Certificados X.509

Os certificados X.509 são documentos digitais que representam um utilizador, computador, serviço ou dispositivo. Uma autoridade certificadora (CA), CA subordinada ou autoridade de registo emite certificados X.509. Os certificados contêm a chave pública do assunto do certificado. Não contêm a chave privada do sujeito, que deve ser armazenada de forma segura. A RFC 5280 documenta certificados de chave pública, incluindo os seus campos e extensões. Os certificados de chave pública são assinados digitalmente e normalmente contêm a seguinte informação:

• Informação sobre o tema do certificado
• A chave pública que corresponde à chave privada do sujeito
• Informação sobre a CA emissora
• Os algoritmos de encriptação e/ou assinatura digital suportados
• Informação para determinar o estado de revogação e validade do certificado

Campos de certificado

Existem três versões incrementais do padrão de certificado X.509, e cada versão subsequente adicionou campos de certificado ao padrão:

• A Versão 1 (v1), publicada em 1988, segue a norma inicial X.509 para certificados.
• A Versão 2 (v2), publicada em 1993, adiciona dois campos aos campos incluídos na Versão 1.
• A versão 3 (v3), publicada em 2008, representa a versão atual do padrão X.509. Esta versão adiciona suporte para extensões de certificado.

Esta secção destina-se a ser uma referência geral para os campos de certificados e extensões de certificados disponíveis nos certificados X.509. Para mais informações sobre campos de certificado e extensões de certificados, incluindo tipos de dados, restrições e outros detalhes, consulte a especificação RFC 5280 .

Campos da versão 1

A tabela seguinte descreve os campos de certificado da Versão 1 para certificados X.509. Todos os campos incluídos nesta tabela estão disponíveis em versões subsequentes do certificado X.509.

Campos da versão 2

A tabela seguinte descreve os campos adicionados para a Versão 2, contendo informações sobre o emissor do certificado. No entanto, estes campos são raramente utilizados. Todos os campos incluídos nesta tabela estão disponíveis em versões subsequentes do certificado X.509.

Campos da versão 3

A tabela seguinte descreve o campo adicionado para a Versão 3, representando uma coleção de extensões de certificados X.509.

Prorrogações de certificados

As extensões de certificados, introduzidas com a Versão 3, fornecem métodos para associar mais atributos a utilizadores ou chaves públicas e para gerir relações entre autoridades certificadoras. Para mais informações sobre extensões de certificados, consulte a secção de Extensões de Certificados da especificação RFC 5280 .

Extensões padrão

A norma X.509 define as extensões incluídas nesta secção, para utilização na infraestrutura de chave pública da Internet (PKI).

Extensões privadas da Internet

As extensões incluídas nesta secção são semelhantes às extensões padrão e podem ser usadas para direcionar candidaturas para informações online sobre o CA emissor ou o objeto do certificado.

Formatos de certificado

Os certificados podem ser guardados em vários formatos. Hub IoT do Azure autenticação utiliza tipicamente os formatos Privacy-Enhanced Mail (PEM) e Personal Information Exchange (PFX). A tabela seguinte descreve ficheiros e formatos mais usados para representar certificados.

Certificados autoassinados

Pode autenticar um dispositivo no seu hub IoT para fins de teste usando dois certificados auto-assinados. Este tipo de autenticação é por vezes chamado de autenticação por impressão digital porque os certificados são identificados por valores de hash calculados chamados impressões digitais ou impressões digitais. Estes valores de hash calculados são usados pelo Hub IoT para autenticar os seus dispositivos.

Criar um certificado autoassinado

Você pode usar OpenSSL para criar certificados autoassinados. Os passos seguintes mostram-lhe como executar comandos OpenSSL num bash shell para criar um certificado auto-assinado e obter uma impressão digital do certificado que pode ser usada para autenticar o seu dispositivo no Hub IoT.

1. Execute o comando seguinte para gerar uma chave privada e criar um ficheiro de chave privada (.key) codificado em PEM, substituindo os seguintes marcadores pelos respetivos valores. A chave privada gerada pelo comando seguinte utiliza o algoritmo RSA com encriptação de 2048 bits.

   {FicheiroChave}. O nome do teu ficheiro de chave privada.

   openssl genpkey -out {KeyFile} -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   

2. Execute o comando seguinte para gerar um pedido de assinatura de certificado PKCS #10 (CSR) e crie um ficheiro CSR (.csr), substituindo os seguintes marcadores de posição pelos respetivos valores. Certifique-se de especificar o ID do dispositivo IoT para o seu certificado auto-assinado quando solicitado.

   {FicheiroChave}. O nome do teu ficheiro de chave privada.

