iseries Gestão de certificados digitais

Transcrição

1 iseries Gestão de certificados digitais

2

3 iseries Gestão de certificados digitais

4 ii iseries: Gestão de certificados digitais

5 Índice Parte 1. Gestão de certificados digitais Capítulo 1. O que há de noo na V5R Capítulo 2. Imprimir este tópico Capítulo 3. Utilizar certificados digitais Certificados digitais para comunicações seguras de SSL Certificados digitais para autenticação do utilizador Certificados digitais para ligações VPN Certificados digitais para assinar objectos Utilizar certificados públicos s. emitir certificados priados Exemplos da utilização de certificados digitais públicos por oposição aos priados Capítulo 4. Compreender os certificados digitais Autoridade de Certificação (CA) Localizações de Lista de Reogação de Certificados (CRL) Arquios de certificados Criptografia Chae pública Chae priada Assinaturas digitais Secure Sockets Layer (SSL) Capítulo 5. Utilizar o Gestor de Certificados Digitais Requisitos para utilizar o DCM Iniciar o Gestor de Certificados Digitais Configurar certificados pela primeira ez Criar e utilizar uma CA priada Gerir certificados a partir de uma CA de Internet pública Utilizar uma CA priada para emitir certificados para outros sistemas iseries Utilizar um certificado priado para sessões de SSL num sistema destino com a V5R Utilizar um certificado priado para assinar objectos num sistema destino com a V5R Utilizar um certificado priado para sessões de SSL num sistema destino com a V4R4 ou V4R5 39 Utilizar um certificado priado para sessões de SSL num sistema destino com a V4R Migrar o DCM de uma ersão anterior para a V5R Gerir aplicações no DCM Criar definições de aplicações Gerir a atribuição de certificados para uma aplicação Definir uma lista fidedigna de CAs para uma aplicação Validar certificados e aplicações Gerir localizações de CRL Armazenar chaes de certificados no IBM 4758 Cryptographic Coprocessor Guardar a chae priada de certificado directamente no coprocessador Utilizar a chae mestra do coprocessador para codificar a chae priada do certificado Gerir a localização do pedido de uma CA PKIX Gerir certificados de utilizador Criar um certificado do utilizador Atribuir um certificado de utilizador Obter uma cópia do certificado da CA priada Assinar objectos Verificar assinaturas de objectos Copyright IBM Corp. 1999, 2000 iii

6 Capítulo 6. Resolução de problemas do DCM Resolução de problemas com palaras-passe e gerais Resolução de problemas com arquios de certificados e base de dados de chaes Resolução de problemas com o browser Resolução de Problemas com o Seridor de HTTP Erros de migração e soluções de recuperação Resolução de problemas para atribuir um certificado de utilizador Capítulo 7. Outras fontes de informação sobre certificados digitais i iseries: Gestão de certificados digitais

7 Parte 1. Gestão de certificados digitais Um certificado digital é uma credencial electrónica que pode ser utilizada para comproar a identidade numa transacção electrónica. Existe um número crescente de utilizações para certificados digitais para fornecer medidas aançadas de segurança na rede. Por exemplo, os certificados digitais são essenciais para configurar e utilizar o Secure Sockets Layer (SSL). A utilização do SSL permite-lhe criar ligações seguras entre utilizadores e aplicações de seridor numa rede não fidedigna como, por exemplo, a Internet. O SSL fornece uma das melhores soluções para proteger a priacidade de dados sensíeis como, por exemplo, nomes de utilizador e palaras-passe, atraés da Internet. Muitos seriços e aplicações de iseries 400 como, por exemplo, FTP, Telnet, HTTP Serer for iseries e muitos outros, fornecem agora suporte de SSL para assegurar a priacidade dos dados. O iseries 400 fornece suporte alargado de certificados digitais, que lhe permite utilizar certificados digitais como credenciais em inúmeras aplicações de segurança. Além de utilizar certificados para configurar o SSL, pode utilizá-los como credenciais para a autenticação de cliente em transacções de SSL e de rede priada irtual (VPN). É fácil capitalizar com base no suporte de iseries para certificados quando utiliza o Gestor de certificados digitais (DCM), uma função gratuita do iseries, para gerir centralmente os certificados para as suas aplicações. O DCM permite-lhe gerir os certificados que obtém de qualquer Autoridade de Certificação (CA). Além disso, pode utilizar o DCM para criar e trabalhar com a sua própria CA para emitir certificados priados para aplicações e utilizadores na sua organização. O planeamento e a aaliação adequados são essenciais para a utilização eficaz de certificados com ista à obtenção de maiores benefícios de segurança. Deerá analisar estes tópicos para aprender mais sobre o funcionamento dos certificados e a utilização do DCM para os gerir e das aplicações que os utilizam: Utilizar certificados digitais Utilize estas informações para o ajudar a decidir como e quando dee utilizar certificados digitais para atingir os seus objectios de segurança. Obtenha informações sobre os diferentes tipos de certificados e analise cenários que ilustram os esquemas característicos de implementação de certificados para o ajudar a planear a implementação dos seus próprios certificados. Compreender os certificados digitais Utilize estas informações conceptuais e de referência para compreender melhor o que são os certificados e como funcionam. Utilizar o Gestor de Certificados Digitais (DCM) Utilize estas informações para aprender a utilizar o DCM para gerir os seus certificados e as aplicações que os utilizam. Além disso, pode aprender a assinar digitalmente objectos e a criar e trabalhar com a sua própria Autoridade de Certificação. Resolução de problemas do DCM Utilize estas informações para aprender a resoler alguns dos erros comuns que pode ter ao utilizar o DCM. Outras fontes de informação sobre certificados digitais Utilize esta página para obter ligações para outros recursos de modo a obter informações sobre certificados digitais, infra-estrutura de chaes públicas e outras informações relacionadas. Copyright IBM Corp. 1999,

