Práctica de laboratorio: Cifrar y Descifrar Datos con OpenSSL

Objetivos
Parte 1: Cifrar mensajes con OpenSSL
Parte 2: Descifrar mensajes con OpenSSL

Aspectos Básicos / Escenario

OpenSSL es un proyecto de código abierto que proporciona un kit de herramientas robusto, comercial y
completo para los protocolos de Seguridad de capa de transporte (Transport Layer Security, TLS) y Capa de
sockets segura (Secure Sockets Layer, SSL). También es una biblioteca de criptografía de uso general. En
esta práctica de laboratorio utilizarán OpenSSL para cifrar y descifrar mensajes de texto.
Nota: Si bien actualmente OpenSSL es la biblioteca de criptografía obligada, el uso que se presenta en esta
práctica de laboratorio NO se recomienda para lograr una protección sólida. A continuación, se presentan
dos problemas de seguridad con esta práctica:
1) El método que se describe en esta práctica utiliza una función de derivación de claves débiles. La
ÚNICA medida de seguridad es una contraseña muy fuerte.
2) El método que se describe en esta práctica no garantiza la integridad del archivo de texto.
Esta práctica de laboratorio debe utilizarse solo con fines instructivos. Los métodos aquí presentados NO se
deben emplear para asegurar datos realmente sensibles.

Recursos necesarios
 Máquina virtual "CyberOps Workstation"

Instrucciones

Parte 1: Cifrar mensajes con OpenSSL

OpenSSL se puede utilizar como una herramienta independiente para el cifrado. Aunque pueden utilizarse
muchos algoritmos de cifrado, esta práctica de laboratorio se enfoca en AES. Si quieren utilizar AES para
cifrar un archivo de texto directamente desde la línea de comando utilizando OpenSSL, sigan los pasos que
se indican a continuación:

Paso 1: Cifrar un archivo de texto

a. Iniciar sesión en la Máquina Virtual "CyberOPS Workstation."
b. Abrir una ventana del terminal.
c. El archivo de texto que se debe cifrar se encuentra en el directorio /home/analyst/[Link]/,
cambie a ese directorio:
[analyst@secOps ~]$ cd ./[Link]/
[analyst@secOps [Link]]$
d. Escribir el siguiente comando a continuación para generar una lista del contenido del archivo de
texto encriptado letter_to_grandma.txt en la pantalla:
[analyst@secOps [Link]]$ cat letter_to_grandma.txt
Hi Grandma,

 2017 – 2020 Cisco y/o sus filiales. Todos los derechos reservados. Información pública de Cisco Página 1 de 4
[Link]
Práctica de laboratorio: Cifrar y Descifrar Datos con OpenSSL

I am writing this letter to thank you for the chocolate chip cookies you sent
me. I got them this morning and I have already eaten half of the box! They are
absolutely delicious!

I wish you all the best. Love,

Your cookie-eater grandchild.
[analyst@secOps [Link]]$
e. En la misma ventana del terminal, emitir el siguiente comando para cifrar el archivo de texto. El comando
usará AES-256 para cifrar el archivo de texto y guardar la versión cifrada como [Link]. OpenSSL
nos pedirá una contraseña y pedirá que la confirmemos. Proporcionar la contraseña tal como se les
solicita y recordarla.
[analyst@secOps [Link]]$ openssl aes-256-cbc -in
letter_to_grandma.txt -out [Link]
enter aes-256-cbc encryption password:
Verifying - enter aes-256-cbc encryption password:
[analyst@secOps [Link]]$
Pregunta:

Documentar la contraseña.
S4curi34ss

f. Cuando hayamos terminado el proceso, hay que volver a utilizar el comando cat para mostrar el
contenido del archivo [Link].
[analyst@secOps [Link]]$ cat [Link]
Pregunta:

¿Se mostró correctamente el contenido del archivo [Link]? ¿Qué aspecto tiene? Explique.
Es un contenido ilegible.