   {CsrFile}. O nome do teu ficheiro CSR.

   {DeviceID}. O nome do seu dispositivo IoT.

   openssl req -new -key {KeyFile} -out {CsrFile}
   
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:{DeviceID}
   Email Address []:.
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:.
   An optional company name []:.
   

3. Execute o comando seguinte para examinar e verificar o seu CSR, substituindo os seguintes marcadores pelos respetivos valores.

   {CsrFile}. O nome do seu ficheiro de certificado.

   openssl req -text -in {CsrFile} -verify -noout
   

4. Execute o seguinte comando para gerar um certificado auto-assinado e crie um ficheiro de certificado codificado em PEM (.crt), substituindo os seguintes marcadores pelos respetivos valores. O comando converte e assina o seu CSR com a sua chave privada, gerando um certificado auto-assinado que expira em 365 dias.

   {FicheiroChave}. O nome do teu ficheiro de chave privada.

   {CsrFile}. O nome do teu ficheiro CSR.

   {CrtFile}. O nome do seu ficheiro de certificado.

   openssl x509 -req -days 365 -in {CsrFile} -signkey {KeyFile} -out {CrtFile}
   

5. Execute o comando seguinte para recuperar a impressão digital do certificado, substituindo os seguintes marcadores pelos respetivos valores. A impressão digital de um certificado é um valor de hash calculado que é único para esse certificado. Precisa da impressão digital para configurar o seu dispositivo IoT no Hub IoT para testes.

   {CrtFile}. O nome do seu ficheiro de certificado.

   openssl x509 -in {CrtFile} -noout -fingerprint
   

Verificar o certificado manualmente após o upload

Quando carrega o seu certificado de autoridade certificadora raiz (CA) ou certificado CA subordinado para o seu hub IoT, pode optar por verificar automaticamente o certificado. Se não optaste por verificar automaticamente o teu certificado durante o carregamento, o teu certificado é mostrado com o estado definido como Não Verificado. Deve realizar os seguintes passos para verificar manualmente o seu certificado.

1. Selecione o certificado para visualizar o diálogo Detalhes do Certificado .

2. Selecione Gerar Código de Verificação no diálogo.

   

3. Copie o código de verificação para a área de transferência. Deve usar este código de verificação como sujeito do certificado nos passos seguintes. Por exemplo, se o código de verificação for 75B86466DA34D2B04C0C4C9557A119687ADAE7D4732BDDB3, adicione-o como assunto do seu certificado, conforme mostrado no passo seguinte.

4. Existem três formas de gerar um certificado de verificação:

   • Se estiver a usar o script PowerShell fornecido pela Microsoft, execute New-CACertsVerificationCert "<verification code>" para criar um certificado chamado VerifyCert4.cer, substituindo <verification code> pelo código de verificação gerado anteriormente. Para obter mais informações, consulte Gerenciando certificados de CA de teste para exemplos e tutoriais no repositório GitHub para o SDK de Dispositivo do Hub IoT do Azure para C.

   • Se estiver a usar o script Bash fornecido pela Microsoft, execute ./certGen.sh create_verification_certificate "<verification code>" para criar um certificado chamado verification-code.cert.pem, substituindo <verification code> pelo código de verificação gerado anteriormente. Para mais informações, consulte Gerir certificados de CA de teste para exemplos e tutoriais no repositório GitHub para o Hub IoT do Azure Device SDK for C.

   • Se estiver a usar OpenSSL para gerar os seus certificados, deve primeiro gerar uma chave privada e depois gerar um ficheiro de pedido de assinatura de certificados (CSR). No exemplo seguinte, substitua <verification code> pelo código de verificação gerado anteriormente:

   openssl genpkey -out pop.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   
   openssl req -new -key pop.key -out pop.csr
   
   -----
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:<verification code>
   Email Address []:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:
   

   Depois, crie um certificado usando o ficheiro de configuração apropriado para a CA raiz ou para a CA subordinada, e o ficheiro CSR. O exemplo seguinte demonstra como usar o OpenSSL para criar o certificado a partir de um ficheiro de configuração raiz da CA e do ficheiro CSR.

   openssl ca -config rootca.conf -in pop.csr -out pop.crt -extensions client_ext
   

   Para mais informações, consulte o Tutorial - Criar e carregar certificados para testes.

5. Selecione o novo certificado na vista Detalhes do Certificado .

6. Depois de o certificado carregar, selecione Verificar. O estado do certificado deve mudar para Verificado.

Para obter mais informações

Para mais informações sobre os certificados X.509 e como são usados no Hub IoT, consulte os seguintes artigos:

• O guia para leigos do jargão do certificado X.509
• Compreenda como os certificados de CA X.509 são usados em IoT