8 2 iseries: Gestão de certificados digitais

9 Capítulo 1. O que há de noo na V5R1 Na V5R1, o Gestor de Certificados Digitais (DCM) foi melhorado de árias formas. A interface do DCM foi reformulada para facilitar a sua utilização para gerir os certificados e as aplicações que os utilizam. Para além disso, existem árias noas funções aançadas disponíeis para trabalhar com certificados. A seguinte lista descree algumas das mais importantes melhorias funcionais da gestão de certificados digitais: Certificados de assinatura de objectos e erificação de assinaturas Pode utilizar o DCM para criar e gerir certificados que poderá utilizar para assinar digitalmente objectos para assegurar a sua integridade e fornecer uma proa de origem dos objectos. Também poderá criar e gerir os certificados de erificação de assinatura correspondentes que poderão ser utilizados para autenticar a assinatura de um objecto assinado para assegurar que os dados no objecto permanecem inalterados e para erificar a proa da origem do objecto. Também poderá utilizar o DCM ou as APIs adequadas para assinar um objecto e erificar a assinatura de um objecto. Definições da aplicação Já pode utilizar o DCM para criar e actualizar as definições das aplicações e para gerir os certificados por elas utilizados. Isto permite-lhe facilmente utilizar o DCM para gerir os certificados que as aplicações em que escree ou que recebe de outras fontes necessitam para funções de segurança. Pode definir o tipo de aplicação (seridor, cliente, assinatura de objecto) e, dependendo do tipo de aplicação, poderá especificar se efectua o processamento da CRL, se requer autenticação pelo cliente ou se requer uma lista fidedigna de CA. Localizações da Lista de Reogação de Certificados (CRL) O DCM agora suporta a utilização de CRLs para fornecer um certificado e processo de alidação de aplicações mais fortes. Poderá utilizar o DCM para definir a localização onde reside uma CRL de uma Autoridade de Certificação num seridor de Seriços de Directório (LDAP) de modo a que o DCM e outras aplicações que efectuem o processamento de CRLs possam erificar se um determinado certificado não foi reogado. Reposição da palara-passe do arquio de certificados Agora já pode repor com facilidade a palara-passe de um arquio de certificados, quando for necessário, para eitar ficar bloqueado fora do arquio de certificados quando perder ou alterar a palara-passe, e se tal facto não for deidamente comunicado. Melhorias na renoação dos certificados Antes da V5R1, quando utilizaa o DCM para renoar um certificado proeniente de uma CA de Internet pública, o processo de renoação obrigaa-o a criar um noo certificado para substituir o certificado existente. Agora poderá utilizar a função de renoação para actualizar o próprio certificado de Internet público já existente. Suporte de CAs PKIX Agora pode utilizar o DCM para obter e gerir certificados de CAs que suportem as noas normas Public Key Infrastructure X.509 (PKIX) definindo a localização da CA que deseja utilizar. Pode utilizar o DCM para aceder à URL da CA de PKIX directamente para obter um certificado da CA. Suporte de IBM PCI Cryptographic Coprocessor para maior armazenamento de chaes de segurança Se o sistema tier um IBM PCI Cryptographic Coprocessor instalado, pode utilizá-lo para armazenar as chaes de certificado com mais segurança. Quando utilizar o DCM para criar ou renoar certificados, pode escolher guardar a chae directamente no coprocessador ou utilizar a chae principal do coprocessador para codificar a chae priada e guardá-la num ficheiro de arquio de chaes especial. Copyright IBM Corp. 1999,

