A partir de la actualización de seguridad de noviembre de 2024, Microsoft Exchange Server 2019 y 2016 tienen soporte mejorado para certificados de criptografía de curva elíptica (ECC). En este artículo, aprenderá cómo habilitar e instalar un certificado ECC en Exchange Server.
La criptografía de curva elíptica (ECC) ofrece varias ventajas sobre el criptosistema RSA tradicional:
- Tamaños de clave más pequeños:ECC logra una seguridad comparable a la de RSA con longitudes de clave mucho más cortas. Por ejemplo, una clave ECC de 256 bits proporciona una seguridad similar a una clave RSA de 3072 bits.
- Rendimiento más rápido:ECC requiere menos potencia computacional debido a sus tamaños de clave más cortos, lo que resulta en procesos de cifrado y descifrado más rápidos. Esta eficiencia es particularmente beneficiosa para dispositivos con recursos limitados, como teléfonos inteligentes y sistemas integrados.
- Uso reducido de recursos:Los tamaños de clave más pequeños en ECC conducen a un menor uso de memoria y menores requisitos de ancho de banda para transmitir claves, lo que lo hace más adecuado para sistemas con recursos limitados.
Escenarios de Exchange Server no compatibles con certificados ECC
Los siguientes escenarios actualmente no admiten el uso de certificados ECC. Microsoft está trabajando en una actualización para admitirlos en el futuro:
- El certificado de confianza de la federación.
- El certificado OAuth del servidor Exchange
- Escenarios de autenticación basada en notificaciones de Servicios de federación de Active Directory (AD FS)
Soporte de certificado ECC para el servicio Exchange Server
Exchange Server permite asignar certificados a varios servicios para proteger las comunicaciones. Los servicios a los que se pueden asignar certificados se muestran en la tabla.
| Servicio | Certificado ECC compatible |
|---|---|
| IIS (HTTP) | Sí |
| POP o IMAP | Sí |
| SMTP | Sí |
| Sincronización de bordes | No |
| Mensajería unificada (UM) | Sí |
| Implementación híbrida con Microsoft 365 u Office 365 | Sí |
| Extensiones de correo de Internet seguras/multipropósito (S/MIME) | No |
Instalar certificado ECC en Exchange Server
Para instalar un certificado ECC en Exchange Server usando el cliente WIN-ACME, siga los pasos a continuación:
Paso 1. Habilite la compatibilidad con certificados ECC
Nota:Actualice Exchange Server 2016/2019 a la última versión antes de habilitar la compatibilidad con certificados ECC.
La compatibilidad con certificados ECC está deshabilitada de forma predeterminada y se puede habilitar ejecutando el siguiente comando para crear un valor de registro. El comando debe ejecutarse en todos los servidores Exchange de su organización.
New-ItemProperty -Path "HKLM:SOFTWAREMicrosoftExchangeServerv15Diagnostics" -Name "EnableEccCertificateSupport" -Value 1 -Type StringPueden pasar hasta 15 minutos antes de que el cambio se active.
Paso 2. Instale el cliente WIN-ACME
hay unlistade clientes ACME ofrecidos por terceros para su uso. Usaremos Windows ACME Simple (WACS). Un cliente ACME simple para Windows, para usar con Let's Encrypt. Renovará automáticamente sus certificados, por lo que después de instalarlo y configurarlo, tendrá un servidor web continuamente protegido.
Para instalar el cliente Windows ACME Simple (WACS), siga estos pasos:
- Iniciar sesión en el servidor Exchange
- Descargue el cliente WIN-ACME desde elsitio web oficial
- Extraiga los archivos en el archivo .zip a la carpeta C: Archivos de programa Lets Encrypt en Exchange Server
Paso 3. Prepare el cliente WIN-ACME
Ajustar elconfiguración_default.jsonantes de solicitar un certificado de Let's Encrypt. Esto se debe a que el cliente WIN-ACME utiliza de forma predeterminada pares de claves RSA de 3072 bits. Entonces, debes cambiar la configuración a Elliptec Curve. Además, haga que la clave privada sea exportable, de modo que importe automáticamente la clave privada del certificado al certificado:
- ComenzarExplorador de archivos
- ir al caminoC: Archivos de programa Permite cifrar
- Abiertoconfiguración_default.jsoncon bloc de notas
- Establezca DefaultCsr en"CE"
- Establezca PrivateKeyExportable enverdadero
- guardar elarchivo
Nota:El archivo settings_default.json se copiará con su configuración en settings.json después de iniciar Win-ACME. Si ya inició Win-ACME, verá settings.json en la carpeta. Edite el valor en settings.json.
Paso 4. Permitir el puerto 80 en Exchange Server
El cliente ACME de Let's Encrypt se conectará con Let's Encrypt en el puerto 80 a través del firewall para solicitar un certificado. Si no tiene el puerto 80 habilitado, hágalo antes de continuar. Obtenga más información sobre los puertos de red para clientes y el flujo de correo en Exchange Server.
Paso 5. Generar certificado ECC con el cliente ACME
Puede utilizar WIN-ACME desde el menú interactivo o en modo desatendido (línea de comando). Con la línea de comando, no es necesario saltar por los menús.
Utilice el cliente WIN-ACME para generar un certificado ECC para sus dominios:
- AbiertoSímbolo del sistemacomo administrador
- Navega hasta eldirectoriodonde se encuentra WIN-ACME
cd "C:program fileslets encrypt"- Ejecute el siguiente comando para crear certificados ECC
En este ejemplo, usaremos el host:
- correo.exoip.com
- descubrimiento automático.exoip.com
- descargar.exoip.com
wacs.exe --target manual --host mail.exoip.com,autodiscover.exoip.com,download.exoip.com --certificatestore My --acl-fullcontrol "network service,administrators" --installation iis,script --installationsiteid 1 --script "./Scripts/ImportExchange.v2.ps1" --scriptparameters "'{CertThumbprint}' 'IIS,SMTP,IMAP' 1 '{CacheFile}' '{CachePassword}' '{CertFriendlyName}'" --verbose- Prensanorteno abrir los términos de servicio
- Prensaypara aceptar los Términos de servicio
- Completa tucorreo electrónicoy presioneIngresar
Paso 6. Verificar el certificado ECC de Exchange Server
Verifique que el certificado ECC aparezca en el centro de administración de Exchange.
¡Eso es todo!
Conclusión
Aprendiste cómo instalar un certificado ECC en Exchange Server. Primero, asegúrese de habilitar la compatibilidad con ECC en Exchange Server. Después de eso, descargue Win-ACME para solicitar un certificado ECC de Let's Encrypt. Recuerda que renovará automáticamente el certificado dentro de los 90 días, pero deberás mantener abierto el puerto 80.
Lea también:PowerShell: configurar la autenticación basada en certificados para Exchange Online (Azure)
¿Disfrutaste este artículo? También te puede interesar Cómo cambiar el nombre descriptivo del certificado. No olvides seguirnos y compartir este artículo.
