6 999
contributi
Autorità di certificazione locale: differenze tra le versioni
Vai alla navigazione
Vai alla ricerca
m
Autorità di certificazione locale (visualizza wikitesto)
Versione delle 01:01, 4 gen 2010
, 4 gen 2010nessun oggetto della modifica
S3v (discussione | contributi) mNessun oggetto della modifica |
|||
| Riga 1: | Riga 1: | ||
==Introduzione== | ==Introduzione== | ||
L'utilizzazione di una | L'utilizzazione di una autorità di certificazione locale (''self signed CA'') trova applicazione in tutti quei casi in cui non sia necessario che una root CA esterna firmi i nostri certificati. | ||
Uno scenario tipico | Uno scenario tipico è quello in cui si voglia realizzare un sistema di autenticazione web basato su certificati: per autenticarsi i client devono presentare il certificato richiesto. | ||
Illustrerò come generare una CA locale, come usarla per creare certificati | |||
lato server e lato client, infine mostrerò come revocare un certificato. | lato server e lato client, infine mostrerò come revocare un certificato. | ||
| Riga 11: | Riga 11: | ||
<pre>apt-get install openssl</pre> | <pre>apt-get install openssl</pre> | ||
Per minimizzare la quantità di informazioni richieste durante la creazione di chiavi e certificati, | Per minimizzare la quantità di informazioni richieste durante la creazione di chiavi e certificati, può | ||
essere utile modificare il file '''/etc/ssl/openssl.cnf''' per esempio alla seguente sezione: | essere utile modificare il file '''/etc/ssl/openssl.cnf''' per esempio alla seguente sezione: | ||
<pre> | <pre> | ||
| Riga 29: | Riga 29: | ||
==Generazione di una CA locale== | ==Generazione di una CA locale== | ||
Per mezzo di questa | Per mezzo di questa autorità di certificazione saranno creati tutti gli altri certificati: quello del server e quelli dei client. | ||
===Creazione della chiave (root CA)=== | ===Creazione della chiave (root CA)=== | ||
Prima del certificato | Prima del certificato è necessario creare una chiave. Il seguente comando genera nella directory '''/etc/openssl/private''' la chiave privata '''ca.key''' di 1024 bit criptata con algoritmo ''triple DES'': | ||
<pre># openssl genrsa -des3 -out private/ca.key 1024 | <pre># openssl genrsa -des3 -out private/ca.key 1024 | ||
Enter pass phrase for private/ca.key: | Enter pass phrase for private/ca.key: | ||
| Riga 38: | Riga 38: | ||
</pre> | </pre> | ||
La chiave | La chiave sarà generata dopo aver immesso la ''pass phrase''. | ||
{{ warningbox | vista l'importanza della chiave privata a livello sicurezza, dare gli opportuni permessi alla directory '''/etc/openssl/private''' e a '''ca.key'''. }} | {{ warningbox | vista l'importanza della chiave privata a livello sicurezza, dare gli opportuni permessi alla directory '''/etc/openssl/private''' e a '''ca.key'''. }} | ||
| Riga 45: | Riga 45: | ||
Prima di procedere assicurarsi che '''/etc/ssl/index.txt''' sia vuoto e che '''/etc/ssl/serial''' contenga il valore 01. | Prima di procedere assicurarsi che '''/etc/ssl/index.txt''' sia vuoto e che '''/etc/ssl/serial''' contenga il valore 01. | ||
Utilizziamo la chiave creata nella sezione [[#Creazione della chiave (root CA)|Creazione della chiave (root CA)]], per generare un certificato root CA '''ca.crt''' con | Utilizziamo la chiave creata nella sezione [[#Creazione della chiave (root CA)|Creazione della chiave (root CA)]], per generare un certificato root CA '''ca.crt''' con validità di un anno: | ||
<pre># openssl req -config /etc/ssl/openssl.cnf -new -x509 -key private/ca.key -out ca.crt -days 365 | <pre># openssl req -config /etc/ssl/openssl.cnf -new -x509 -key private/ca.key -out ca.crt -days 365 | ||
Enter pass phrase for private/ca.key:</pre> | Enter pass phrase for private/ca.key:</pre> | ||
Il certificato appena creato | Il certificato appena creato sarà utilizzato esclusivamente per firmare tutti gli altri certificati generati in seguito. | ||