10 4 iseries: Gestão de certificados digitais

11 Capítulo 2. Imprimir este tópico Para er ou descarregar a ersão PDF, seleccione Digital certificate management (o ficheiro tem um tamanho de 451 kb ou cerca de 55 páginas). Para guardar um PDF na estação de trabalho para isualização ou impressão: 1. Abra o PDF no browser (clique na ligação acima). 2. No menu do browser, clique em Ficheiro. 3. Clique em Guardar como Naegue para o directório onde deseja guardar a PDF. 5. Clique em Guardar. Pode er ou descarregar uma ersão de PDF deste documento para isualização ou impressão. Tem de ter o Adobe Acrobat Reader instalado para er ficheiros PDF. Poderá descarregar uma cópia da home page da Adobe.. Copyright IBM Corp. 1999,

12 6 iseries: Gestão de certificados digitais

13 Capítulo 3. Utilizar certificados digitais As funções de segurança do iseries 400 encontram-se entre as melhores do mundo. No entanto, deerá aumentar as suas medidas de segurança para proteger os recursos fornecidos pelo iseries quando fornece ou utiliza seriços da Internet. Pode utilizar o Gestor de Certificados Digitais (DCM) para aumentar a segurança do iseries configurando o sistema e as aplicações para utilizar certificados digitais. A utilização de certificados digitais pode ajudá-lo a melhorar a segurança de inúmeras maneiras. Os certificados digitais permitem-lhe utilizar o Secure Sockets Layer (SSL) para proteger o acesso a sites da Web e outros seriços Internet. Pode utilizar certificados digitais para configurar as ligações de rede priada irtual (VPN). Além disso, pode utilizar a chae de um certificado para assinar digitalmente objectos ou para erificar assinaturas digitais de modo a assegurar a autenticidade dos objectos. Essas assinaturas digitais asseguram a fiabilidade da origem de um objecto e protegem a integridade do objecto. O DCM permite-lhe criar e trabalhar com a sua própria Autoridade de Certificação (CA) priada local. Em seguida, pode utilizar a CA priada para emitir dinamicamente certificados digitais para aplicações e utilizadores na sua intranet ou extranet. Também pode utilizar o DCM para gerir certificados digitais obtidos da VeriSign ou de outra CA pública muito conhecida. Ainda pode aumentar mais a segurança do sistema utilizando certificados digitais (em ez de nomes de utilizador e palaras-passe) para autenticar e autorizar sessões entre o seridor e os utilizadores. Além disso, pode utilizar o DCM para associar o certificado de um utilizador ao respectio perfil do utilizador de iseries. Consequentemente, o certificado tem as mesmas autorizações e permissões que o perfil associado. Para obter mais informações sobre o modo como os certificados digitais se podem adequar à sua política de segurança, analise estes tópicos: Utilizar certificados digitais para configurar o Secure Sockets Layer (SSL) Utilize estas informações para aprender a utilizar certificados de modo a que as suas aplicações possam estabelecer sessões de comunicações seguras. Utilizar certificados digitais para autenticar utilizadores Utilize estas informações para aprender a utilizar certificados de modo a fornecer um meio mais sólido de autenticação dos utilizadores que acedem a recursos de seridor do iseries. Utilizar certificados digitais para configurar sessões de rede priada irtual (VPN) Utilize estas informações para aprender a utilizar certificados como parte da configuração de uma ligação VPN. Utilizar certificados digitais para assinar um objecto Utilize estas informações para aprender a utilizar certificados de modo a assegurar a integridade de um objecto ou para erificar a assinatura digital num objecto para erificar a sua autenticidade. Utilizar certificados públicos s. emitir certificados priados Utilize estas informações para aprender a determinar o tipo de certificado mais adequado às suas necessidades profissionais, depois de decidir como pretende utilizar certificados para tirar partido da segurança adicional por eles fornecida. Pode utilizar certificados de uma CA pública ou pode criar e trabalhar com uma CA priada para emitir certificados. O modo como decide obter os certificados depende de como planeia utilizá-los. Certificados digitais para comunicações seguras de SSL Pode utilizar certificados digitais para configurar aplicações para utilizar o Secure Sockets Layer (SSL) para sessões de comunicações seguras. Para estabelecer uma sessão de SSL, o seridor fornece sempre uma cópia do respectio certificado para alidação pelo cliente que solicita uma ligação. A utilização de uma ligação SSL: Assegura ao cliente ou utilizador final que o site é autêntico. Copyright IBM Corp. 1999,

