TP RPV de niveau application EXTRANET

Transcription

1 TP RPV de niveau application EXTRANET L entreprise MAROQ a décidé d ouvrir une partie de son SI (Système d information) à ses partenaires. Cette ouverture s effectue par la création d un site web privé accessible seulement aux partenaires autorisés. Les communications doivent être chiffrées et les partenaires authentifiés. Il s agit ici donc ici de mettre en place un RPV de niveau applicatif. Les éléments nécessaires à la mise en place de ce RPV sont les suivants : un certificat numérique obtenu auprès d une autorité de certification mondialement reconnue pour le serveur Web ; Ceci permettra aux partenaires de vérifier qu ils sont bien sur le site de l entreprise MAROQ. un certificat numérique pour chacun des partenaires qui permettra de vérifier l identité du partenaire (dans le cadre de ce TP, ces certificats client seront délivrés par la même autorité de certification, dans la réalité ils pourraient être délivrés par une autorité de certification interne à l entreprise MAROQ) ; le protocole SSL pour chiffrer les communications ; Sur le schéma ci-dessous vous trouverez une présentation des différents intervenants : Au cours de ce TP, vous jouerez les trois rôles suivants : Le rôle de l administrateur réseau de l entreprise MAROQ, qui va mettre en place le serveur Web, installer le site web, demander son certificat auprès de l autorité de certification, activer le protocole SSL et rendre obligatoire l authentification des clients ; Le rôle d un partenaire de l entreprise MAROQ qui va demander un certificat auprès de l autorité de certification et se connecter au serveur web de l entreprise MAROQ ; Le rôle de l autorité de certification qui va réceptionner les demandes de certificats et délivrer ces derniers. Le temps consacré à ce TP étant limité, j ai déjà installé sur le réseau en adresse, un serveur win2008 virtuel qui joue le rôle de l autorité de certification. 1

2 Pour ce TP vous avez donc besoin d un serveur 2008 R2 (virtuel) qui jouera le rôle du serveur Web de l entreprise MAROQ et d un poste client quelconque (votre machine hôte ou votre Seven virtuel). Toutes ces machines doivent au moins être en réseau poste à poste. Vous utiliserez le navigateur Internet Explorer. Nota : Pour rédiger ce TP, mon poste client était en , mon autorité de certification en et mon serveur web en Tenez-en compte au moment de la lecture des captures de trames proposées. I INSTALLATION ET TEST DE FONCTIONNEMENT DU SITE I.1 INSTALLER IIS (INTERNET INFORMATION SERVICES) Sur votre serveur 2008 R2, vérifiez que le rôle Serveur Web IIS est installé ou installez-le. IIS est le composant Windows de publication sur internet. Il prend en charge à la fois le service Web et le service FTP au minimum. Lancez le gestionnaire IIS dans les outils d'administration, développez l'arborescence à droite, positionnez vous sur le site par défaut et explorez le en cliquant sur le lien "Explorer" dans le cadre de droite. Modifiez la page par défaut de ce site par défaut. I.2 TESTER LE FONCTIONNEMENT DU SITE DEPUIS L ENTREPRISE PARTENAIRE Depuis le client symbolisant le partenaire de l entreprise MAROQ, accédez au site web de l entreprise MAROQ. A l aide de WIRESHARK effectuez une capture de cet échange. Voici ce que vous devriez obtenir après avoir défini le filtre d affichage à «http» : II CONFIGURATION DU SITE AU SEIN DE L ENTREPRISE MAROC PRÉPARATION DE L AUTHENTIFICATION DU SITE Sur votre serveur Web, vous devez demander un certificat pour votre site web. II.1 CRÉER D UNE DEMANDE DE CERTIFICAT POUR UN SITE WEB Chaque site Web hébergé sur votre serveur Web nécessite un certificat distinct si vous souhaitez que le protocole SSL fonctionne correctement. La première étape du processus de création d'un certificat consiste à générer une demande de certificat (et donc vos clés privée et publique) que vous soumettrez à une autorité de certification. Dans la console IIS, cliquez sur la racine serveur et dans les icônes à droite, choisissez "Certificats de serveurs", puis "Créer une demande de certificat". Saisissez les informations requises sur l'identité de votre site Web, puis enregistrez le fichier texte sur votre bureau. Il contient votre demande de signature de certificat à soumettre à une autorité de certification. 2

