otra parte haya sido emitido por cualquiera de las CA de punto de confianza.

• Un punto de confianza no está restringido a una aplicación específica.

• Un dispositivo Cisco NX-OS se inscribe en la CA que se corresponda con el punto de confianza para obtener un certificado de identidad. Puede inscribir su dispositivo con varios puntos de confianza, lo que significa que puede obtener un certificado de identidad por separado desde cada punto de confianza. Las aplicaciones utilizan los certificados de identidad según los propósitos especificados en el certificado por la CA que emite los certificados. El propósito de un certificado se almacena en el certificado como extensión del certificado.

• Al inscribirse en un punto de confianza, debe especificar un par de claves RSA para estar certificado. Este par clave debe generarse y asociarse al punto de confianza antes de generar la solicitud de inscripción. La asociación entre el punto de confianza, el par de claves y el certificado de identidad es válida hasta que se elimina explícitamente eliminando el certificado, el par de claves o el punto de confianza.

• El nombre de sujeto en el certificado de identidad es la nombre de dominio completamente calificado correspondiente al dispositivo Cisco NX-OS.

• Puede generar uno o más pares de claves RSA en un dispositivo y cada uno se puede asociar a uno o más puntos de confianza. Pero no se puede asociar más de un par de claves a un punto de confianza, lo que significa que solo se permite un certificado de identidad desde una CA.

• Si el dispositivo Cisco NX-OS obtiene varios certificados de identidad (cada uno de una CA distinta), el certificado que una aplicación selecciona para utilizar en un intercambio de protocolos de seguridad con un par es específico de la aplicación.

• No es necesario que designe uno o más puntos de confianza para una aplicación. Cualquier aplicación puede utilizar cualquier certificado emitido por cualquier punto de confianza siempre que el propósito del certificado satisfaga los requisitos de la aplicación.

• No necesita más de un certificado de identidad de un punto de confianza o más de un par de claves para asociarse a un punto de confianza. Una CA certifica una sola vez una identidad (o un nombre) determinada y no emite varios certificados con el mismo nombre. Si necesita más de un certificado de identidad para una CA y si la CA permite varios certificados con el mismo nombre, debe definir otro punto de confianza para la misma CA, asociar otro par de claves y certificado.

El dispositivo Cisco NX-OS puede confiar en varias CA al configurar varios puntos de confianza y asociar cada uno con una CA distinta. Con varias CA de confianza, no tiene que inscribir un dispositivo en la CA específica que emitió el certificado a un par. En cambio, puede configurar el dispositivo con varias CA de confianza en las que confía el par. El dispositivo Cisco NX-OS puede utilizar una CA de confianza configurada para verificar los certificados recibidos de un par que no fueron emitidos por la misma CA definidos en la identidad del dispositivo pares.

La inscripción es el proceso de obtención de un certificado de identidad para el dispositivo que se utiliza para aplicaciones como SSH. Ocurre entre el dispositivo que solicita el certificado y la autoridad de certificados.

El dispositivo Cisco NX-OS realiza los siguientes pasos al realizar el proceso de inscripción PKI:

• Genera un par de claves privadas y públicas RSA en el dispositivo.

• Genera una solicitud de certificado en formato estándar y la reenvía a la CA.

Es posible que el administrador de CA deba aprobar manualmente la solicitud de inscripción en el servidor de CA, cuando la CA reciba la solicitud.

• Recibe el certificado emitido de nuevo de la CA, firmado con la clave privada de la CA.

• Escribe el certificado en un área de almacenamiento no válido en el dispositivo (bootflash).

El software Cisco NX-OS es compatible con la recuperación e inscripción de certificados mediante la función de cortar y pegar manualmente. La inscripción de cortar y pegar significa que debe cortar y pegar las solicitudes de certificados y los certificados resultantes entre el dispositivo y la CA.

Al utilizar cortar y pegar en el proceso de inscripción manual, debe realizar los siguientes pasos:

• Cree una solicitud de certificado de inscripción, que el dispositivo Cisco NX-OS muestra en formato de texto codificado en base64.

• Cortar y pegar el texto de solicitud de certificado codificada en un correo electrónico o en un formulario web y enviarlo a la CA.

