As autoridades de certificação (CAs) gerenciam as solicitações de certificado e os certificados de emissão para entidades participantes como hosts, dispositivos de rede ou usuários. As CAs fornecem gerenciamento centralizado de chaves para as entidades participantes.

Assinaturas digitais, baseadas em criptografia de chave pública, autenticar digitalmente dispositivos e usuários individuais. Na criptografia de chave pública, como o sistema de criptografia RSA, cada dispositivo ou usuário possui um par de chaves que contém uma chave privada e uma chave pública. A chave privada é mantida em segredo e é conhecida apenas pelo próprio dispositivo ou usuário. No entanto, a chave pública é conhecida por todos. Qualquer coisa criptografada com uma das chaves pode ser descriptografada com a outra. Uma assinatura é formada quando os dados são criptografados com a chave privada de um remetente. O destinatário verifica a assinatura descriptografando a mensagem com a chave pública do remetente. Esse processo depende do destinatário ter uma cópia da chave pública do remetente e saber com um alto grau de certeza de que ele realmente pertence ao remetente e não a alguém pode ser o remetente.

Os certificados digitais vinculam a assinatura digital ao remetente. Um certificado digital contém informações para identificar um usuário ou dispositivo, como o nome, número de série, empresa, departamento ou endereço IP. Ele também contém uma cópia da chave pública da entidade. A CA que assina o certificado é de terceiros que o destinatário confia explicitamente para validar identidades e criar certificados digitais.

Para validar a assinatura da CA, o destinatário deve primeiro saber a chave pública da CA. Normalmente, esse processo é tratado fora da banda ou através de uma operação feita durante a instalação. Por exemplo, a maioria dos navegadores da web são configurados com as chaves públicas de vários CAs por padrão.

O modelo de confiança de PKI é hierárquico com várias CAs confiáveis configuráveis. Você pode configurar cada dispositivo participante com uma lista de CAs confiáveis para que uma certificado par/certificado de mesmo nível obtida durante as trocas de protocolo de segurança possa ser autenticada se ele foi emitido por uma das CAs confiáveis localmente. O software NX-OS da Cisco armazena localmente a auto-certificado raiz da CA confiável (ou cadeia de certificados para uma CA subordinada). O processo de obter com segurança uma conta de certificado raiz confiável (ou de toda a cadeia no caso de uma CA subordinada) e armazenar localmente é chamado de autenticação CA.

As informações sobre uma CA confiável que você configurou são chamadas de ponto de confiança e a própria CA é chamada de CA de ponto deconfiança. Esta informação consiste em um certificado de ca (ou cadeia de certificados no caso de uma CA subordinada) e informações de verificação de revogação de certificados.

O dispositivo Cisco NX-OS também pode se inscrever com um ponto de confiança para obter um certificado de identidade e associar-se a um par de chaves. Este ponto de confiança é chamado de CA deidentidade.

Você pode obter um certificado de identidade gerando um ou mais pares de chaves RSA e associando cada par de chaves RSA com uma CA de ponto de confiança onde o dispositivo Cisco NX-OS pretende se inscrever. O dispositivo Cisco NX-OS precisa de apenas uma identidade por CA, que consiste de um par de chaves e um certificado de identidade por CA.

O software Cisco NX-OS permite que você gere pares de chaves RSA com um tamanho de chave configurável (ou modulus). O tamanho padrão da chave é 512. Você também pode configurar um rótulo de emparelhamento de chaves RSA. O rótulo da chave padrão é o rótulo do nome de domínio totalmente qualificado (FQDN).

A lista a seguir resume a relação entre os pontos de confiança, os pares principais RSA e os certificados de identidade:

• Um ponto de confiança corresponde a uma CA específica na primeira vez em que o dispositivo Cisco NX-OS confia para certificado par/certificado de mesmo nível verificação de qualquer aplicativo (como OSS).

• Um dispositivo Cisco NX-OS pode ter muitos pontos de confiança e todos os aplicativos no dispositivo podem confiar em certificado par/certificado de mesmo nível problemas emitidos por qualquer um dos pontos de confiança CAs.

• Um ponto de confiança não está restrito a um aplicativo específico.