Affinché i browser possano riconoscere come valida la ''root CA'' appena creata, gli utenti finali dovranno installare il certificato '''ca.crt''' nei loro browser. Riferirsi alla sezione [[#Certificato lato client | Certificazione lato client]] per ottenere maggiori informazioni. | |||
Aggiungendo l'opzione '''-batch''' al precedente comando potremmo automatizzare l'operazione utilizzando i valori predefiniti impostati nel file '''/etc/ssl/openssl.cnf'''. Utile quando il comando | Aggiungendo l'opzione '''-batch''' al precedente comando potremmo automatizzare l'operazione utilizzando i valori predefiniti impostati nel file '''/etc/ssl/openssl.cnf'''. Utile quando il comando è utilizzato in uno script. | ||
==Certificato lato server== | ==Certificato lato server== | ||
Questo | Questo è il certificato che il server utilizza per cifrare i dati scambiati con i vari client. Un tipico esempio è un server ''https''. | ||
====Creazione della chiave (server)==== | ====Creazione della chiave (server)==== | ||
| Riga 64: | Riga 64: | ||
Verifying - Enter pass phrase for private/server.key:</pre> | Verifying - Enter pass phrase for private/server.key:</pre> | ||
È molto probabile che la chiave generata sia poi utilizzata insieme al relativo certificato nella configurazione di ''apache''; in tal caso ''apache'' attenderà ad ogni avvio che venga inserita la ''pass phrase'' relativa alla chiave utilizzata. Vista la scomodità di tale soluzione, si può togliere la ''pass phrase'' dalla chiave: | |||
<pre># openssl rsa -in private/server.key -out private/server.key.unsecure | <pre># openssl rsa -in private/server.key -out private/server.key.unsecure | ||
Enter pass phrase for private/server.key: | Enter pass phrase for private/server.key: | ||
writing RSA key</pre> | writing RSA key</pre> | ||
{{ Warningbox | la chiave priva di ''pass phrase'' non | {{ Warningbox | la chiave priva di ''pass phrase'' non è protetta, quindi assicurarsi che abbia i permessi opportuni.}} | ||
===Generazione di una Certificate Signing Request (CSR)=== | ===Generazione di una Certificate Signing Request (CSR)=== | ||
| Riga 76: | Riga 76: | ||
Enter pass phrase for private/server.key:</pre> | Enter pass phrase for private/server.key:</pre> | ||
Impartito il comando, | Impartito il comando, è richiesta in input una serie di informazioni tra cui la più importante è quella relativa all'opzione ''commonName'' in cui va specificato l'''FQDN'' del server che utilizzerà il certificato, al fine di evitare problemi di "fiducia" coi client. | ||
===Firma della CSR=== | ===Firma della CSR=== | ||
Quando disponiamo di una ''CSR'' | Quando disponiamo di una ''CSR'' è necessario spedirla alla ''CA'' scelta affinché la firmi, tuttavia se abbiamo provveduto, come spiegato nella sezione [[#Generazione di una CA locale|Generazione di una CA locale]], alla creazione di una nostra ''CA'' , possiamo firmare noi la ''CSR'' ottenuta alla sezione [[#Generazione di una Certificate Signing Request (CSR)|Generazione di una Certificate Signing Request]]: | ||
<pre> | <pre> | ||
# openssl ca -config /etc/ssl/openssl.cnf -policy policy_anything -keyfile private/ca.key \ | # openssl ca -config /etc/ssl/openssl.cnf -policy policy_anything -keyfile private/ca.key \ | ||
| Riga 85: | Riga 85: | ||
Enter pass phrase for private/ca.key:</pre> | Enter pass phrase for private/ca.key:</pre> | ||
Il risultato del precedente comando | Il risultato del precedente comando è il file '''/etc/ssl/certs/server.crt''', l'aggiornamento di '''/etc/ssl/index.txt''' e di '''/etc/ssl/serial'''. A questo punto il file '''server.csr''' non è più necessario. | ||
Il risultato dell'operazione | Il risultato dell'operazione è il certificato per mezzo del quale il server https cifrerà i dati scambiati con i client. | ||
==Configurazione Web Server== | ==Configurazione Web Server== | ||
| Riga 103: | Riga 103: | ||