14 Fornece uma sessão de comunicações codificada para assegurar que os dados transmitidos atraés da ligação permanecem priados. As aplicações seridor e cliente funcionam em conjunto, como se segue, para garantir a segurança dos dados: 1. A aplicação seridor apresenta o certificado à aplicação cliente (utilizador) como proa da identidade do seridor. 2. A aplicação cliente erifica a identidade do seridor comparando-a com uma cópia do certificado da Autoridade de Certificação emissora. (A aplicação cliente tem de ter acesso a uma cópia armazenada localmente do certificado de CA releante.) 3. As aplicações seridor e cliente concordam com uma chae simétrica para codificação e utilizam-na para codificar a sessão de comunicações. 4. Opcionalmente, agora o seridor pode requerer que o cliente forneça uma proa de identificação antes de permitir o acesso aos recursos pedidos. Para utilizar os certificados como proa de identidade, as aplicações de comunicações têm de suportar a utilização de certificados para autenticação do utilizador. O SSL utiliza algoritmos de chae simétrica (chae pública) durante o processamento do reconhecimento da comunicação de SSL para negociar uma chae simétrica que seja utilizada subsequentemente para codificação e descodificação dos dados da aplicação para essa sessão de SSL específica. Isto significa que o seridor e o cliente utilizam diferentes chaes de sessão, que expiram automaticamente após um determinado período de tempo, para cada ligação. Na probabilidade remota de alguém interceptar e descodificar uma determinada chae de sessão, não conseguirá utilizá-la para deduzir futuras chaes. Certificados digitais para autenticação do utilizador Tradicionalmente, os utilizadores obtêm acesso aos recursos a partir de uma aplicação ou sistema com base no respectio nome do utilizador e palara-passe. Ainda pode aumentar mais a segurança do sistema utilizando certificados digitais (em ez de nomes de utilizador e palaras-passe) para autenticar e autorizar sessões entre árias aplicações seridor e os utilizadores. Além disso, pode utilizar o Gestor de Certificados Digitais (DCM) para associar o certificado de um utilizador ao respectio perfil do utilizador de iseries. Consequentemente, o certificado tem as mesmas autorizações e permissões que o perfil associado. Um certificado digital funciona como uma credencial electrónica e erifica se a pessoa que o apresenta é realmente quem diz ser. Neste ponto de ista, um certificado é semelhante a um passaporte. Ambos estabelecem a identidade de um indiíduo, contêm um número único para efeitos de identificação e têm uma autoridade emissora reconhecíel que erifica a credencial como sendo autêntica. No caso de um certificado, uma Autoridade de Certificação (CA) funciona como a outra entidade fidedigna, que emite o certificado e o erifica como uma credencial autêntica. Para efeitos de autenticação, os certificados utilizam uma chae pública e uma chae priada relacionada. A CA emissora associa estas chaes, juntamente com outras informações sobre o proprietário do certificado, ao próprio certificado para efeitos de identificação. Um número cada ez maior de aplicações já fornecem suporte para utilizar certificados para autenticação de clientes durante uma sessão de SSL. A partir da V5R1, estas aplicações iseries fornecem suporte de certificados de autenticação de clientes: Seridor Telnet Seridor IBM HTTP Serer (original e potenciado pela Apache) Seridor de Seriços de Directório (LDAP) Central de Gestão Client Access Express (incluindo Operations Naigator) Seridor FTP 8 iseries: Gestão de certificados digitais

