Génération & Intégration Des certificats SSL Dans Apache & IIS

Transcription

1 Génération & Intégration Des certificats SSL Dans Apache & IIS

2 Classification : Non sensible public 2/11

3 Table des matières 1 Obtention d un certificat SSL Installation dans Apache/Linux Introduction Installation du patch mod-ssl Installation de la chaîne de confiance ASIP Santé Modification de la chaîne de confiance ASIP Santé La gestion des CRL L authentification d accès carte CPS Installation dans Microsoft IIS Configuration de IIS Configuration de IIS Ajout/modification des autorités clientes acceptées Classification : Non sensible public 3/11

4 1 Obtention d un certificat SSL Vous pouvez obtenir un certificat serveur de type SSL, à l aide de l outil CleoCPS, mis à disposition librement et gratuitement par l ASIP santé : (Outil disponible uniquement sous Windows) Cet outil graphique vous aidera à obtenir de manière simple votre certificat serveur, durant les différentes phases de la génération (génération des clés, création de la demande, envoi et réception à la plateforme d inscription). De plus, le document d accompagnement joint avec l application CleoCPS : «ASIP_manuel_certificats_serveur_CleoCPS-V-X-X-X.pdf» Vous guidera pas-à-pas dans l obtention de votre certificat. Classification : Non sensible public 4/11

5 2 Installation dans Apache/Linux 2.1 Introduction Pour satisfaire les besoins d'authentification de l ASIP Santé, le module mod_ssl du serveur Web Apache a été modifié de façon à combler une lacune de ce module et de la bibliothèque cryptographique OpenSSL par rapport aux RFC normalisant les protocoles d'authentification par certificat. Ce document présente le mode opératoire pour appliquer ce patch et installer ensuite le module sur une plate-forme Linux. 2.2 Installation du patch mod-ssl Vous pouvez récupérer le patch mod_ssl sur les sites intégrateurs de l ASIP Santé : (Authentification préalable nécessaire) Et ensuite suivre les instructions d installation/configuration à l aide du document joint au patch : «patch mod-ssl pour Apache v pdf» Il est à noter que ce patch est disponible pour la version d Apache Classification : Non sensible public 5/11

6 2.3 Installation de la chaîne de confiance ASIP Santé Cette action consiste à installer dans le serveur web Apache la chaîne de confiance de l ASIP Santé pour valider l authentification d accès CPS et l intégration de votre certificat SSL ASIP Santé. Les chaînes de confiances sont stockées sur le serveur dans le répertoire /usr/local/conf/ssl.crt/ sous 2 formes concaténées dans les fichiers : - ca.crt (Chaîne des autorités du certificat serveur) - ca-bundle.crt (Ensemble des autorités clientes autorisées) Séparées avec l extension.crt (on applique la commande «make» sur ce répertoire pour indexer les certificats) Vous pouvez procéder comme ci-dessous : 1. Récupérer, au format PEM, l ensemble des certificats AC-ROOT, AC-CLASSE-0, AC-CLASSE- 1, AC-CLASSE-2, AC-CLASSE-3, AC-CLASSE-4 etc... sur le site web intégrateurs : 2. Si vous mettez en œuvre la gestion des listes de révocation (CRL), pensez aussi à télécharger et installer les certificats AC-ROOT-CRL, AC-CLASSE-0-CRL, AC-CLASSE-1-CRL, AC- CLASSE-2-CRL, AC-CLASSE-3-CRL, AC-CLASSE-4-CRL etc.. 3. placer ces certificats dans le répertoire /usr/local/conf/ssl.crt/ et taper «MAKE» 4. Editer le fichier de configuration httpd.conf (chemin /usr/local/conf/) Ou bien ssl.conf (chemin /etc/httpd/conf.d/) et vérifier les lignes : $ vi httpd.conf (ou vi ssl.conf) SSLCertificateFile /usr/local/apache/conf/ssl.crt/siteweb.crt SSLCertificateKeyFile /usr/local/apache/conf/ssl.key/siteweb.key SSLCertificateChainFile /usr/local/apache/conf/ssl.crt/ca.crt SSLCACertificatePath /usr/local/apache/conf/ssl.crt SSLCACertificateFile /usr/local/apache/conf/ssl.crt/ca-bundle.crt 5. et relancer le serveur : /usr/local/apache/bin/apachetcl startssl (Ou bien, en fonction de la distribution de Linux : service httpd restart) Classification : Non sensible public 6/11

7 2.4 Modification de la chaîne de confiance ASIP Santé La modification des autorités de confiance acceptées (du certificat client) sur le serveur, se fait comme ceci : - soit vous éditez le fichier ca-bundle.crt (Correspondant à la directive SSLCACertificateFile), et vous modifiez/ajoutez/supprimez les autorités à modifier. (Chaque autorité doit être au format PEM-Base64) Puis vous redémarrez le serveur Apache (commande : service httpd restart), pour prendre en compte les modifications. - soit vous éditez le fichier httpd.conf (ou ssl.conf), et vous modifiez la directive SSLCACertificateFile, pour pointer vers un nouveau bundle d autorités. (avec un nom de fichier différent). Ce qui permet de passer d un bundle à un autre rapidement. Puis vous redémarrez le serveur Apache (commande : service httpd restart), pour prendre en compte les modifications. $ vi httpd.conf (ou vi ssl.conf) # Bundle de certificats contenant des anciennes autorités. (désactivée - mis en commentaire) #SSLCACertificateFile /usr/local/apache/conf/ssl.crt/ca-bundle1.crt # Bundle de certificats contenant des nouvelles autorités (ligne active non commentée) SSLCACertificateFile /usr/local/apache/conf/ssl.crt/ca-bundle2.crt Classification : Non sensible public 7/11