; SSLVerifyDepth: nel nostro caso va impostata a 1 in quanto ci fidiamo solo di certificati firmati dalla nostra CA locale. | ; SSLVerifyDepth: nel nostro caso va impostata a 1 in quanto ci fidiamo solo di certificati firmati dalla nostra CA locale. | ||
Esempio: <tt>SSLVerifyDepth 1</tt> | Esempio: <tt>SSLVerifyDepth 1</tt> | ||
;SSLUseCRL: i certificati client sono controllati basandosi sull'appropriata ''CRL''. La ''CRL'' deve essere in formato ''PEM''. | ;SSLUseCRL: i certificati client sono controllati basandosi sull'appropriata ''CRL''. La ''CRL'' deve essere in formato ''PEM''. è necessario un link simbolico alla ''CRL'' posto all'interno del percorso indicato dalla direttiva '''SSLCACerificatePath'''. Non prende argomenti. Il percorso della ''CRL'' è specificato da '''SSLCACertificatePath.''' I link simbolici alle ''CRL'' hanno la forma <tt><hash>.r<number>, dove <hash></tt> è l'hash del file contenente la ''CRL''. La sezione [[#Apache e CRL | Apache e CRL]] spiega come creare link simbolici di tale tipo. | ||
Esempio: <tt>SSLUseCRL</tt> | Esempio: <tt>SSLUseCRL</tt> | ||
; SSLOnRevocationSetEnv: se il client presenta un certificato revocato, la sessione SSL | ; SSLOnRevocationSetEnv: se il client presenta un certificato revocato, la sessione SSL è stabilita e la variabile indicata è impostata. L'idea è di gestire con uno script questo tipo d'errore. Per la descrizione delle altre direttive del tipo ''SSLOn*SetEnv'' riferirsi alla documentazione di ''apache''. | ||
Esempio: <tt>SSLOnRevocationSetEnv SSL_REVOKED</tt> | Esempio: <tt>SSLOnRevocationSetEnv SSL_REVOKED</tt> | ||
| Riga 111: | Riga 111: | ||
Questa sezione tratta della configurazione di ''apache-ssl'' per l'uso di ''CRL''. Riferirsi a [[#Revoca di un certificato | Revoca di un certificato]] e in particolare a [[#Creazione e aggiornamento di una CRL | Creazione e aggiornamento di una CRL]]. | Questa sezione tratta della configurazione di ''apache-ssl'' per l'uso di ''CRL''. Riferirsi a [[#Revoca di un certificato | Revoca di un certificato]] e in particolare a [[#Creazione e aggiornamento di una CRL | Creazione e aggiornamento di una CRL]]. | ||
Affinché ''apache-ssl'' sia informato sulla validità dei certificati, è necessario l'utilizzo delle direttive '''SSLCACertificatePath''' e '''SSLUseCRL'''. La prima indica il percorso in cui cercare la ''CRL'', la seconda istruisce il demone a fare uso della ''CRL''. | |||
La ''CRL'' deve essere puntata da un link simbolico della forma <tt><hash>.r<number></tt> presente all'interno del percorso indicato dalla direttiva '''SSLCACertificatePath''' (p.e. '''/etc/ssl'''): | La ''CRL'' deve essere puntata da un link simbolico della forma <tt><hash>.r<number></tt> presente all'interno del percorso indicato dalla direttiva '''SSLCACertificatePath''' (p.e. '''/etc/ssl'''): | ||
| Riga 126: | Riga 126: | ||
Tutte le direttive elencate nella sezione [[#Direttive apache-ssl|Direttive apache-ssl]] possono essere utilizzate nei contesti ''server config'' e ''virtual host''. | Tutte le direttive elencate nella sezione [[#Direttive apache-ssl|Direttive apache-ssl]] possono essere utilizzate nei contesti ''server config'' e ''virtual host''. | ||
La prima conseguenza | La prima conseguenza è che si possono specificare ''CA'', ''CRL'' e certificati distinti per ogni singolo host virtuale. | ||
La seconda conseguenza | La seconda conseguenza è che si può creare confusione tra le direttive nei contesti ''server config'' e ''virtual host''. Si consideri una configurazione del tipo seguente: | ||
<pre> | <pre> | ||
[...] | [...] | ||
| Riga 141: | Riga 141: | ||
</VirtualHost> | </VirtualHost> | ||
</pre> | </pre> | ||