15 Os certificados podem fornecer um meio mais forte de autenticação de utilizadores por ários motios: Existe a possibilidade de um indiíduo se esquecer da respectia palara-passe. Assim, os utilizadores têm de memorizar ou registar os respectios nomes de utilizador e palaras-passe para assegurar que não se esquecem delas. Como resultado, os utilizadores não autorizados podem obter mais prontamente nomes de utilizador e palaras-passe de utilizadores autorizados. Dado que os certificados são armazenados num ficheiro ou noutra localização electrónica, as aplicações cliente (e não os utilizadores) tratam do acesso e da apresentação do certificado para autenticação. Isto assegura uma menor probabilidade de os utilizadores partilharem certificados com utilizadores não autorizados, a não ser que os utilizadores não autorizados tenham acesso ao sistema do utilizador. Além disso, é possíel instalar certificados em smart cards como meio adicional de os proteger de utilização não autorizada. Um certificado contém uma chae priada, que nunca é eniada com o certificado para identificação. Em ez disso, o sistema utiliza esta chae durante o processamento de codificação e descodificação. Outros podem utilizar a chae pública correspondente do certificado para erificar a identidade do emissor dos objectos assinados com a chae priada. Muitos sistemas requerem palaras-passe com 8 caracteres ou menos, tornando-as mais ulneráeis a ataques de suposição. As chaes criptográficas de um certificado têm centenas de caracteres. Este comprimento, juntamente com a sua natureza aleatória, torna as chaes criptográficas muito mais difíceis de adiinhar do que as palaras-passe. As chaes de certificados digitais fornecem árias utilizações possíeis que as palaras-passe não fornecem como, por exemplo, integridade dos dados e priacidade. Pode utilizar certificados e as respectias chaes associadas para: Assegurar a integridade detectando alterações aos dados. Proar que uma determinada acção foi realmente executada. A isto chama-se não repúdio. Assegure a priacidade das transferências de dados utilizando Secure Sockets Layer (SSL) para codificar sessões de comunicações. Para obter mais informações sobre a configuração do iseries para utilizar certificados para autenticação de clientes durante uma sessão de SSL, consulte Proteger aplicações com SSL. Certificados digitais para ligações VPN A partir da V5R1, poderá utilizar certificados digitais como uma forma de estabelecer uma ligação a uma rede priada irtual (VPN) iseries. Ambos os pontos terminais de uma ligação VPN dinâmica têm de conseguir autenticar-se mutuamente antes de actiar a ligação. A autenticação de pontos terminais é feita atraés do seridor Internet Key Exchange (IKE) em cada extremidade. Após uma autenticação com sucesso, os seridores IKE podem negociar as metodologias de encriptação e os algoritmos que ão utilizar para proteger uma ligação VPN. Anteriormente à V5R1, os seridores IKE só podiam autenticar-se atraés da utilização de uma chae pré-partilhada. Utilizar uma chae pré-partilhada é menos seguro porque tem de se comunicar a chae manualmente ao administrador do outro ponto terminal do VPN. Consequentemente, existe uma possibilidade de a chae ser exposta a terceiros durante o processo de comunicação da chae. Na V5R1 poderá eitar este risco utilizando os certificados digitais para autenticar os pontos terminais em ez de utilizar uma chae pré-partilhada. O seridor IKE poderá autenticar o certificado do outro seridor para estabelecer uma ligação para negociar as metodologias e algoritmos de encriptação que os seridores utilizarão para proteger a ligação. Pode utilizar o Gestor de Certificados Digitais (DCM) para gerir os certificados que o seridor IKE utiliza para estabelecer uma ligação VPN dinâmica. Tem de primeiro decidir se deseja utilizar certificados públicos ersus emitir certificados priados para o seridor IKE. Algumas implementações de VPN requerem que o certificado contenha informações de nome de assunto alternatio tal como, por exemplo, um nome de domínio ou de endereço de correio electrónico, para além das informações de nome único standard. Quando utilizar a CA priada do utilitário de DCM para emitir um certificado, poderá especificar informações sobre o nome de sujeito alternatio para o certificado. Capítulo 3. Utilizar certificados digitais 9