g. Para que el archivo sea legible, volvamos a ejecutar el comando OpenSSL pero esta vez agreguemos la
opción -a. La opción -a le indica a OpenSSL que debe cifrar el mensaje cifrado con un método de
codificación diferente a Base64 antes de guardar el resultado en un archivo.
Nota: Base64 es un grupo de esquemas similares de codificación binario a texto que se utiliza para
representar datos binarios en un formato de ASCII string
[analyst@secOps [Link]]$ openssl aes-256-cbc -a -in
letter_to_grandma.txt -out [Link]
enter aes-256-cbc encryption password:
Verifying - enter aes-256-cbc encryption password:
h. Nuevamente, utilicen el comando cat para mostrar el contenido del archivo [Link], que se acaba
de generar otra vez:

 2017 – 2020 Cisco y/o sus filiales. Todos los derechos reservados. Información pública de Cisco Página 2 de 4
[Link]
Práctica de laboratorio: Cifrar y Descifrar Datos con OpenSSL

Nota: El contenido de [Link] variará.

[analyst@secOps [Link]]$ cat [Link]
U2FsdGVkX19ApWyrn8RD5zNp0RPCuMGZ98wDc26u/vmj1zyDXobGQhm/dDRZasG7
rfnth5Q8NHValEw8vipKGM66dNFyyr9/hJUzCoqhFpRHgNn+Xs5+TOtz/QCPN1bi
08LGTSzOpfkg76XDCk8uPy1hl/+Ng92sM5rgMzLXfEXtaYe5UgwOD42U/U6q73pj
a1ksQrTWsv5mtN7y6mh02Wobo3A1ooHrM7niOwK1a3YKrSp+ZhYzVTrtksWDl6Ci
XMufkv+FOGn+SoEEuh7l4fk0LIPEfGsExVFB4TGdTiZQApRw74rTAZaE/dopaJn0
sJmR3+3C+dmgzZIKEHWsJ2pgLvj2Sme79J/XxwQVNpw=
[analyst@secOps [Link]]$

Preguntas:

¿Ahora se muestra correctamente el archivo [Link]? Explique.

Si por que se convirtió de binarios a texto y se codifico como base64

¿Podemos pensar en algún beneficio de tener [Link] codificado como Base64?

El mensaje cifrado se puede copiar y pegar en un mensaje de correo electrónico.

Parte 2: Descifrar mensajes con OpenSSL

Con un comando OpenSSL similar se puede descifrar [Link].

a. Utilizar el siguiente comando para descifrar [Link]:
[analyst@secOps [Link]]$ openssl aes-256-cbc –a -d -in [Link]
-out decrypted_letter.txt
b. OpenSSL les pedirá la contraseña que se utilizó para cifrar el archivo. Vuelvan a introducir la misma
contraseña.
c. Cuando OpenSSL termine de descifrar el archivo [Link], lo guardará en un archivo de texto de
nombre decrypted_letter.txt. Utilicen el comando cat para mostrar el contenido de decrypted_letter.txt:
[analyst@secOps [Link]]$ cat decrypted_letter.txt

Preguntas:

¿La carta se descifró correctamente?

 2017 – 2020 Cisco y/o sus filiales. Todos los derechos reservados. Información pública de Cisco Página 3 de 4
[Link]
Práctica de laboratorio: Cifrar y Descifrar Datos con OpenSSL

Si la carta fue descifrada correctamente

El comando que se utilizó para descifrar también contiene una opción -a. ¿Podemos explicarlo?
Debido a que [Link] fue codificado como Base64 después de que se realizó el proceso de
encriptación, [Link] debe ser decodificado como Base64 antes de que OpenSSL pueda
descifrarlo.

 2017 – 2020 Cisco y/o sus filiales. Todos los derechos reservados. Información pública de Cisco Página 4 de 4
[Link]