3 Nom : Comme, dans le cadre de ce TP, le certificat est destiné à être utilisé sur un LAN, le nom usuel est le nom NetBIOS du serveur. Lorsque le certificat est destiné à être utilisé sur Internet, le nom usuel doit être un nom DNS valide. Organisation Définit le nom légal de votre entreprise, comme par exemple MAROQ. Unité d'organisation Définit le département de votre entreprise responsable du certificat puis entrez le nom usuel de votre site Web. Nota : Vous remarquerez que c est l entreprise demandeuse d un certificat qui crée sa paire de clef publique/privée. II.2 ENVOYER UNE DEMANDE DE CERTIFICAT À L AUTORITÉ DE CERTIFICATION Après avoir créé une demande de signature de certificat, vous devez l'envoyer aux services de certificats à l'aide de l'interface Web d'une autorité de certification. La demande de signature de certificat est stockée sous forme de fichier texte ASCII dans le fichier que vous avez spécifié à l'étape précédente. Ouvrez ce fichier dans le Bloc-notes et copiez tout le texte de la demande, y compris les instructions BEGIN et END, dans le presse-papiers. Vous pouvez désormais envoyer la demande à l autorité de certification (CA). Démarrez votre navigateur Web et tapez l'url de l CA, telle que /certsrv/. Vous devez voir s'afficher la page principale des services de certificats. Puis Demander un certificat > Demande de certificats avancée > Soumettez une demande de certificat > Collez la demande dans la zone de texte > Envoyer. Notez votre numéro de demande. Nota : Vous avez ici effectué votre demande de signature de certificat, il faut maintenant attendre la réponse de l autorité de certification pour récupérer votre certificat. Celui-ci ne sera délivré que lorsque l autorité de certification aura vérifié les informations que vous lui avez fournies et qu elle aura utilisé sa propre paire de clef publique/privée pour signer électroniquement votre demande de signature de certificat qui deviendra alors un vrai certificat. III APPROBATION DE LA DEMANDE DE CERTIFICAT DU SITE AU SEIN DE L AUTORITÉ DE CERTIFICATION Pour savoir comment approuver la demande de certificat, reportez-vous à l annexe 1. Mais c'est à vous de le faire sur l'autorité de certification. IV CONFIGURATION DU SITE WEB AU SEIN DE L ENTREPRISE MAROQ AUTHENTIFICATION DU SITE Sur votre serveur Web, vous devez installer ce certificat pour votre site web. IV.1 RÉCUPÉRER SON CERTIFICAT AUPRÈS DE L AUTORITÉ DE CERTIFICATION Une fois la demande approuvée par l autorité de certification mondialement reconnue, utilisez l'interface Web de cette dernière pour récupérer le certificat signé. Pour ce faire, procédez de la façon suivante : Démarrez votre navigateur Web et tapez l'url de l autorité de certification, telle que Erreur! Référence de lien hypertexte non valide. : Afficher le statut d une requête de certificat en attente. 3

4 Vous devez voir s'afficher une liste de demandes en attente. Les demandes sont répertoriées avec une description et un horodatage. Sélectionnez votre demande pour le site souhaité. Si un certificat a été délivré pour la demande, vous devez voir s'afficher une page indiquant que le certificat demandé vous a été délivré. Télécharger le certificat > Enregistrer ce fichier sur le disque. Vous devez utiliser «.cer» comme extension du fichier. IV.2 INSTALLER SON CERTIFICAT Lorsque vous avez reçu le certificat de l'autorité, vous pouvez l'installer en procédant de la façon suivante : Dans la console IIS, dans "Certificats de serveur", choisissez "Terminer la demande de certificat" et sélectionnez le certificat que vous venez de récupérer auprès de l'autorité de certification. Profitez-en pour parcourir le contenu de ce certificat. Numéro de série Le numéro de série unique du certificat Algorithme de signature L'algorithme de cryptage utilisé pour créer la signature du certificat Émetteur L'Autorité de certification émettrice du certificat Valide à partir du La date à partir de laquelle le certificat est valide Valide jusqu'au La date à laquelle le certificat expire Objet Champ utilisé pour définir le sujet du certificat, lequel inclut généralement l'identification et les informations géographiques Clé publique La clé publique cryptée du certificat Algorithme d'empreinte numérique L'algorithme de cryptage utilisé pour créer l'empreinte numérique du certificat Empreinte numérique L'empreinte numérique cryptée de la signature Nom convivial Le nom descriptif attribué au certificat Nota : vous pouvez constater que l autorité de certification utilisée n est pas reconnue, par notre serveur web. Nous allons maintenant lui indiquer que cette autorité de certification est digne de confiance. Pour cela cliquez sur le certificat de l autorité racine de nom «Certification» et «Installer le certificat». Affichez de nouveau le certificat, vous constatez que l autorité de certification est elle-même reconnue. IV.3 ACTIVER SSL Pour activer SSL sur le site par défaut, vous devez le sélectionner, puis cliquez dans la colonne de droite sur "liaisons" puis sur le bouton "ajouter". Sélectionnez HTTPS et le bon Certificat. Enfin il nous reste à exiger SSL. Cliquez sur l'icone "Paramètres SSL" et cochez "Exiger SSL". V ACCÉS AU SITE WEB DEPUIS L ENTREPRISE PARTENAIRE AUTHENTIFICATION DU SITE V.1 ACCÉDER AU SITE DE MAROQ Accédez au site web de l entreprise MAROC. Vous tombez sur une mise en garde de sécurité. En effet le partenaire n a pas approuvé l autorité de certification et donc le site web n est pas un site digne de 4

