0

Para instalar los certificados de seguridad de un sitio web, tienes distintos formatos de importación.

Existe el PKCS#12, el cual es un archivo que se genera combinando tu llave privada, el archivo crt y el archivo ca-bundle de tu certificado.

Para crear el archivo PKCS#12 se usa el siguiente comando en linux:

openssl pkcs12 -export -out *your certificate*.pfx -inkey *your certificate*.key -in *your certificate*.crt -certfile *your certificate*.ca-bundle -name "unifi"

¿como podria ejecutar este mismo comando pero utilizando la funcion openssl_pkcs12_export de PHP?

El problema es que no puedo utilizar exec en el hosting donde alojo mi programa y ademas no se como configurar los valores de cada certificado dentro de los parámetros de la función.

1 respuesta 1

2

La función, como habrás visto en la documentación, que no explica gran cosa, tiene el footprint

openssl_pkcs12_export(
   $cert,
   $pfx_contenido, 
   $private_key, 
   $pfx_password,
   [ 'extracerts' => $extracerts]
);

Donde

  • $cert es un string con el certificado X509 en formato pem.
  • $pfx_contenido es la variable que alojará el contenido del pfx
  • $private_key es un string con la llave privada en formato pem
  • $pfx_password es la clave que quieras ponerle al contenido del pfx (puede ser null)
  • El parámetro final es un array de opciones que es donde iría, si deben ir, los CAcerts con la llave extracerts, cuyo valor puede ser un string o un arreglo de strings si es una cadena de autoridad de más de un certificado

Para revisar la forma que deben tener estos strings, dado que en tu ambiente de desarrollo sí puedes ejecutar openssl, sugiero que hagas primero el proceso inverso:

openssl_pkcs12_read($pfx_contenido, $certs, $pfx_password)

Que llenará $certs con un array de tres llaves

dump($certs);

