Configurazione del controllo della revoca dei certificati

Le connessioni Reflection SSL/TLS e Secure Shell possono essere configurate in modo da autenticare gli host mediante certificati digitali. Per accertarsi che i certificati non siano revocati, è possibile configurare Reflection in modo che venga eseguito il controllo della revoca dei certificati mediante l'uso di CRL (Certificate Revocation List) o di un responder OCSP.

Un protocollo (che utilizza il trasporto HTTP) che può essere utilizzato quale alternativa al controllo CRL per confermare la validità di un certificato. I responder OCSP rispondono alle richieste sullo stato dei certificati fornendo una delle tre risposte con firma digitale possibili: "good" (corretto), "revoked" (revocato) e "unknown" (sconosciuto). L'uso di OCSP elimina la necessità da parte dei server e/o dei client di recuperare e ordinare CRL di grosse proporzioni.

Un elenco firmato digitalmente di certificati che sono stati revocati dall'autorità di certificazione (CA). I certificati identificati in un CRL non sono più validi.

Parte integrante di una PKI (Public Key Infrastructure). I certificati digitali vengono emessi da un'autorità di certificazione (CA) che garantisce la validità delle informazioni contenute nel certificato. Ogni certificato contiene informazioni di identificazione sul proprietario del certificato, una copia della chiave pubblica del proprietario del certificato (utilizzata per crittografare e decrittografare messaggi e firme digitali) e una firma digitale (generata dalla CA in base al contenuto del certificato). La firma digitale viene utilizzata da un destinatario per verificare che il certificato non sia stato alterato e che sia attendibile.

Quando il controllo CRL è attivato, Reflection verifica sempre la presenza di CRL nelle posizioni specificate nel campo Punto di distribuzione CRL del certificato. Reflection può essere inoltre configurato in modo che venga eseguito il controllo di CRL presenti in una directory LDAP o mediante l'uso di un responder OCSP.

Protocollo standard utilizzabile per archiviare informazioni in una posizione centrale e distribuirle agli utenti.

Il valore predefinito di Reflection per il controllo della revoca dei certificati si basa sull'impostazione attuale utilizzata dal sistema. Se nel sistema è configurata l'esecuzione del controllo CRL, come impostazione predefinita in tutte le sessioni di Reflection viene controllata la revoca dei certificati mediante CRL.

Nota: se Reflection viene eseguito nella modalità DOD PKI, la revoca dei certificati è sempre attivata e non può essere disattivata.

Per attivare il controllo CRL nel sistema:

Avviare Internet Explorer.
Scegliere Strumenti > Opzioni Internet > Avanzate.
In Protezione, selezionare Verifica revoca dei certificati del server.

In Reflection, è possibile attivare il controllo della revoca dei certificati mediante l'uso di un CRL o di un responder OCSP.

Per attivare il controllo CRL per le sessioni Secure Shell:

Aprire la scheda PKI nella finestra di dialogo Impostazioni Reflection Secure Shell.
Selezionare Utilizza OCSP o Utilizza CRL.

Per attivare il controllo CRL per le sessioni SSL/TLS:

Aprire la finestra di dialogo Proprietà di protezione.
Nella scheda SSL/TLS, fare clic su Configura PKI (l'opzione Utilizza protezione SSL/TLS deve essere selezionata).
Selezionare Utilizza OCSP o Utilizza CRL.

Nota: i CRL e/o i responder OCSP richiesti da un certificato sono indicati nell'estensione AIA e/o CDP del certificato. Se queste informazioni non sono fornite nel certificato, è possibile configurarle utilizzando le schede OCSP e LDAP del Gestore certificati Reflection.