Introducción al servicio y soporte

El ASIC proporciona al resto de la comunidad universitaria un servicio de certificados SSL gratuito para los equipos inventariados y localizados en la red de la universidad.

Para acceder a este servicio es necesario:

Que el equipo donde se instale el certificado esté inventariado y ubicado la red local de la universidad.
Puede solicitar el certificado cualquier responsable técnico del equipo.

Si tiene preguntas que no han sido respondidas en la documentación recuerde puede contactar con soporte a través de la aplicación Poli[Consulta]; https://policonsulta.upv.es/

Tipos de certificados SSL que se pueden solicitar

Los certificados SSL son archivos digitales que sirven para identificar un recurso o un servidor bajo un nombre DNS.

El uso más extendido es para configurar HTTPs en servidores web. Por ejemplo "https://miservidor.upv.es/". Sin embargo, también es compatible con otros muchos servicios.

Dentro de los certificados SSL, hay varios tipos;

DV (domain validate) - son los certificados que se pueden solicitar por este servicio.
OV (organization validate) - contacte con soporte con antelación si necesita un certificado de este tipo.
EV (extended validation) - no se pueden solicitar mediante este servicio.
IGTF o tipo GRID - certificados especiales para equipos de investigación. Contacte con soporte antes de solicitar este certificado.

Certificados IGTF o tipo GRID

Contacte con soporte con antelación si necesita un certificado tipo GRID o IGTF

Solicitud de un certificado SSL

Todo el proceso de solicitud de un certificado SSL consta de estos pasos:

Generar el CSR previamente (paso optativo y recomendado).
Introducir la solicitud a través de un formulario en la web de Harica.
Esperar a que un gestor apruebe la solicitud.
Recoger el fichero de certificado de la web de Harica.
Instalarlo en el servidor.

Paso 1. Generar el CSR (optativo y recomendado)

Existen dos posibilidades de gestión de la clave privada del certificado; generarla nosotros mismos (opción recomendada) o delegar en Harica la generación de la clave privada.

Si deseamos generar y controlar nosotros la clave privada del certificado realizaremos los pasos de este apartado. En caso contrario, si deseamos delegar en Harica la generación de la clave privada, no se realizará este paso y se continuará directamente con el paso 2.

Paso 1.1 Revisar o modificar el fichero .conf

En nuestro ejemplo para silvestre.upv.es

Se han cambiado los ficheros certificado.conf para que el nombre principal salga también como nombre alternativo.

En este caso el fichero de configuración queda así:

certifcado.conf

HOME= .

#--------------------------------------------------------------------- 
[ req ]
string_mask = utf8only
default_bits = 2048
default_keyfile = certificado.key
default_md = sha256
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no
 
[ req_distinguished_name ]
C = ES
# En caso de certificados Grid quitad los acentos a la UPV porque se detectan problemas
O  = "Universitat Politècnica de València" 
CN = silvestre.upv.es
 
[ req_ext ]
basicConstraints  = CA:FALSE
keyUsage = digitalSignature,keyEncipherment
extendedKeyUsage = serverAuth,clientAuth
 
subjectAltName = @alt_names
 
[alt_names]
DNS.0 = silvestre.upv.es

Paso 1.2 Generar la clave privada

Paso 1.3 Generar el CSR

Paso 2. Introducir la solicitud en la página web de Harica

Paso 2.1 Entrar en la web de Harica

Entramos a la página de Harica en esta dirección;

http://www.upv.es/id/336

Este enlace redirige a la página de solicitud de certificados, que en el contrato actual corresponde con la web de Harica https://cm.harica.gr

En la página de login, escogeremos la opción "Academic Login"

Escribimos "upv" y seleccionamos "UPV - Universitat Politècnica de València"

Nos llevará a la página de login de la UPV, donde utilizaremos nuestras credenciales para iniciar sesión.

Si todo ha ido bien llegaremos a la siguiente página de Harica;

Paso 2.2 Rellenar los datos de la solicitud

En el menú de la izquierda pulsamos sobre la opción "SERVER"

Podemos poner el nombre que queramos;

Si hemos realizado el paso 1 pulsaremos el botón "IMPORT" para introducir el CSR que hemos generado anteriormente.

Si después de importar el fichero CSR, el sistema no reconoce automáticamente los nombres, se debe a que el CSR no tiene el formato adecuado. En concreto, este error es debido a que el nombre de dominio principal no está incluido en el apartado [alt_names]. Vuelva a generar el CSR con especial atención en el paso 1.1.

Si no hemos realizado el paso 1, rellenaremos a mano los nombres de dominio para los que se emitirá el certificado. IMPORTANTE; evite demoras innecesarias indicando sólo los dominios a los que está autorizado. Sólo se aprobarán aquellas solicitudes cuyos nombres de dominio estén asociados a equipos responsabilidad del solicitante, según la aplicación corporativa de inventario. Si tiene dudas, contacte con soporte antes de realizar la solicitud.

Seleccione "DOMAIN ONLY (DV)" y pulse el botón "NEXT"

Lea las condiciones legales del servicio, y si está conforme con todas ellas, marque el recuadro correspondiente y el botón "NEXT"

Si hemos realizado el paso 1 utilizaremos el botón "SUBMIT CSR MANUALLY" e introduciremos (de nuevo) el CSR que hemos generado.

Si no hemos realizado el paso 1, con los siguientes datos.

Elija entre el algoritmo RSA o ECDSA.
- ECDSA es el más moderno, ofrece mejor rendimiento y es el recomendado por sus ventajas.
- RSA es compatible con todos los sistemas, incluso con los sistemas antiguos.
- Si no sabe cuál escoger, elija RSA.

Todas las opciones de "key size" son válidas excepto ~~RSA 2048~~.

RSA 2048 bits

RSA 2048 no está autorizado por el CCN para su uso en AAPP. No lo utilice.

Escriba una contraseña de mínimo 8 caracteres. Anótela en una ubicación temporal, la necesitará más adelante para instalar el certificado en el servidor.

En la siguiente ventana pulse el enlace "DOWNLOAD" para descargar la clave privada generada por HARICA. ¡CUIDADO! si no realiza este paso antes de cerrar la ventana no podrá instalar el certificado que se va a generar, y deberá repetir todo el proceso desde el principio.