Mostra Sommario / Indice / Ricerca

Informazioni su DOD PKI

In questa sezione viene descritto come installare, configurare e utilizzare Reflection in modo da sfruttarne la funzionalità nell'ambiente DOD (Department of Defense) o in un altro ambiente PKI (Public Key Infrastructure). La configurazione PKI influisce sia sulle connessioni Secure Shell che su quelle SSL/TLS.

Esecuzione di Reflection nella modalità DOD PKI

Per impostazione predefinita, le applicazioni Reflection consentono l'utilizzo di alcune configurazioni non conformi ai requisiti di DOD PKI. Gli amministratori possono utilizzare i criteri di gruppo per Reflection per configurare tutte le sessioni di Reflection in modo che soddisfino i requisiti di DOD PKI.

Per configurare la modalità DOD PKI

  1. Eseguire l'editor dei criteri di gruppo con uno dei seguenti metodi:
    • Nella riga di comando, immettere Gpedit.msc
      -oppure-
    • Nella console Utenti e computer di Active Directory, aprire le proprietà di una Unità organizzativa, fare clic sulla scheda Criteri di gruppo e modificare un oggetto di criteri o crearne uno nuovo.
  2. Installare il modello di Reflection (ReflectionPolicy.adm), se questa operazione non è stata già eseguita.

    Per informazioni sul download e l'installazione del modello di protezione di Reflection, vedere la Nota tecnica 2216 (in inglese).

  3. In Criterio computer locale > Configurazione utente > Modelli amministrativi > Impostazioni di Reflection, disattivare l'impostazione Consenti modalità non DoDPKI.

La configurazione della modalità DOD PKI produce gli effetti seguenti.

  • È necessario configurare Reflection per utilizzare il controllo CRL o un responder OCSP. Nella modalità DOD PKI, l'opzione che impedisce l'uso di entrambi i tipi di controllo è disattivata (per le connessioni SSH, la revoca dei certificati viene configurata tramite la scheda PKI della finestra di dialogo Impostazioni Reflection Secure Shell; per le connessioni SSL/TLS, viene configurata tramite la finestra di dialogo Configurazione PKI).
  • Reflection applica algoritmi di crittografia approvati da FIPS. Per le connessioni SSH, ciò significa che nella scheda Crittografia della finestra di dialogo Impostazioni Reflection Secure Shell sono disponibili soltanto opzioni approvate da FIPS. Per le connessioni SSL/TLS, ciò significa che non è possibile impostare Livello di crittografia su 40 Bit o 56 Bit.
  • Per riuscire a stabilire una connessione, è necessario che il nome dell'host del certificato corrisponda esattamente al nome dell'host specificato per la connessione di Reflection. Pertanto, l'impostazione Il nome dell'host del certificato deve corrispondere all'host che viene contattato viene selezionata automaticamente e non può essere modificata (per le connessioni SSH, questa impostazione viene configurata tramite la scheda PKI della finestra di dialogo Impostazioni Reflection Secure Shell; per le connessioni SSL/TLS, viene configurata tramite la finestra di dialogo Configurazione PKI).
  • I certificati CA intermedi firmati utilizzando l'hash MD2 o MD5 non sono supportati per la validazione dei certificati.

Installazione e rimozione dei punti attendibili

Un punto attendibile è un certificato CA in una catena di attendibilità.

Per aggiungere un punto attendibile a un archivio certificati di Reflection:

  1. Aprire il Gestore certificati Reflection.
  2. Fare clic sulla scheda Autorità di certificazione attendibili.
  3. Fare clic su Importa, quindi individuare un certificato (in genere, un file *.cer o *.crt).

Per rimuovere un punto attendibile dall'archivio certificati di Reflection:

  1. Aprire il Gestore certificati Reflection.
  2. Fare clic sulla scheda Autorità di certificazione attendibili.
  3. Selezionare il certificato e fare clic su Rimuovi.