5 confiance. Nous pourrions approuver simplement le certificat du site, mais nous allons plutôt approuver l autorité de certification et par-là même approuver tous les certificats émis par cette autorité de certification. V.2 ENREGISTRER LE CERTIFICAT DE L AUTORITÉ DE CERTIFICATION «CERTIFICATION» Vous devez commencer par charger le certificat de l autorité de certification, en utilisant l application de cette dernière. Tapez donc url /certsrv dans votre navigateur Internet Explorer. Choisissez Télécharger un certificat d autorité de certification > Télécharger un certificat d autorité de certification et installez- le. V.3 TESTER SSL Accédez au site web en utilisant le protocole https. Si vous avez toujours un avertissement de sécurité, interrogez ce site web par son nom netbios. A l aide de WIRESHARK effectuez une capture de cet échange. Voici ce que vous devriez obtenir après avoir décoché le mode «promiscuous» dans les options de capture : VI ANALYSE DES CAPTURES DE TRAMES Comparez les deux captures de trames. Relevez le nom des protocoles utilisés sur les messages échangés entre le client et le serveur. En Http : En Https : Quelles sont les trames qui établissent la connexion TCP dans la deuxième capture de trames? Notez les trois étapes principales de l'échange entre le client et le serveur en TLSV1 : Nota : Nous sommes ici dans la situation des entreprises diffusant un site marchand sur Internet avec appel du protocole SSL au moment du paiement sécurisé par exemple. VII CONFIGURATION DU SITE AU SEIN DE L ENTREPRISE MAROQ AUTHENTIFICATION DES CLIENTS Les certificats client permettent aux utilisateurs de s'authentifier, auprès du serveur web, par l'intermédiaire de leur navigateur Web. Vous devez utiliser des certificats client si vous vous voulez accéder à un site Web externe sécurisé, comme par exemple celui de l entreprise MAROQ. Dans la console IIS, cliquez sur l'icone "Paramètres SSL" et cochez "Demander les certificats client". 5

6 VIII DEMANDE DE CERTIFICAT CLIENT AU SEIN DE L ENTREPRISE PARTENAIRE Vous devez commencer par faire une demande de certificat auprès de l autorité de certification, en utilisant l application de cette dernière. Tapez donc url /certsrv dans votre navigateur Internet Explorer (problème avec Firefox). SI l affichage n est pas toujours correct, dans les «Outils» Internet Explorer choisissez «Paramètres d affichage de compatibilité» et ajoutez le site web de l autorité de certification. Demander un certificat > Certificat de navigateur Web > Saisissez les Informations d identification > Envoyer. IX APPROBATION DE LA DEMANDE DE CERTIFICAT CLIENT AU SEIN L AUTORITÉ DE CERTIFICATION Pour savoir comment approuver la demande de certificat, reportez-vous à l annexe 1, mais c'est à vous de le faire. X INSTALLATION DU CERTIFICAT CLIENT AU SEIN DE L ENTREPRISE PARTENAIRE X.1 INSTALLER LE CERTIFICAT DE NAVIGATEUR WEB Vous devez récupérer votre certificat. Tapez donc url /certsrv dans votre navigateur Internet Explorer (problème avec Firefox), récupérez votre certificat de navigateur Web. Installez aussi le certificat de cette autorité de certification racine dans votre navigateur web. Vérifiez que votre certificat permet bien l authentification client en faisant «Certificats» puis en sélectionnant le certificat et en cliquant sur «Avancé». Nota : vous pouvez vérifier que votre certificat client est bien installé dans votre navigateur web en faisant «Outils, Options, Contenu, Certificats» X.2 TESTER LE FONCTIONNEMENT DU SITE Depuis le client web du partenaire de l entreprise MAROQ, accédez au site web en utilisant le protocole https. Cela fonctionne-t-il? XI RECONNAISSANCE DE L AUTORITÉ DE CERTIFICATION PAR LE SERVEUR DE L ENTREPRISE MAROQ En fait cela ne fonctionne pas encore car nous n avons pas dit à l ordinateur hébergeant IIS de reconnaître cette autorité de certification racine. Pour cela faîtes : Menu Démarrer > Exécuter > mmc. Puis dans la console, Fichier > Ajouter/Supprimer > Certificats. Choisissez maintenant le composant logiciel Certificats > Le compte d ordinateur > Ordinateur local. Dans le composant logiciel Certificats, développez le répertoire Autorités de certification racines de confiance > Certificats. Vous remarquez que notre autorité de certification n apparaît pas. Allez dans votre navigateur et exportez le certificat de cette autorité de certification, puis retournez dans la console et importez ce même certificat dans les dossiers Autorités de certification racine de confiance\certificats. 6

7 XII ACCÉS AU SITE DEPUIS L ENTREPRISE PARTENAIRE AUTHENTIFICATION DU SERVEUR ET DU CLIENT Depuis le client web du partenaire de l entreprise MAROQ, accédez au site web en utilisant le protocole https. A l aide de WIRESHARK effectuez une capture de cet échange : Nota : Nous venons d installer un extranet de niveau application. Pour communiquer les clients et le serveur doivent s authentifier. Le site web utilise cette architecture pour vérifier l identité des personnes venant faire leur déclaration d impôt en ligne. Il possède un certificat mondialement reconnu pour l authentification du site web et une autorité de certification interne pour distribuer les certificats des clients et permettre leur authentification 7