Criando chaves RSA usando OpenSSL

Criar uma chave privada para a assinatura de tokens não precisa ser um mistério. Recentemente, escrevi sobre o uso do OpenSSL para criar chaves adequadas para criptografia de curvas elípticas (ECC), e neste artigo, vou mostrar como fazer o mesmo para chaves privadas e públicas RSA, adequadas para geração de assinaturas com RSASSA-PKCS1-v1_5 e RSASSA-PSS.

tl;dr - OpenSSL RSA Cheat Sheet

# generate a private key with the correct length
openssl genrsa -out private-key.pem 3072

# generate corresponding public key
openssl rsa -in private-key.pem -pubout -out public-key.pem

# optional: create a self-signed certificate
openssl req -new -x509 -key private-key.pem -out cert.pem -days 360

# optional: convert pem to pfx
openssl pkcs12 -export -inkey private-key.pem -in cert.pem -out cert.pfx

Gerando uma chave privada RSA usando OpenSSL

Você pode gerar uma chave privada RSA usando o seguinte comando:

openssl genrsa -out private-key.pem 3072

Neste exemplo, usei um comprimento chave de 3072 bits. Embora 2048 seja o comprimento mínimo da chave suportado por especificações como JOSE,recomenda-se que você use 3072. Isso lhe dá segurança de 128 bits. Este comando também usa um expoente de 65537, que você provavelmente já viu serializado como “AQAB”.

Isso lhe dá um arquivo PEM contendo sua chave privada RSA, que deve se parecer com o seguinte:

Criando uma chave pública RSA a partir de uma chave privada usando openssl

Agora que você tem sua chave privada, você pode usá-la para gerar outro arquivo PEM, contendo apenas sua chave pública.

openssl rsa -in private-key.pem -pubout -out public-key.pem

Isso deve lhe dar outro arquivo PEM, contendo a chave pública:

Criando um certificado auto-assinado RSA usando openssl

Agora que você tem uma chave privada, você pode usá-la para gerar um certificado auto-assinado. Isso não é necessário, mas permite que você use a chave para autenticação de servidor/cliente ou ganhe funcionalidade específica X509 em tecnologias como JWT e SAML.

openssl req -new -x509 -key private-key.pem -out cert.pem -days 360

Isso gerará novamente mais um arquivo PEM, desta vez contendo o certificado criado pela sua chave privada:

Você pode deixar as coisas lá, mas muitas vezes, ao trabalhar no Windows, você precisará criar um arquivo PFX que contenha o certificado e a chave privada para você exportar e usar.

Você pode fazer isso usando o comando pkcs12 do OpenSSL:

openssl pkcs12 -export -inkey private-key.pem -in cert.pem -out cert.pfx

O OpenSSL pedirá que você crie uma senha para o arquivo PFX. Sinta-se livre para deixar isso em branco.

Isso deve deixá-lo com um certificado do que o Windows pode instalar e exportar a chave privada RSA.

Saiba Mais

Para saber mais sobre o uso da RSA, confira meu artigo focado no JOSE “Qual algoritmo de assinatura devo usar?”.

Para uma alternativa ao acima que usa um comando OpenSSL mais novo e o formato PKCS#8, confira openssl genpkey.

Autor: Scott Brady

Artigo Original