Convertir claves RSA: PEM vs DER vs JWK (mapa mental + comandos OpenSSL)

¿Por qué y cuándo convertir claves RSA?

La conversión de claves RSA es una tarea fundamental en el mundo de la seguridad informática. Se hace necesario convertir entre los formatos PEM, DER y JWK en situaciones como:

• Integración con APIs: Muchas APIs y servicios web requieren claves en formatos específicos, como JWK para autenticación OAuth o PEM para firmas digitales.
• Configuración de servidores: Al configurar servidores web (como Apache o Nginx) para HTTPS, necesitarás convertir tu clave privada a formato PEM.
• Desarrollo de aplicaciones: Al trabajar con bibliotecas y frameworks de seguridad, como las de JWT (JSON Web Tokens), la conversión entre formatos es común para la firma y verificación de tokens.
• Interoperabilidad: Diferentes sistemas y aplicaciones pueden requerir formatos distintos. La conversión permite que tus claves RSA sean compatibles en cualquier entorno.

Comprender cómo convertir claves y saber qué formato usar en cada caso te ahorrará tiempo y dolores de cabeza.

Guía paso a paso para la conversión de claves RSA

A continuación, encontrarás una guía práctica con ejemplos de comandos OpenSSL para convertir tus claves RSA entre los formatos más comunes. Recuerda que la correcta conversión es crucial para la seguridad de tus aplicaciones.

1. Identificar el formato de origen

El primer paso es saber qué tipo de archivo tienes. Observa el contenido del archivo con un editor de texto o usando el comando `head`:

• PEM (Privacy Enhanced Mail): Comienza con `-----BEGIN` y termina con `-----END`. Puede contener claves privadas, públicas o certificados.
• DER (Distinguished Encoding Rules): Es la representación binaria de la clave o certificado. No es legible directamente.
• JWK (JSON Web Key): Es un objeto JSON que representa la clave pública o privada.

2. Convertir de PEM a DER

La conversión de PEM a DER es directa porque DER es el formato binario que se encuentra "dentro" del PEM. El formato PEM es simplemente la codificación en base64 del contenido DER, con encabezados y pie de página. Usa el siguiente comando OpenSSL:

openssl rsa -in clave.pem -outform DER -out clave.der

• `rsa`: especifica que estamos trabajando con una clave RSA.
• `-in clave.pem`: indica el archivo de entrada en formato PEM.
• `-outform DER`: especifica el formato de salida como DER.
• `-out clave.der`: especifica el nombre del archivo de salida.

3. Convertir de DER a PEM

La conversión de DER a PEM es el proceso inverso. Utiliza el siguiente comando:

openssl rsa -inform DER -in clave.der -outform PEM -out clave.pem

• `-inform DER`: indica el formato de entrada como DER.
• `-in clave.der`: indica el archivo de entrada.
• `-outform PEM`: especifica el formato de salida como PEM.
• `-out clave.pem`: especifica el nombre del archivo de salida.

4. Extraer la clave pública desde PEM (o DER)

Si tienes una clave privada en formato PEM y necesitas la clave pública, puedes extraerla:

openssl rsa -in clave_privada.pem -pubout -out clave_publica.pem

• `-pubout`: indica que quieres obtener la clave pública.
• `-out clave_publica.pem`: especifica el nombre del archivo de salida para la clave pública.

5. Convertir a JWK

La conversión a JWK generalmente se realiza mediante código dentro de tu lenguaje de programación. No hay un comando directo de OpenSSL para esto. Aquí hay un ejemplo en Node.js:

const { createPublicKey } = require('crypto');
const fs = require('fs');

// Lee la clave privada PEM (asegúrate de que es la clave privada)
const privateKeyPEM = fs.readFileSync('clave_privada.pem', 'utf8');

// Crea una clave pública a partir de la clave privada PEM
const publicKey = createPublicKey(privateKeyPEM);

// Exporta la clave pública en formato JWK
const publicKeyJWK = publicKey.export({ format: 'jwk' });

console.log(publicKeyJWK);

En este ejemplo:

• Usamos la biblioteca `crypto` de Node.js para importar la clave.
• Lee la clave privada PEM.
• Usa `createPublicKey` para obtener un objeto de clave pública.
• Usa el método `.export({ format: 'jwk' })` para obtener el JWK.

Para otros lenguajes, busca bibliotecas que ofrezcan funcionalidades similares. Por ejemplo, en Python, puedes usar la biblioteca `cryptography`. Asegúrate de manejar de forma segura la clave privada.