8 2.5 La gestion des CRL. Scripts de chargement des CRLs Les scripts getallcrl.sh et get-crl.pl sont fournis pour télécharger les listes de révocation à partir de l'annuaire de l ASIP Santé. Pour utiliser les scripts il faut les recopier dans un répertoire exécutable (comme /usr/bin), disposer de l'interpréteur Perl et des programmes clients LDAP d'openldap ( Avant d'exécuter les scripts il faut créer un répertoire temporaire, qui servira de cache local pour les CRL, par exemple "/usr/local/apache/conf/ssl.crl/cache". Il faut lancer régulièrement le téléchargement (la fréquence doit être calquée sur la publication des CRLs) : getallcrl.sh /usr/local/apache/conf/ssl.crl/cache \ /usr/local/apache/conf/ssl.crl/ca-bundle.crl Attention, les CRLs doivent impérativement être mises à jour avant leur expiration sous peine de voir le serveur apache refuser toutes les connections. Modification à apporter à la configuration d'apache Pour configurer apache dans le cadre ASIP Santé, vous trouverez ci-dessous les extraits d'un exemple de fichier httpd.conf. $ vi httpd.conf # Certificate Revocation Lists (CRL): # Recommandé : à activer pour tenir compte des listes de révocation. SSLCARevocationFile /usr/local/apache/conf/ssl.crl/ca-bundle.crl Classification : Non sensible public 8/11

9 2.6 L authentification d accès carte CPS Pour activer l authentification du client (Librairie crypto + carte CPS) vous devez vérifier que votre fichier de configuration apache (httpd.conf ou ssl.conf) possède bien ces 2 lignes : $ vi httpd.conf (ou vi ssl.conf) SSLVerifyClient require # (active l authent. X509) SSLVerifyDepth 4 # (profondeur de la chaîne de confiance) SSLVerifyClient Attention : La valeur «require» semble ne pas fonctionner avec WebPass car ce dernier semble avoir des difficultés lors des renégociations. SSLVerifyDepth Valeur recommandée : "4". Cette valeur tient compte de la hiérarchie de certification actuelle de l ASIP Santé. Classification : Non sensible public 9/11

10 3 Installation dans Microsoft IIS Remarque : La console d administration de Internet Information Server 5 (IIS 5) de Microsoft ne permet de générer que des requêtes de certificats X509 possédant le champ STATE. Ce champ n existe pas dans les certificats CLASSE-5 délivrés par l ASIP Santé et ne doit pas être présent, même vide. Pour générer un certificat conforme ASIP Santé, référez vous au chapitre 1 de ce document. 3.1 Configuration de IIS 5 1. Ouvrez le Gestionnaire des services Internet (sous Outils administratifs) et naviguez vers le site Web pour lequel vous voulez activer des communications sécurisées (SSL/TLS). 2. Cliquez avec le bouton droit sur le site, puis cliquez sur Propriétés. 3. Vous devez maintenant voir l'écran des propriétés associé au site Web. Cliquez sur l'onglet Sécurité de répertoire. 4. Sous la section Communications sécurisées, cliquez sur Certificat de serveur. 5. Ceci va démarrer l'assistant Certificat de site Web. Cliquez sur Suivant. 6. Choisissez l'option Attribuer un certificat existant, puis cliquez sur Suivant. 7. Vous devez maintenant voir un écran qui affiche le contenu du magasin de certificats personnel de votre ordinateur. Mettez en surbrillance votre certificat de serveur Web (désigné par le nom commun), puis cliquez sur Suivant. 8. Vous devez maintenant voir un écran résumé qui affiche tous les détails des certificats que vous installez. 9. Cliquez sur Suivant, puis sur OK pour quitter l'assistant. 3.2 Configuration de IIS 7 1. Ouvrez le Gestionnaire des services Internet (sous Outils administratifs) et ouvrez l assistant IIS7 et ouvrez «Certificats de serveur» 2. Cliquez dans les actions sur «Importer» 3. Importez votre certificat SSL au format PFX. (fichier contenant le certificat + la clé privée) (vous pouvez renommer votre fichier P12 en PFX) 4. Naviguez vers le site Web pour lequel vous voulez activer des communications sécurisées (SSL/TLS) : Cliquez avec le bouton droit sur le site, puis cliquez sur «Modifier les liaisons» 5. Dans la fenêtre, cliquez sur «Ajouter» 6. Dans le champ «Type», choisissez «https», puis dans le champ «Certificat SSL», sélectionnez votre certificat SSL précédemment ajouté. Puis faites «OK» pour valider. 7. Dans l assistant IIS 7 de votre site, choisissez «Paramètres SSL». 8. Cochez «Exiger SSL» et «Exiger SSL 128 bits», et dans les «Certificats client», cocher «Accepter». 9. Cliquez sur «Appliquer» dans les actions. Classification : Non sensible public 10/11

11 3.3 Ajout/modification des autorités clientes acceptées Quelque soit la version d IIS utilisée, les autorités clientes acceptées par le serveur doivent être présentes dans le magasin de certificats du compte de l ordinateur hébergeant IIS. Procédure : - Sur le serveur hébergeant IIS, ouvrir une console MMC («MMC.exe») - Ajouter un composant enfichable de type «Certificats» - Sélectionner «Compte de l ordinateur» - Ajouter/supprimer/modifier les certificats racines client autorisés, dans : «Autorités de certification racines de confiance» -> «Certificats» - Ajouter/supprimer/modifier les certificats intermédiaires client autorisés, dans : «Autorités intermédiaires» -> «Certificats» - Redémarrer ensuite IIS pour prendre en compte ces nouvelles autorités. Classification : Non sensible public 11/11