16 Especificar estas informações assegura que a ligação VPN do iseries é compatíel com outras implementações VPN que possam requerer autenticação. Para saber mais sobre como gerir certificados para as ligações VPN, reeja os seguintes recursos: Se nunca utilizou o DCM para gerir certificados, os seguintes tópicos poderão ajudá-lo a começar: Criar e utilizar uma CA priada descree como utilizar o DCM para emitir certificados priados para as suas aplicações. Gerir certificados a partir de uma CA de Internet pública descree como utilizar o DCM para trabalhar com certificados proenientes de uma CA pública. Se presentemente utilizar o DCM para gerir certificados para outras aplicações, reeja estes recursos para aprender como especificar que uma aplicação deerá utilizar um certificado existente e quais os certificados que a aplicação poderá aceitar e autenticar: Gerir a atribuição de certificados a uma aplicação que descree como utilizar o DCM para atribuir um certificado existente a uma aplicação tal como, por exemplo, o seridor IKE. Definir uma lista fidedigna de CA para uma aplicação descree como especificar em que CAs deerá uma aplicação confiar quando aceitar certificados para autenticação de um cliente (ou VPN). Certificados digitais para assinar objectos A partir da V5R1, o iseries 400 fornece suporte para a utilização de certificados para assinar digitalmente objectos e erificar as assinaturas digitais de objectos. A assinatura digital de objectos fornece uma forma de assegurar a integridade do conteúdo de um objecto, bem como da fonte da origem de um objecto. O suporte da assinatura de objectos aumenta as tradicionais ferramentas de sistema do iseries para controlar quem pode alterar objectos. Os controlos tradicionais não podem proteger um objecto de alterações não autorizadas quando o objecto estier em trânsito na Internet ou em qualquer outra rede que não seja fidedigna, ou quando o objecto for guardado num sistema não iseries. Utilizar assinaturas digitais de objectos protege os objectos de alterações não autorizadas em situações semelhantes às descritas. Colocar uma assinatura digital num objecto consiste em utilizar a chae priada de um certificado para adicionar um resumo matemático codificado dos dados existente num objecto. A assinatura protege os dados de alterações não autorizadas. O objecto e o seu conteúdo não são codificados e tornados priados pela assinatura digital. No entanto, o resumo propriamente dito é codificado para impedir alterações não autorizadas. Quem quiser assegurar-se de que o objecto não foi modificado durante o trânsito e que foi originado numa fonte aceite e legítima, poderá utilizar a chae pública do certificado de assinatura para erificar a assinatura digital original. Se a assinatura não corresponder, os dados podem ter sido alterados. Nesse caso, eite utilizar o objecto e contacte o proprietário da assinatura para obter uma outra cópia do objecto assinado. Se decidir que a utilização de assinaturas digitais se adequa às suas necessidades e políticas de segurança, deerá aaliar se dee utilizar certificados públicos ersus emitir certificados priados. Se pretender distribuir objectos a utilizadores num público mais asto, deerá considerar utilizar certificados proenientes de uma Autoridade de Certificação (CA) pública deidamente conhecida. Utilizar certificados públicos assegurará que outros possam erificar as assinaturas que colocar em objectos de uma forma fácil e pouco dispendiosa quando os distribuir. No entanto, se pretender distribuir objectos apenas no interior da sua organização, talez seja preferíel utilizar o Gestor de Certificados Digitais (DCM) para operar a sua própria CA para emitir certificados sem ter de os adquirir a partir de uma CA externa. A assinatura de um objecto representa o sistema que assinou o objecto e não um determinado utilizador desse sistema (apesar de o utilizador ter de possuir as autoridades adequadas para utilizar o certificado para assinar objectos). Como parte do processo de erificação de assinaturas digitais, terá de decidir em que Autoridade de Certificação deerá confiar e que certificados utilizar para assinar objectos. Se decidir confiar numa CA, poderá decidir se deerá confiar nas assinaturas que alguém criará utilizando um 10 iseries: Gestão de certificados digitais

17 certificado emitido por uma CA fidedigna. Quando decidir não confiar numa CA, também decidirá não confiar nos certificados que a CA emitir ou nas assinaturas que alguém criar utilizando esses certificados. Valor de sistema Verificar restauro de objectos (QVFYOBJRST) Se decidir efectuar a assinatura de objectos e a erificação da assinatura, uma das primeiras decisões importantes que terá de tomar será a determinação da importância das assinaturas para os objectos que ão ser restaurados para o sistema. Poderá controlá-lo com o noo alor de sistema denominado QVFYOBJRST. A predefinição deste alor de sistema permite que sejam restaurados objectos não assinados. No entanto, assegura que os objectos assinados só podem ser restaurados se tierem uma assinatura álida. O sistema só define um objecto como assinado se o objecto tier uma assinatura que seja fidedigna. O sistema ignorará todas as outras assinaturas não fidedignas no objecto e tratará o objecto como se de facto não tiesse nenhuma assinatura. Existem ários alores que poderá utilizar para o alor de sistema QVFYOBJRST, desde ignorar todas as assinaturas a requerer assinaturas álidas para todos os objectos que o sistema restaurar. O alor de sistema só afectará os objectos executáeis que estierem a ser restaurados, não afectando ficheiros de salaguarda ou de IFS. Para saber mais informações sobre como utilizar este alor de sistema, consulte o tópico Localizador de Valores de Sistema no Information Center. Poderá utilizar o Gestor de Certificados Digitais (DCM) para implementar o seu certificado e decisões de confiança da CA bem como gerir os certificados que utilizar para assinar objectos e para erificar as assinaturas de objectos. Para obter mais informações sobre como utilizar o DCM para assinar objectos e erificar assinaturas de objectos, reeja os seguintes tópicos: Assinar objectos. Verificar assinaturas de objectos. Utilizar certificados públicos s. emitir certificados priados Assim que decidir utilizar certificados, deerá escolher o tipo de implementação de certificados mais adequada às suas necessidades de segurança. As opções de que dispõe para obter certificados incluem: Adquirir os certificados a uma Autoridade de Certificação (CA) de Internet pública. Trabalhar com a sua própria CA para emitir certificados priados para os utilizadores e as aplicações. Utilizar uma combinação de certificados de CAs de Internet públicas e da sua própria CA. A escolha de quais destas opções de implementação ai utilizar depende de ários factores, sendo um dos mais importantes o ambiente em que os certificados são utilizados. Seguem-se algumas informações para o ajudar a determinar melhor qual é a escolha de implementação certa para as suas necessidades profissionais e de segurança. Utilizar certificados públicos As CAs de Internet públicas emitem certificados para qualquer pessoa que pague o montante necessário. No entanto, uma CA de Internet ainda requer uma proa de identidade para emitir um certificado. No entanto, este níel de comproação aria, dependendo da política de identificação da CA. Dee aaliar se o rigor da política de identificação da CA é adequado às suas necessidades de segurança antes de decidir obter certificados da CA ou confiar nos certificados por ela emitidos. Uma ez que as normas Public Key Infrastructure Exchange (PKIX) eoluíram, algumas CAs públicas mais recentes agora fornecem normas de identificação mais rigorosas para a emissão de certificados. Ainda que o processo de obtenção de certificados dessas CAs PKIX seja mais integrado, os certificados emitidos pela CA fornecem maior garantia para protecção do acesso a aplicações por parte de utilizadores específicos. O Gestor de Certificados Digitais (DCM) permite-lhe utilizar e gerir os certificados de CAs PKIX que utilizam estas noas normas de certificados. Capítulo 3. Utilizar certificados digitais 11