• Um dispositivo Cisco NX-OS se inscreve na CA que corresponde ao ponto de confiança para obter um certificado de identidade. Você pode inscrever seu dispositivo com vários pontos de confiança, o que significa que você pode obter um certificado de identidade separado a partir de cada ponto de confiança. Os certificados de identidade são usados por aplicativos dependendo das finalidades especificadas no certificado pela CA de emissão. A finalidade de um certificado é armazenada no certificado como uma extensão de certificado.

• Ao se inscrever com um ponto de confiança, você deve especificar um par de chaves RSA para ser certificado. Este par de chaves deve ser gerado e associado ao ponto de confiança antes de gerar a solicitação de inscrição. A associação entre o ponto de confiança, o par de chaves e o certificado de identidade é válida até ser explicitamente removida excluindo o certificado, o par de chaves ou o ponto de confiança.

• O nome do assunto no certificado de identidade é o nome de domínio totalmente qualificado para o dispositivo Cisco NX-OS.

• Você pode gerar um ou mais pares de chaves RSA em um dispositivo e cada um pode ser associado a um ou mais pontos de confiança. Mas não mais de um par de chaves pode ser associado a um ponto de confiança, o que significa que apenas um certificado de identidade é permitido de um CA.

• Se o dispositivo Cisco NX-OS obter vários certificados de identidade (cada um de uma CA distinta), o certificado que um aplicativo seleciona para usar em uma troca de protocolo de segurança com um colega é específico do aplicativo.

• Você não precisa designar um ou mais pontos de confiança para um aplicativo. Qualquer aplicativo pode usar qualquer certificado emitido por qualquer ponto de confiança, desde que a finalidade do certificado satisfaça os requisitos do aplicativo.

• Você não precisa de mais de um certificado de identidade de um ponto de confiança ou mais de um par de chaves para estar associado a um ponto de confiança. Uma CA certifica uma determinada identidade (ou nome) apenas uma vez e não em questões de vários certificados com o mesmo nome. Se você precisar de mais de um certificado de identidade para uma CA e se a CA permitir vários certificados com os mesmos nomes, você deve definir outro ponto de confiança para a mesma CA, associar outro par de chaves a ele e certificado.

O dispositivo Cisco NX-OS pode confiar em vários CAs configurando vários pontos de confiança e associando cada um com uma CA distinta. Com vários CAs confiáveis, você não precisa increva um dispositivo com a CA específica que emitiu o certificado a um par. Em vez disso, você pode configurar o dispositivo com várias CAs confiáveis nas quais o colega confia. O dispositivo Cisco NX-OS pode então usar uma CA confiável configurada para verificar os certificados recebidos de um par que não foram emitidos pela mesma CA definida na identidade do dispositivo de pares.

Inscrição é o processo de obtenção de um certificado de identidade para o dispositivo que é usado para aplicativos como o SSH. Isso ocorre entre o dispositivo que solicita o certificado e a autoridade de certificado.

O dispositivo Cisco NX-OS executa as seguintes etapas ao executar o processo de inscrição PKI:

• Gera um par de chaves públicas e privadas RSA no dispositivo.

• Gera uma solicitação de certificado em formato padrão e a encaminha para a CA.

O administrador de CA pode ser obrigado a aprovar manualmente a solicitação de inscrição no servidor de CA, quando a solicitação for recebida pela CA.

• Recebe o certificado emitido de volta da CA, assinado com a chave privada da CA.

• Grava o certificado em uma área de armazenamento nãovolatile no dispositivo (bootflash).

O software Cisco NX-OS suporta recuperação de certificado e inscrição usando atalho manual. Inscrição cortar e colar significa que você deve cortar e colar as solicitações de certificados e os certificados resultantes entre o dispositivo e a CA.

Você deve executar os seguintes passos ao usar o corte e colar no processo manual de inscrição:

• Crie uma solicitação de certificado de inscrição, que o dispositivo Cisco NX-OS exibe no formulário de texto codificado em base64.

• Cortar e colar o texto da solicitação do certificado codificado em um e-mail ou em um formulário da web e enviá-lo para a CA.