• Reciba el certificado emitido (en formato de texto codificado en base64) de la CA en un correo electrónico o en una descarga de explorador web.

• Cortar y pegar el certificado emitido en el dispositivo utilizando la instalación de importación de certificados.

Las CA de varias identidades permiten que el dispositivo se inscriba con más de un punto de confianza, lo que genera varios certificados de identidad, cada uno de ellos de una CA distinta. Con esta característica, el dispositivo Cisco NX-OS puede participar en SSH y otras aplicaciones con muchos pares mediante certificados emitidos por ca ca que son aceptables para esos pares.

La característica de varios pares de claves RSA permite al dispositivo mantener un par de claves distinto para cada CA en la que está inscrito. Puede coincidir con los requisitos de las políticas para cada CA sin conflictos con los requisitos especificados por las otras CA, como la longitud de la clave. El dispositivo puede generar varios pares de claves RSA y asociar cada par de claves con un punto de confianza distinto. A partir de ese momento, al inscribirse en un punto de confianza, se utiliza el par de claves asociado para construir la solicitud de certificado.

El soporte PKI en un dispositivo Cisco NX-OS puede verificar certificados de pares. El software de Cisco NX-OS verifica los certificados recibidos de pares durante intercambios de seguridad para aplicaciones, como SSH. Las aplicaciones verifican la validez de los certificados del par. El software Cisco NX-OS realiza los siguientes pasos al verificar certificados de pares:

• Verifica que la certificado de la otra parte emite una de las CA de confianza local.

• Verifica que la certificado de la otra parte sea válida (no caducada) con respecto a la hora actual.

• Verifica que la CA que certificado de la otra parte aún no ha revocado el archivo.

Para la verificación de revocación, el software de Cisco NX-OS es compatible con la lista de revocación de certificados (CRL). Una CA de punto de confianza puede utilizar este método para verificar que el certificado de la otra parte haya sido revocado.

El software de Cisco NX-OS puede comprobar el estado de revocación de los certificados de CA. Las aplicaciones pueden usar los mecanismos de verificación de revocación en el orden que usted especifique. Las opciones son CRL, ninguna o una combinación de estos métodos.

Como parte del proceso de autenticación e inscripción de CA, el certificado de CA subordinado (o cadena de certificados) y los certificados de identidad se pueden importar en formato PEM estándar (base64).

La información de identidad completa en un punto de confianza se puede exportar a un archivo en el formato estándar PKCS#12 protegido por contraseña. Luego se puede importar al mismo dispositivo (por ejemplo, después de que un sistema se bloquea) o a un dispositivo de reemplazo. La información en un archivo PKCS#12 consta del par de claves RSA, el certificado de identidad y el certificado de CA (o cadena).

Puede asegurarse de que la configuración del punto de confianza persista en los reinicios del dispositivo Cisco NX-OS.

La configuración del punto de confianza es una configuración normal de dispositivos Cisco NX-OS que continúa en todos los reinicios del sistema solo si la copia explícitamente en la configuración de inicio. Los certificados, pares de claves y CRL asociados con un punto de confianza son automáticamente persistentes si ya ha copiado la configuración del punto de confianza en la configuración de inicio. Por el contrario, si la configuración del punto de confianza no se copia a la configuración de inicio, los certificados, pares de claves y CRL asociados con él no son persistentes, ya que requieren la configuración del punto de confianza correspondiente después de un reinicio. Copie siempre la configuración en ejecución en la configuración de inicio para asegurarse de que los certificados, pares de claves y CRLs configurados sean persistentes. Además, guarde la configuración en ejecución después de eliminar un certificado o un par de claves para asegurarse de que la eliminación sea permanente.

Los certificados y la CRL asociados con un punto de confianza se vuelven automáticamente persistentes cuando se importan (es decir, sin copiar explícitamente a la configuración de inicio) si el punto de confianza específico ya se guarda en la configuración de inicio.

Le recomendamos que cree una copia de seguridad protegida con contraseña de los certificados de identidad y que las guarde en un servidor externo.

Copiar la configuración a un servidor externo incluye los certificados y pares de claves.