18 Também tem de considerar o custo associado à utilização de uma CA pública para emitir certificados. Se precisar da emissão de certificados para um número limitado de aplicações seridor ou cliente e utilizadores, o custo poderá não ser um factor importante para si. No entanto, o custo pode ser particularmente importante se tier um grande número de utilizadores priados que necessitem de certificados públicos para autenticação de clientes. Neste caso, deerá igualmente considerar o esforço administratio e de programação necessário para configurar as aplicações seridor para aceitar apenas um subconjunto específico de certificados emitidos por uma CA pública. A utilização de certificados de uma CA pública pode poupar-lhe tempo e recursos porque muitas aplicações seridor, cliente e de utilizador estão configuradas para reconhecerem a maioria das CAs públicas muito conhecidas. Além disso, outras empresas e utilizadores podem reconhecer e confiar mais nos certificados emitidos por uma CA pública muito conhecida do que nos certificados emitidos pela sua CA priada. Utilizar certificados priados Se criar a sua própria CA, poderá emitir certificados para sistemas e utilizadores num âmbito mais limitado, como a sua empresa ou organização. A criação e manutenção da sua própria CA permite-lhe emitir certificados apenas para os utilizadores que sejam membros fidedignos do seu grupo. Esta particularidade proporciona uma melhor segurança, uma ez que pode controlar quem tem certificados e, deste modo, quem tem acesso aos seus recursos, de forma mais económica. Uma possíel desantagem da manutenção da sua própria CA é o inestimento obrigatório em tempo e recursos. No entanto, o Gestor de Certificados Digitais (DCM) facilita-lhe este processo. Nota: Seja qual for a CA utilizada para emitir os certificados, o administrador de sistema controla as CAs em que as aplicações no sistema deem confiar. Se conseguir encontrar uma cópia de um certificado para uma CA conhecida no browser, este poderá ser definido para confiar nos certificados de seridor que foram emitidos por essa CA. No entanto, se esse certificado de CA não se encontrar no seu arquio de certificados *SYSTEM, o seu seridor não confiará nos certificados de utilizador ou cliente emitidos por essa CA. Para confiar nos certificados de utilizador emitidos por uma CA, terá de pedir uma cópia do certificado de CA à CA. Ela terá de estar no formato de ficheiro correcto e terá de adicionar esse certificado ao seu arquio de certificados do DCM. Poderá considerar útil analisar alguns exemplos de situações comuns de utilização de certificados para o ajudar a decidir se é a utilização de certificados públicos ou priados que melhor se adequa às suas necessidades profissionais e de segurança. Tarefas relacionadas Depois de decidir como pretende utilizar certificados e que tipo ai utilizar, analise estes procedimentos para obter mais informações sobre como utilizar o Gestor de Certificados Digitais para pôr o seu plano em acção: Criar e utilizar uma CA priada descree as tarefas que tem de executar caso decida trabalhar com uma CA para emitir certificados priados. Gerir certificados a partir de uma CA de Internet pública descree as tarefas que tem de executar para utilizar certificados de uma CA pública muito conhecida, incluindo uma CA PKIX. Utilizar uma CA local noutros seridores iseries descree as tarefas que tem de executar se quiser utilizar certificados de uma CA priada em mais de um sistema. 12 iseries: Gestão de certificados digitais

