Trucos: Habilitar SSL en IIS 7.0 usando certificados firmados por nosotros

SSL permite que los navegadores se comuniquen con un servidor web sobre un canal seguro para evitar que nadie pueda “escuchar” la comunicación, interceptar y falsificar mensajes. Deberíamos usar SSL en las páginas de login donde los usuarios introducen sus nombres de usuario y contraseñas, así como en todas las web de un sitio que puedan ser “sensibles” (por ejemplo: páginas que muestren información financiera o personal).

Configurar SSL en Windows con versiones anteriores de IIS ha sido siempre un quebradero de cabeza. Hay que saber cómo instalar y administrar un certificado, y luego asociarlo a un sitio web, seguro que es algo que la mayoría de desarrolladores web no saben cómo habilitar.

Las buenas noticias son que IIS 7.0 hace radicalmente fácil configurar y habilitar SSL. IIS 7.0 además trae soporte de fábrica para crear nuestros propios certificados de forma sencilla para habilitar rápidamente un sitio web SSL para desarrollo o para test.

Con IIS 7.0 podemos habilitar un sitio web ya creado con SSL en tan sólo 30 segundos. El siguiente tutorial muestra cómo hacer eso.

Paso 1: Crear un nuevo sitio web.

Empezaremos creando un nuevo sitio web con la nueva herramienta de administración de IIS7.0. Esta herramienta de adminstración ha sido reescrita completamente a partir de la versión anterior (que fué escrita usando código manegado con Windows Forms), y provee una organización más lógica de características web. Da una experiencia de administración con una interfaz gráfica (GUI) para todas las configuraciones de ASP.NET e IIS:

Para crear un nuevo sitio, clic con el botón derecho en el nodo “Web Sites” en el árbol del lado izquierdo y elegir la opción “Add Web Site” del menu contextual. Añadimos los detalles necesarios para crear el nuevo sitio web:

Una gran característica de IIS7 en Windows Vista es que podemos tener un número ilimitado de sitios web en una caja (las versiones anteriores de IIS en clientes Windows sólo nos permitía un sitio). La limitacion de 10 peticiones simultaneas en las versiones de IIS para clientes Windows no existe ahora en IIS7.

Paso 2: Crear un certificado propio.

Antes de enlazar reglas SSL a nuestro sitio, necesitamos importar e instalar un certificado de seguridad para usarlo en el enlace SSL.

Los certificados se administran en IIS7 haciendo clic en el nodo root del árbol de la izquierda, y seleccionamos el icono “Server Certificates” en el lado derecho:

Esto nos mostrará una lista de todos los certificados registrados en la máquina, y nos permitirá importar y/o crear otros nuevos.

Opcionalmente, podemos irnos a una entidad emisora de certificados como Verisign y comprar un certificado para importarlo con esta herramienta de administración. O podermos crear nuestro propio certificado para que funcione como un certificado de prueba que podamos usar para el desarrollo y las pruebas en nuestro sitio. Para hacer esto, tenemos que hacer clic en el link “Create Self-Signed Certificate” en la parte derecha de la herramienta de administración:

Metemos el nombre para usar el certificado (por ejemplo: “test”) y hacemos clic en ok. IIS7 creará automáticamente un nuevo certificado encriptado y lo registrará en la máquina:

Paso 3: Habilitar los enlaces HTTPS para nuestro nuevo sitio.

Para habilitar SSL en nuestro nuevo sitio web, seleccionamos el nodo del web side en el árbol de la izquierda, y hacemos clic en link “Bindings”del menú “actions” del lado derecho de la pantalla:

Esto nos mostrará un cuadro de dialogo que nos mostrará todas las reglas de enlace que dirigen el tráfico a este sitio (significando las combinaciones de cabeceras host/direcciones ip/puerto para el sitio):

Para habilitar SSL en el sitio, haremos clic en el boton “Add”. Esto nos mostrará otro cuadro de dialogo  para añadir soporte para el protocolo HTTPS. Podemos seleccionar el certificado que hemos creado de la lista desplegable del diálogo, para indicar que queremos usar ese certificado cuando encriptemos contenido sobre SSL:

Hacemos clic en OK y ya tenemos habilitado SSL para nuestro sitio:

Paso 4: Probando nuestro sitio.

Añadimos una página “default.aspx” al sitio, e intentamos abrirla con el navegador escribiendo https://localhost/default.aspx (usamos “https” en lugar de “http” para indicar que queremos conectarnos a través de SSL).

Si usamos IE7, vereis el error de anti-phising:

No os alarméis si os pasa esto – tan sólo es el IE que nos advierte que un certificado creado por nosotros es sospechoso. Hacemos clic en el link “Continue to this website” para saltarnos este aviso de seguridad e ir al sitio. Encontraremos nuestra pagina default.aspx  corriendo sobre SSL:

Y ya está echo. 🙂

Apendice: Últimas notas sobre SSL.

• La herramienta de administración de IIS7 tiene un nodo de configuración “SSL Settings” que podemos seleccionar para cada sitio, directorio o archivo que nos permite controlar cuándo, ese recurso particular (y por defecto a todos sus hijos), requiera peticiones SSL para ejecutarse. Esto es muy útil para páginas como login.aspx, cuando queremos garantizar que los usuarios metan sus credenciales cuando el canal esté encriptado. IIS 7 bloqueará a todos lo navegadores que intenten acceder a menos que lo hagan sobre SSL.
• En una pagina ASP.NET, podemos saber programáticamente, cuándo la petición actual está usando SSL chequeando la propiedad Request.IsSecure (devolverá “true” si la petición viene por SSL).
• Podemos poner el atributo “requireSSL” en la sección de configuración de <forms> en el web.config para tener el sistema de autentificación por formulario de ASP.NET y asegurarnos que las cookies sólo se usan en sitios con SSL. Esto evita el riesgo de que un hacker intercepte una cookie de autentificación en una página sin SSL, e intente usar el “ataque por repeticion” desde una máquina diferente para suplantar la identidad de un usuario.

 Para más información de IIS/, leeros mi anterior post sobre IIS7. También echadle un vistado a la web www.iis.net.

Para leer mas sobre mis post sobre trucos, visitad mi página sobre trucos

Espero que sirva.

Scott.

Traducido por: Juan María Laó Ramos. Microsoft Student Partner.