Blog de Alexis Abarca

Al instalar Windows el sistema crea un certificado autofirmado para la conexión al Escritorio Remoto, por lo que al conectarse saldrá un mensaje de advertencia similar al siguiente (diciendo que el certificado no es de confianza además)

Si tienes un certificado para el nombre de host del servidor puedes instalarlo y que el sistema lo use para la conexión de escritorio remoto.

Primero debes instalar el certificado en el almacén de certificados del sistema, tiene que estar en formato .pfx, le haces doble clic y en el primer paso seleccionas “Equipo local”

Luego debes confirmar el nombre de archivo, la password y el almacen. Para el caso del almacen debes seleccionar el personal.

Una vez importado el certificado debes correr este comando en una terminal como administrador para que el servicio de escritorio remoto utilice el nuevo certificado.

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash=»?4c8eecd1def69d2b67f7f0f4de0ec00fa6b6f806«

Debes reemplazar el hash del comando (en cursiva) por el correspondiente a tu certificado, lo puedes obtener en las propiedades, tab detalles, debes quitar los espacios primero.

Puedes confirmar el cambio con este comando, el hash que salga debe corresponder al de tu certificado

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Get SSLCertificateSHA1Hash

Finalmente debes reiniciar el equipo o el servicio para aplicar los cambios. Puedes confirmar la instalación conectandote y comprobando que no sale la advertencia y además saldrá un ícono de candado, el que al hacerle clic saldrá este cuadro.

Los programas firmados digitalmente permiten demostrar el origen del mismo, ademas de que se puede detectar si ha sido modificado ya sea intencionalmente o si de descargo incorrectamente.

Para firmar necesitas tres cosas:

• Un certificado digital importado en el almacen de windows
• El programa signtool.exe que es el asistente para firmado
• Y el ejecutable a firmar

Signtool viene en el SDK de Windows y en el Visual Studio, pero si no tienes ninguno de esos dos programas no vas a descargar entre 400 MB y >1 GB para tener el ejecutable que pesa 74 KB asi que lo he subido a Dropbox.

Descargar signtool.exe

signtool.exe no requiere instalacion, solo debes descargarlo a cualquier carpeta. Para ejecutarlo debes crear un acceso directo o ejecutarlo desde la terminal ya que el asistente grafico requiere pasarle un parametro al signtool.

• Hace clic derecho y selecciona “Crear acceso directo”
• Sobre el acceso directo abre las propiedades y en la parte “Destino” agrega “signwizard” al final de la ruta como sale en la imagen

• Ahora ejecutalo, saldra la primera ventana

• Presiona siguiente, ahora debes seleccionar el programa a firmar

• Ahora debes elegir “Tipica”

• En esta ventana presiona “Seleccionar de almacen” y elige el certificado importado, se despliega el cuadro de certificados de Windows donde salen todos los certificados disponibles

• Ingresa una descripcion del programa y la URL del sitio web. Ambos campos son opcionales

• Si ademas de firmar los datos quieres agregarle una marca de tiempo marca la casilla y abajo pone cualquiera de estas dos URL

http://tsa.starfieldtech.com/
http://timestamp.verisign.com/scripts/timstamp.dll

• Presiona Finalizar

• Si la clave privada esta con contraseña o confirmacion te la pedira

• Listo

Ahora en las propiedades del ejecutable aparece la ficha Firmas digitales con la firma recien realizada y al poner propiedades salen los detalles

Enjoy!

Google Chrome en Ubuntu no dispone de un administrador de certificados para agregar certificados raiz de confianza o certificados cliente SSL, en las opciones solamente sale un link a esta pagina: http://code.google.com/p/chromium/wiki/LinuxCertManagement

Si has creado un CA interno, para evitar los mensajes de advertencia como este debes seguir los siguientes pasos:

Instalar el programa para gestionar los certificados

sudo apt-get install libnss3-tools

Luego agrega el certificado con este comando

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n <nombre certificado> -i <archivo del certificado>

Donde <nombre certificado> es el nombre que tiene el certificado y <archivo> el archivo del certificado (.cer/.pem/.crt). Luego de esto el certificado quedara instalado y no saldra el mensaje de advertencia.

Para instalar un certificado cliente ejecuta este comando

pk12util -d sql:$HOME/.pki/nssdb -i <archivo>.p12

Y para eliminar un certificado

certutil -d sql:$HOME/.pki/nssdb -D -n <nombre certificado>