19 Exemplos da utilização de certificados digitais públicos por oposição aos priados A decisão de obter certificados de uma Autoridade de Certificação (CA) de Internet pública ou de utilizar uma CA priada para emitir certificados depende de ários factores. Estes factores incluem quem deseja que tenha acesso às aplicações e qual o grau de segurança com que pretende manter os seus dados. Os seguintes cenários ilustram diferentes abordagens à utilização dos certificados para regular o acesso às aplicações da sua empresa e à protecção dos dados priados que estas aplicações fornecem. Cenário 1: Utilizar certificados digitais públicos para acesso público limitado aos recursos internos Os certificados públicos são certificados que são emitidos por uma CA de Internet conhecida. Utilizar certificados digitais públicos para limitar ou permitir o acesso às suas aplicações e dados é uma opção prática dadas as seguintes condições ou semelhantes: Os seus dados e aplicações requerem graus de segurança ariáeis. Existe uma eleada taxa de rotatiidade entre os utilizadores fidedignos. Fornecer acesso público a aplicações e dados, tal como, por exemplo, um site de Internet ou uma aplicação extranet. Não deseja trabalhar com a sua própria Autoridade de certificação (CA). Se trabalha para uma seguradora, por exemplo, pode ser responsáel pela manutenção de diferentes aplicações nos sites de Intranet e Internet da empresa. Uma aplicação em particular pela qual é responsáel é uma aplicação de cálculo de taxa que permite aos agentes gerar quotas para os respectios clientes. Embora esta aplicação não seja altamente sensíel, pretende assegurar-se de que apenas os agentes registados a podem utilizar. Para além disso, não confia na segurança que as palara-passe proporcionam uma ez que podem ser partilhadas entre agentes diferentes. Para fornecer uma segurança adequada, pode requerer que os agentes obtenham um certificado de uma CA conhecida e fidedigna. Assim que obtier um certificado, um agente autorizado poderá isitar o site da sua empresa e solicitar o acesso à sua aplicação de cálculo de taxas. Em seguida, o seridor pode aproar ou rejeitar o pedido com base nas informações do certificado que o agente apresentar. Se o seridor aproar o pedido, é concedido acesso ao agente para a aplicação. Cenário 2: Utilizar certificados digitais priados para limitar o acesso a aplicações priadas na Intranet Utilizar certificados digitais públicos para limitar e permitir o acesso às suas aplicações é uma opção prática dadas as seguintes condições ou semelhantes: É exigido um eleado grau de segurança, sobretudo no que diz respeito à autenticação de utilizadores. Existe confiança nos indiíduos para quem são emitidos certificados. Os utilizadores já têm perfis de utilizador do iseries para controlar o seu acesso às aplicações e dados. Pretende trabalhar com a própria Autoridade de Certificação (CA). Se trabalha numa grande empresa, o departamento de recursos humanos está proaelmente preocupado com problemas, como, por exemplo, questões legais e a priacidade dos registos. Tradicionalmente, utilizaa perfis de utilizador e palaras-passe para limitar o acesso a estes dados. Dada a natureza confidencial destes dados, apercebe-se de que as palaras-passe não protegem de forma eficaz o acesso a estes dados. Afinal, as pessoas podem partilhá-las, esquecer-se delas ou até mesmo roubá-las. Deste modo, decidiu configurar uma CA priada e emitir certificados para todos os empregados e obrigar os empregados a associar os seus certificados aos seus perfis de utilizador do iseries. Este tipo de implementação de certificados priados permite um maior controlo de acesso aos dados confidenciais, Capítulo 3. Utilizar certificados digitais 13

20 bem como controlar a priacidade dos dados atraés da utilização de SSL. Por fim, ao emitir pessoalmente certificados, aumenta a probabilidade de os dados permanecerem seguros e estarem acessíeis apenas a indiíduos específicos. A segurança que os certificados fornecem não está limitada à protecção dos dados contra ameaças externas. Também pode utilizar certificados para restringir o acesso de certos empregados a dados específicos. Por exemplo, pode utilizar certificados para impedir que os programadores de software da sua empresa acedam aos registos de recursos humanos referidos no cenário anterior. Também podem impedir os escritores técnicos de utilizar aplicações de gestão de alto níel. Pode utilizar efectiamente certificados para restringir o acesso em toda a rede. 14 iseries: Gestão de certificados digitais