Note

  • I punti attendibili CA intermedi possono essere recuperati da un server LDAP o HTTP identificabile mediante URI espliciti definiti nell'estensione AIA (Authority Information Access) di un certificato o tramite le informazioni di un server LDAP configurato nella scheda LDAP del Gestore certificati Reflection. Questi certificati vengono archiviati nel file cert_cache contenuto in <Documenti>\Attachmate\Reflection\.pki o \All users\Dati applicazioni\Attachmate\Reflection.
  • Quando Reflection viene eseguito nella modalità DOD PKI, vengono utilizzati soltanto i certificati principali aggiunti al Gestore certificati Reflection. Non è necessario rimuovere i certificati diversi da DOD PKI eventualmente presenti nell'archivio certificati di Windows.

Configurazione del controllo della revoca dei certificati

Il valore predefinito di Reflection per il controllo della revoca dei certificati si basa sull'impostazione attuale utilizzata dal sistema. Se nel sistema è configurata l'esecuzione del controllo CRL, come impostazione predefinita nelle sessioni di Reflection viene controllata la revoca dei certificati mediante CRL. È inoltre possibile configurare Reflection in modo che venga utilizzato un responder OCSP.

Reflection consente anche di utilizzare un'impostazione per la disattivazione del controllo CRL. Può essere opportuno utilizzare questa impostazione a scopo di verifica, sebbene questa opzione non sia disponibile se Reflection viene eseguito nella modalità DOD PKI.

Attenzione: La disattivazione del controllo CRL mette a rischio la protezione. Utilizzare questa opzione soltanto a scopo di verifica.

È possibile definire uno o più server LDAP da cui recuperare certificati intermedi o CRL.

Per definire un server LDAP

  1. Aprire il Gestore certificati Reflection
  2. Fare clic sulla scheda LDAP.
  3. Fare clic su Aggiungi, quindi specificare il server utilizzando il seguente formato URL:

    ldap://hostname:numeroporta

    Esempio:

    ldap://serverldap.miohost.com:389

Per configurare OCSP

  1. È possibile definire uno o più server OCSP da cui richiedere informazioni sulla revoca dei certificati.
  2. Impostare Revoca certificato su Utilizza OCSP (per le connessioni SSH, utilizzare la scheda PKI della finestra di dialogo Impostazioni Reflection Secure Shell; per le connessioni SSL/TLS, utilizzare la finestra di dialogo Configurazione PKI).

    Gli URL dei responder OCSP richiesti da un certificato sono indicati nell'estensione AIA del certificato. Se queste informazioni non sono fornite nel certificato, è possibile configurare le informazioni dei responder OCSP procedendo come segue.

  3. Aprire il Gestore certificati Reflection.
  4. Fare clic sulla scheda OCSP.
  5. Fare clic su Aggiungi, quindi specificare il server utilizzando il seguente formato URL:

    URL:numeroporta

    Esempio:

    https://ocspmachine.host.com:389

Utilizzo degli URI (Uniform Resource Identifier) per i servizi DOD PKI

Reflection supporta l'utilizzo di URI per l'aggiornamento e il recupero automatico di CRL, come descritto nella sezione 4.2.1.14 di RFC3280.

Se il controllo CRL è attivato, Reflection consente di verificare la revoca dei certificati nel modo seguente:

  1. Verifica la presenza di informazioni valide sulla revoca nel file crl_cache. Se tali informazioni non vengono trovate, passa al punto 2.
  2. Verifica l'estensione CDP nel certificato relativo agli URI HTTP o LDAP ed esegue una query di questi ultimi nell'ordine specificato (prima HTTP, quindi LDAP). Se rileva che il certificato è stato revocato, chiude la connessione. Se il certificato non viene trovato, passa al punto 3.
  3. Se nella scheda LDAP del Gestore certificati Reflection sono specificati uno o più server LDAP, compone il nome distinto (DN) del CA indicato nell'estensione dell'autorità emittente del certificato ed esegue una query per il file CRL. Se rileva che il certificato non è stato revocato in alcun CRL, passa alla fase successiva di convalida.

Gli aggiornamenti dei CRL scaduti vengono gestiti in maniera automatica e non richiedono interventi o configurazioni da parte dell'amministratore.

Se il controllo OCSP è attivato, Reflection verifica sempre tutti i responder OCSP disponibili per fare in modo che la connessione non venga stabilita nel caso in cui uno dei responder sia al corrente della revoca del certificato. Per consentire la riuscita della connessione, è necessario che almeno uno dei responder OCSP sia disponibile e restituisca un valore di accettazione per lo stato del certificato. Reflection consente di eseguire tali verifiche nel modo seguente.