array:3 [
  "cert" => """
    -----BEGIN CERTIFICATE-----\n
    MIIGdDCCBVygAwIBAgIDAvmEMA0GCSqGSIb3DQEBCwUAMIGmMQswCQYDVQQGEwJD\n
    TDEYMBYGA1UEChMPQWNlcHRhLmNvbSBTLkEuMUgwRgYDVQQDEz9BY2VwdGEuY29t\n
    IEF1dG9yaWRhZCBDZXJ0aWZpY2Fkb3JhIENsYXNlIDIgUGVyc29uYSBOYXR1cmFs\n
    IC0gRzQxHjAcBgkqhkiG9w0BCQEWD2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMK\n
    OTY5MTkwNTAtODAeFw0xOTAyMjExMzM4NDBaFw0yMjAyMjExMzM4NDBaMIGMMQsw\n
    CQYDVQQGEwJDTDEYMBYGA1UEDBMPUEVSU09OQSBOQVRVUkFMMSowKAYDVQQDEyFG\n
    RUxJUEUgRVNURUJBTiBGSUdVRVJPQSBGQUdBTkRJTkkxIjAgBgkqhkiG9w0BCQEW\n
    E2ZmaWd1ZXJvYUBjd
    """…1797
  "pkey" => """
    -----BEGIN PRIVATE KEY-----\n
    MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQDdyXFlQq0CG2PQ\n
    h0E2Ox5zt8xrLhUvbcv+kUMzKiPCUtOLnMLfRNGApHgfewdxdVDgUNn5CGHpbZxd\n
    KmJgL8zEh5NkFkAAidiZrB4ywcVI1VMvsfN60dJoY2U3F7py3/rWALEfb0jh5/ro\n
    jBQwoIaFeoR5cFuZ5HBJnZ8FzpalC9nyvrCArqXLOtqe+5hAcqNaJFjLjk+5iAzX\n
    cBxtUjq7j45wXh6be00mlCuWTIbBPRFHWD9XUgTyqR7SXVf6APwkYrqHGO9TlnIq\n
    VnWzSt7/Sq4YAt5RcSIbCFb/Gt8Vklj/ppCaSHnNFgHn241ZMnOMDWS9JQFxg2g8\n
    d9gnhnvnAgMBAAECggEASY+r/cMMsRs2kw6ZcYxQQF9g/NevDSkktQ2nNUwvyh9A\n
    rRjUhctElZ93fDGJO
    """…1204
  "extracerts" => array:2 [
    0 => """
      -----BEGIN CERTIFICATE-----\n
      MIIGAjCCBOqgAwIBAgIBATANBgkqhkiG9w0BAQsFADCBkzELMAkGA1UEBhMCQ0wx\n
      GDAWBgNVBAoTD0FjZXB0YS5jb20gUy5BLjE1MDMGA1UEAxMsQWNlcHRhLmNvbSBB\n
      dXRvcmlkYWQgQ2VydGlmaWNhZG9yYSBSYWl6IC0gRzQxHjAcBgkqhkiG9w0BCQEW\n
      D2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMKOTY5MTkwNTAtODAeFw0xNjA2MjEx\n
      NDE0NTlaFw0zNjA2MjExNDE0NTlaMIGTMQswCQYDVQQGEwJDTDEYMBYGA1UEChMP\n
      QWNlcHRhLmNvbSBTLkEuMTUwMwYDVQQDEyxBY2VwdGEuY29tIEF1dG9yaWRhZCBD\n
      ZXJ0aWZpY2Fkb3JhIFJhaXogLSBHNDEeMBwGCSqGSIb3DQEJARYPaW5mb0BhY2Vw\n
      dGEuY29tMRMwEQYDV
      """…1643
    1 => """
      -----BEGIN CERTIFICATE-----\n
      MIIGFTCCBP2gAwIBAgIBCTANBgkqhkiG9w0BAQsFADCBkzELMAkGA1UEBhMCQ0wx\n
      GDAWBgNVBAoTD0FjZXB0YS5jb20gUy5BLjE1MDMGA1UEAxMsQWNlcHRhLmNvbSBB\n
      dXRvcmlkYWQgQ2VydGlmaWNhZG9yYSBSYWl6IC0gRzQxHjAcBgkqhkiG9w0BCQEW\n
      D2luZm9AYWNlcHRhLmNvbTETMBEGA1UEBRMKOTY5MTkwNTAtODAeFw0xNjA2MjEx\n
      NDE0NTlaFw0zNjA2MjExNDE0NTlaMIGmMQswCQYDVQQGEwJDTDEYMBYGA1UEChMP\n
      QWNlcHRhLmNvbSBTLkEuMUgwRgYDVQQDEz9BY2VwdGEuY29tIEF1dG9yaWRhZCBD\n
      ZXJ0aWZpY2Fkb3JhIENsYXNlIDIgUGVyc29uYSBOYXR1cmFsIC0gRzQxHjAcBgkq\n
      hkiG9w0BCQEWD2luZ
      """…1671
  ]
]

Lo que obtengas de ello puedes escribirlo en sus respectivos archivos, aunque no se me ocurre cómo guardar los ca_certs en un solo archivo como no sea concatenando con alguna convención (ej doble o triple salto de línea) cosa de que, cuando se haga el proceso de leer el archivo para generar el pfx en producción, sea trivial explotar ese string.

Otros tipos de parámetros aceptados

En la sección Key/Certificate parameters se menciona además que no solamente puedes pasar strings a esta función. También puedes pasarle un resource o la ruta a un archivo PEM. En el caso de resource podría ser:

    // certificado
    $crtResource = openssl_x509_read($cert);

    // llave privada
    $privateKeyResource = openssl_get_privatekey($private_key, $password | null);

ojo, el password de la llave privada no tiene por qué ser el mismo que el del pfx. En el ejemplo que puse al principio la llave se obtiene leyendo el pfx y se recibe sin password.

¿Para qué molestarse envolviendo los strings perfectamente válidos $cert y $private_key? Se me ocurre que es porque a partir de PHP8 esas funciones devuelven una instancia de OpenSSLCertificate y OpenSSLAsymmetricKey, las cuales permiten más typechecking que el resource genérico.

1
  • Saludos, muchas gracias por una respuesta de gran calidad, termine haciendo un preg_match de los certificados pero no lo publique como respuesta correcta (estaba en un comentario de php.net).
    – Dev 200
    Commented el 11 mar. 2021 a las 21:18

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.