6. Convertir JWK a PEM

La conversión de JWK a PEM también se realiza a través de código. Necesitarás una biblioteca que pueda importar un JWK y exportar una clave RSA en formato PEM. Aquí hay un ejemplo conceptual en Python:

from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.serialization import load_pem_public_key
from cryptography.hazmat.backends import default_backend
import json

def jwk_to_pem_public(jwk_json):
    """Convierte un JWK (clave pública) a PEM."""
    try:
        jwk = json.loads(jwk_json)
        # Implementa la lógica para extraer 'n' y 'e' del JWK y reconstruir la clave pública
        # Este es un paso más complejo que requiere conocer la estructura del JWK
        # y usar la biblioteca cryptography para reconstruir la clave RSA.
        # El ejemplo completo excede el alcance de este artículo.
        return pem_public_key
    except Exception as e:
        print(f"Error al convertir JWK a PEM: {e}")
        return None

Este ejemplo de Python es solo un esqueleto. La conversión real de JWK a PEM (especialmente para la clave pública) es más compleja y requiere que entiendas la estructura del JWK (los campos 'n' y 'e' para RSA) y que uses la biblioteca `cryptography` para reconstruir la clave. La parte más compleja es la reconstrucción de la clave a partir de los parámetros del JWK (modulus y exponente).

7. Validar las claves

Después de convertir las claves, es crucial validarlas para asegurar que el proceso se completó correctamente. Puedes validar usando el comando `openssl`:

openssl rsa -in clave.pem -text -noout

Este comando mostrará los detalles de la clave RSA, lo que te permite verificar que la información es correcta. Presta especial atención al valor del "Modulus" y del "Exponent" para verificar que corresponden a la clave original.

Checklist para convertir claves RSA con éxito

Utiliza esta lista de verificación para asegurarte de que sigues los pasos correctos y evitas errores comunes durante la conversión de claves RSA:

• Identifica el formato de origen: PEM, DER o JWK. Examina el archivo para determinar el formato de entrada.
• Asegura la clave privada: Si estás trabajando con claves privadas, protege el archivo. No las expongas en código fuente ni en repositorios.
• Usa OpenSSL correctamente: Familiarízate con los comandos de OpenSSL y sus opciones. Verifica la sintaxis antes de ejecutar cualquier comando.
• Valida la conversión: Después de cada conversión, usa OpenSSL para inspeccionar el contenido de la clave y confirmar que es correcto.
• Maneja JWK con cuidado: Si conviertes a JWK, asegúrate de utilizar una biblioteca confiable y de comprender la estructura del JWK.
• Verifica la compatibilidad: Después de la conversión, prueba la clave en el sistema o aplicación de destino para asegurarte de que funciona correctamente.
• Realiza copias de seguridad: Antes de cualquier conversión, crea copias de seguridad de tus claves originales.
• Protege los permisos de archivo: Asegúrate de que los permisos de archivo sean lo suficientemente restrictivos para proteger las claves privadas de accesos no autorizados.

Errores comunes al convertir claves RSA y cómo solucionarlos

Aquí tienes algunos errores comunes que puedes encontrar al convertir claves RSA y cómo puedes resolverlos:

• Error: "invalid key" o "asn1 decoding error": Este error generalmente indica que el formato de la clave es incorrecto. Solución: Verifica el formato de entrada y asegúrate de usar la opción correcta en OpenSSL (por ejemplo, `-inform DER` o `-in clave.pem`).
• Error: "PEM_read_bio_PrivateKey:bad decrypt": Este error indica que la clave está encriptada y OpenSSL no puede desencriptarla. Solución: Si la clave está encriptada, necesitarás proporcionar la contraseña correcta. Si no necesitas encriptación, puedes quitarla con `openssl rsa -in encrypted_key.pem -out unencrypted_key.pem -nocrypt`.
• Error: Problemas con saltos de línea y formato PEM: Algunas bibliotecas son sensibles al formato PEM. Solución: Asegúrate de que los archivos PEM tengan los encabezados y pie de página correctos y que no contengan espacios en blanco o caracteres extraños. Un editor de texto puede ayudarte a limpiar el archivo.
• Error: "Clave privada incorrecta": Al firmar o cifrar datos, recibes un error. Solución: Asegúrate de estar usando la clave privada correcta y que la clave pública corresponda a esa clave privada. Verifica los fingerprints (huellas digitales) de ambas claves.

Presta atención a los mensajes de error y consulta la documentación de OpenSSL o de tu biblioteca para obtener más información.

Tabla comparativa de formatos de clave RSA

Esta tabla resume las características clave de los formatos PEM, DER y JWK para ayudarte a elegir el formato adecuado para tus necesidades:

Recomendaciones según tu caso de uso

Para simplificar, aquí tienes algunas recomendaciones basadas en los escenarios más comunes:

• Desarrollo web y APIs: Si trabajas con APIs y servicios web (especialmente JWT), prioriza el uso de JWK para la clave pública. Usa PEM (PKCS#8) para la clave privada. Asegúrate de proteger tu clave privada.
• Configuración de servidores (HTTPS): El formato más común es PEM para certificados y claves privadas. Asegúrate de configurar los permisos de archivo correctos en tu servidor.
• Firmas digitales: Utiliza PEM para la clave privada y PEM o DER para la clave pública, dependiendo de los requisitos de la aplicación o sistema que verifica la firma.

En todos los casos, recuerda validar siempre las claves después de la conversión y aplicar las mejores prácticas de seguridad.