Quando è revocato un certificato client relativo al virtual host <tt>x.y.z.w</tt>, il risultato potrebbe non corrispondere a quanto voluto. Se si visitasse l'URL <tt>https://x.y.z.w</tt> con il browser in cui è installato il certificato revocato , si noterebbe che l'accesso non verrebbe impedito. Questo accade | Quando è revocato un certificato client relativo al virtual host <tt>x.y.z.w</tt>, il risultato potrebbe non corrispondere a quanto voluto. Se si visitasse l'URL <tt>https://x.y.z.w</tt> con il browser in cui è installato il certificato revocato , si noterebbe che l'accesso non verrebbe impedito. Questo accade perché '''SSLOnRevocationSetEnv SSL_REVOKED''' non nega l'accesso ai certificati revocati, ma imposta la variabile '''SSL_REVOKED''' a "YES" e la direttiva posta nel contesto ''server config'' ha valore anche per gli host virtuali. | ||
La soluzione è quella di commentare la direttiva nel contesto ''server config'' e attivarla, se serve, per ogni singolo host virtuale. | La soluzione è quella di commentare la direttiva nel contesto ''server config'' e attivarla, se serve, per ogni singolo host virtuale. | ||
| Riga 148: | Riga 148: | ||
===Creazione chiave (client)=== | ===Creazione chiave (client)=== | ||
Prima di tutto generiamo la chiave. La ''pass phrase'' utilizzata | Prima di tutto generiamo la chiave. La ''pass phrase'' utilizzata servirà all'utente finale per autenticarsi nelle zone protette del server web. | ||
<pre> | <pre> | ||
# openssl genrsa -des3 -out private/client1.key 1024 | # openssl genrsa -des3 -out private/client1.key 1024 | ||
| Riga 168: | Riga 168: | ||
</pre> | </pre> | ||
a questo punto il file '''client1.csr''' non | a questo punto il file '''client1.csr''' non è più necessario. Infine '''client1.crt''' e '''client1.key''' vanno messi in un unico file: | ||
<pre> | <pre> | ||
# cat private/client1.key > private/client1.pem | # cat private/client1.key > private/client1.pem | ||
| Riga 182: | Riga 182: | ||
</pre> | </pre> | ||
Ovviamente la pass phrase per '''/etc/ssl/private/client1.pem''' | Ovviamente la pass phrase per '''/etc/ssl/private/client1.pem''' è la stessa di '''/etc/ssl/private/client1.key'''. La ''Export Password'' viene richiesta al momento dell'importazione del file ''PKCS'' nel client browser. | ||
===Importazione dei certificati=== | ===Importazione dei certificati=== | ||
I certificati da importare nel browser secondo quanto fin qui descritto sono: | I certificati da importare nel browser secondo quanto fin qui descritto sono: | ||
# '''ca.crt''' - certificato della ''CA'' locale, da importare nella sezione " | # '''ca.crt''' - certificato della ''CA'' locale, da importare nella sezione "Autorità". Serve per dare "fiducia" al sito web della LAN. | ||
# '''client1.p12''' - certificato dell'utente finale da importare nel browser. | # '''client1.p12''' - certificato dell'utente finale da importare nel browser. | ||
| Riga 205: | Riga 205: | ||
===Creazione e aggiornamento di una CRL=== | ===Creazione e aggiornamento di una CRL=== | ||
Per conoscere quali certificati sono stati revocati, | Per conoscere quali certificati sono stati revocati, è necessario generare una ''CRL'' (''Certificate Revocation List''). Una ''CRL'' è una lista che dichiara quali certificati sono stati revocati e la motivazione della revoca. | ||
<pre># openssl ca -config openssl.cnf -gencrl -out crl/crl.pem</pre> | <pre># openssl ca -config openssl.cnf -gencrl -out crl/crl.pem</pre> | ||
Il comando precedente crea una ''CRL'' in base alle informazioni contenute in '''/etc/ssl/index.txt''' e deve essere impartito ogni volta che uno o | Il comando precedente crea una ''CRL'' in base alle informazioni contenute in '''/etc/ssl/index.txt''' e deve essere impartito ogni volta che uno o più certificati sono revocati. | ||
Dopo aver aggiornato una ''CRL'', | Dopo aver aggiornato una ''CRL'', è sempre necessario riavviare ''apache-ssl'' per rendere effettivi i cambiamenti. | ||
Per la configurazione di ''apache-ssl'' relativa all'uso delle ''CRL'' vedere la sezione [[#Configurazione Web Server|Configurazione Web Server]]. | Per la configurazione di ''apache-ssl'' relativa all'uso delle ''CRL'' vedere la sezione [[#Configurazione Web Server|Configurazione Web Server]]. | ||