  1. Verifica l'estensione AIA nel certificato di uno o più responder OCSP ed esegue una query di ciascuno di questi responder. Se uno dei responder indica lo stato revocato del certificato, chiude la connessione.
  2. Verifica uno o più responder OCSP configurati specificati mediante la scheda OCSP del Gestore certificati Reflection e invia una query a ciascun responder. Se uno dei responder indica lo stato revocato del certificato, chiude la connessione.
  3. Se tutti i responder forniscono lo stato sconosciuto, chiude la connessione. Se viene fornito un valore di accettazione per lo stato del certificato da parte di almeno uno dei responder OCSP a cui è stata inviata una query, passa alla fase di convalida successiva.

Uso degli URI per il recupero di certificati intermedi

Come descritto nella sezione 4.2.2.1 di RFC3280, Reflection consente di utilizzare gli URI per il recupero di CA intermedi nel modo seguente:

  1. Verifica la presenza del certificato intermedio richiesto nel file cert_cache. Se non viene trovato, passa al punto 2.
  2. Se gli URI HTTP o LDAP sono definiti nell'estensione AIA (Authority Information Access) di un certificato, tenta di utilizzarli (prima HTTP, quindi LDAP) per recuperare i certificati CA intermedi.
  3. Se i tentativi si rivelano inefficaci, compone un nome distinto (DN) dal nome dell'oggetto del certificato emittente ed esegue una query del server LDAP per richiedere il contenuto dell'attributo cACertificate.

Poiché Reflection non applica l'estensione dei criteri di protezione di un certificato, la configurazione dei criteri di protezione non è necessaria.

Configurazione e protezione di certificati e chiavi private

Per configurare l'autenticazione del client mediante certificati

  1. Aprire il Gestore certificati Reflection
  2. Nella scheda Personale, fare clic su Importa, quindi individuare un certificato (in genere, un file *.pfx o *.p12). Viene richiesta la creazione di una passphrase da immettere ogni volta in cui viene utilizzata questa chiave. L'immissione di una passphrase è consigliata per garantire la protezione della chiave nel sistema.
  3. Per le connessioni Secure Shell, aprire la finestra di dialogo Impostazioni Reflection Secure Shell, fare clic sulla scheda Chiavi utente e selezionare uno o più certificati da utilizzare per l'autenticazione del client all'host attualmente specificato (questa fase non è richiesta per le connessioni SSL/TLS).

Misure di sicurezza per la chiave privata

Se la chiave privata di un client viene intercettata, i file presenti su qualsiasi server accessibile da tale client potrebbero essere utilizzati da utenti malintenzionati. Per ridurre al minimo questo rischio, è necessario che ciascun utente client protegga sempre la propria chiave privata con una passphrase. In tal modo, l'autenticazione con questa chiave può essere eseguita soltanto da chi è a conoscenza della passphrase. Gli utenti devono creare e proteggere le passphrase in base alle specifiche sulle password indicate dai criteri di protezione dell'organizzazione.

Procedura da seguire in caso di intercettazione di una chiave

Una chiave viene considerata intercettata se viene identificata da un'entità non autorizzata o se si ritiene che le operazioni eseguite da una persona che accede alla chiave non siano attendibili.

Se la chiave del client viene intercettata, revocare il certificato del client.

Per sostituire una chiave intercettata

  1. Generare una nuova chiave privata e un nuovo certificato e importare la chiave nel Gestore certificati Reflection.
  2. Sul server, aggiornare la riga del file di mappa relativa al client nel caso in cui le informazioni di identificazione siano variate.

Per rimuovere la chiave intercettata dal computer client

  1. Rimuovere la chiave dalla scheda Personale del Gestore certificati Reflection. In tal modo, la chiave viene rimossa dal file identity_store.p12.
  2. Se il file originale contenente la chiave e il certificato precedenti (*.pfx o *.p12) si trova ancora nel computer client, utilizzare un'utilità di cancellazione dei file approvata da DOD per eliminare questo file.

Argomenti correlati

Panoramica di PKI

Configurazione del controllo della revoca dei certificati

Configurazione del server LDAP per il controllo CRL

Finestra di dialogo Configurazione PKI

Scheda PKI (Impostazioni Reflection Secure Shell)