• Receba o certificado emitido (no formulário de texto codificado base64) da CA em um e-mail ou em um download do navegador da web.

• Cortar e colar o certificado emitido no dispositivo usando o recurso de importação de certificado.

As CAs de identificação múltipla permitem que o dispositivo se inscreva com mais de um ponto de confiança, o que resulta em vários certificados de identidade, cada um de uma CA distinta. Com esse recurso, o dispositivo Cisco NX-OS pode participar no SSH e em outros aplicativos com muitos pares usando certificados emitidos por CAs que são aceitáveis para esses pares.

O recurso múltiplos pares de chaves RSA permite que o dispositivo mantenha um par de chaves distintos para cada CA com o qual está inscrito. Ela pode corresponder aos requisitos de políticas para cada CA sem conflitar com os requisitos especificados pelos outros CAs, como o comprimento da chave. O dispositivo pode gerar vários pares de chaves RSA e associar cada par de chaves a um ponto de confiança distintos. A partir de então, ao se inscrever com um ponto de confiança, o par de chaves associado é usado para construir a solicitação de certificado.

O suporte PKI em um dispositivo Cisco NX-OS pode verificar certificados de pares. O software Cisco NX-OS verifica os certificados recebidos de pares durante trocas de segurança para aplicativos, como o SSH. Os aplicativos verificam a validade dos certificados de pares. O software Cisco NX-OS executa os seguintes passos ao verificar certificados de pares:

• Verifica se a certificado par/certificado de mesmo nível foi emitido por um dos CAs confiáveis localmente.

• Verifica se a certificado par/certificado de mesmo nível é válida (não expirou) com relação à hora atual.

• Verifica se a certificado par/certificado de mesmo nível ainda não foi revogada pela CA de emissão.

Para verificação de revogação, o software Cisco NX-OS suporta a lista de revogação de certificados (CRL). Um ponto de confiança CA pode usar este método para verificar se a certificado par/certificado de mesmo nível foi revogada.

O software Cisco NX-OS pode verificar o status de revogação dos certificados de CA. Os aplicativos podem usar os mecanismos de verificação de revogação na ordem especificada. As escolhas são CRL, nenhuma ou uma combinação desses métodos.

Como parte do processo de autenticação e inscrição de CA, o certificado subordinado CA (ou cadeia de certificados) e certificados de identidade podem ser importados no formato PEM padrão (base64).

As informações de identidade completas em um ponto de confiança podem ser exportadas para um arquivo no formato padrão PKCS#12 protegido por senha. Mais tarde, ele pode ser importado para o mesmo dispositivo (por exemplo, após uma falha do sistema) ou para um dispositivo de substituição. As informações em um arquivo PKCS#12 consistem no par de chaves RSA, no certificado de identidade e no certificado de CA (ou cadeia).

Você pode garantir que a configuração do trustpoint persista com as reinicializações dos dispositivos Cisco NX-OS.

A configuração do ponto de confiança é uma configuração normal do dispositivo Cisco NX-OS que persiste entre as reinicializações do sistema somente se você copiá-lo explicitamente para a configuração de inicialização. Os certificados, os pares de chaves e a CRL associados a um ponto de confiança são automaticamente persistentes se você já tiver copiado a configuração do ponto de confiança na configuração de inicialização. Por outro lado, se a configuração do ponto de confiança não for copiada para a configuração de inicialização, os certificados, os pares de chaves e o CRL associados a ele não serão persistentes, pois exigirão a configuração do ponto de confiança correspondente após uma reinicialização. Copie sempre a configuração em execução para a configuração de inicialização para garantir que os certificados configurados, os pares de chaves e os CRLs sejam persistentes. Além disso, salve a configuração em execução depois de excluir um certificado ou um par de chaves para garantir que as exclusões permanentes.

Os certificados e CRL associados a um ponto de confiança tornam-se automaticamente persistentes quando importados (ou seja, sem copiar explicitamente para a configuração de inicialização) se o ponto de confiança específico já estiver salvo na configuração de inicialização.

Recomendamos que você crie um backup protegido por senha dos certificados de identidade e salve-os em um servidor externo.

Copiar a configuração para um servidor externo inclui os certificados e os pares de chaves.