HOW TO. Gerando certificado digital, autoassinado,

Transcrição

1 Intrduçã HOW TO Página: 1 de 9 Este FAQ visa demnstrar cm efetuar a geraçã de um certificad digital n frmat PKCS#12, bem cm a imprtaçã d certificad X509 ns navegadres. O que é um certificad digital? Certificad digital é um dcument frnecid pela Entidade Certificadra para cada uma das entidades que irá realizar uma cmunicaçã, de frma a garantir sua autenticidade. Para s certificads utilizads na cmunicaçã HTTPS padrã utilizad é X.509. Este cmumente utiliza-se das extensões pem, cer e crt. Frmat PKCS#12 O frmat PKCS#12 fi criad pela RSA Labratries para armazenament d certificad X.509 acmpanhad da chave privada. Esse arquiv geralmente tem a extensã pfx e p12. Cmunicaçã HTTPS A cmunicaçã HTTPS utiliza-se d sistema de certificaçã digital. Quand cliente acessa um site cm HTTPS servidr envia a cliente certificad X.509 (que cntém sua chave pública). De psse deste certificad navegadr (cliente) faz algumas validações: Validade d certificad; Se CN (Cmmn Name) d certificad é hst da url; Se a autridade certificadra que assinu certificad é uma autridade cnfiável. Após a validaçã crrer cm sucess, cliente efetua prcess de cmunicaçã de requisições e respstas HTTP. Gerand certificad para utilizaçã d Firewall Cm prxy HTTPS transparente atua cm man-in-the-middle, u seja, ele precisa gerar certificad a cliente e este precisa valida-l. Para que Firewall pssa gerar certificads ele atua cm uma Autridade Certificadra (CA), u seja, ele gera s certificads para s sites n qual é acessad através d Prxy. Alguns pré-requisits sã necessáris para realizar este prcess: O firewall necessita de um certificad digital n frmat PKCS#12, pis smente este tem a chave privada; O Certificad X.509 cntid n PKCS#12 necessita ser um certificad cm prerrgativas específicas para que este certificad pssa assinar nvs certificads, u seja, atuar cm uma CA. Há várias pssibilidades de gerar certificad, neste FAQ serã explicadas duas delas. Nã é necessári realizar estas duas frmas para crret funcinament d Firewall, prtant esclha uma delas e realize smente ela. 1. Gerand um certificad aut-assinad cm OpenSSL; 2. Utilizand um certificad de uma autridade certificadra raiz (rt) d Windws. A final de qualquer um ds 2 prcesss esclhids haverã 2 arquivs que serã utilizads n prcess d Prxy HTTPS: 1. Arquiv n frmat X.509, cm extensã.cer; 2. Arquiv n frmat PKCS#12, cm extensã.pfx. O Arquiv PKCS#12 será utilizad na cnfiguraçã d Prxy HTTPS. Para maires infrmações verificar item crrespndente n manual d Firewall. Já arquiv X.509 precisa ser imprtad na seçã de autridades certificadras raiz cnfiáveis ds navegadres cnfrme demnstrad psterirmente neste FAQ.

2 Gerand certificad aut-assinad cm OpenSSL Página: 2 de 9 1. Efetue a instalaçã d OpenSSL; 2. Crie um diretóri para utilizações durante este prcess. 3. Crie um arquiv, dentr deste diretóri, vazi, cm nme database.txt 4. Crie um arquiv, dentr deste diretóri, vazi, cm nme serial.txt 5. Crie um arquiv nmead autassinad.cnf e adicine seguinte cnteúd: RANDFILE =.rnd [ ca ] default_ca = CA_default [ CA_default ] certs = certs crl_dir = crl database = database.txt new_certs_dir = certs certificate = cacert.pem serial = serial.txt crl = crl.pem private_key = privatecakey.pem RANDFILE = privateprivate.rnd default_days = 365 default_crl_days= 3 default_md = sha1 preserve = n plicy = plicy_match [ plicy_match ] cmmnname = supplied address = ptinal cuntryname = ptinal stateorprvincename = ptinal lcalityname = ptinal rganizatinname = ptinal rganizatinalunitname = ptinal [ req ] default_bits = 1024 default_keyfile = privkey.pem distinguished_name = req_distinguished_name [ req_distinguished_name ] cmmnname = Cmmn Name (eg, yur website`s dmain name) cmmnname_max = 64 address = Address address_max = 40 cuntryname = Cuntry Name (2 letter cde) cuntryname_min = 2 cuntryname_max = 2 cuntryname_default = BR stateorprvincename = State r Prvince Name (full name) lcalityname = Lcality Name (eg, city) 0.rganizatinName = Organizatin Name (eg, cmpany) rganizatinalunitname = Organizatinal Unit Name (eg, sectin) cuntryname_default = BR [ v3_ca ] certificateplicies= subjectkeyidentifier=hash authritykeyidentifier=keyid:always,issuer basiccnstraints=critical,ca:true

3 keyusage = critical,crlsign, keycertsign, digitalsignature 6. Crie a chave privada que será utilizada penssl genrsa -des3 -ut ca.key 1024 Página: 3 de 9 Neste mment será slicitada a senha para armazenament da chave, que será utilizada psterirmente para abertura da chave privada. Lading `screen` int randm state - dne Generating RSA private key, 1024 bit lng mdulus e is (0x10001) Enter pass phrase fr ca.key: 7. Crie certificad X.509. Este é arquiv que será utilizad futuramente para instalaçã ns clientes. penssl req -extensins v3_ca -cnfig autassinad.cnf -new -x509 -days key ca.key -ut firewall.cer Neste mment algumas infrmações serã slicitadas, a primeira delas é a senha da chave privada criada n pass anterir. Enter pass phrase fr ca.key: Agra serã slicitads s dads d certificad, únic item brigatóri é Cmmn Name (CN), nele adicine nme cm deseja que a sua CA seja identificada. Após a finalizaçã deste prcess tems nss certificad cnfrme imagem abaix: Prém tems 2 arquivs, um para a chave privada e utr para certificad, desta frma será necessári clcá-ls em um únic arquiv n frmat PKCS#12, que é frmat recnhecid pel Firewall. 8. Crie arquiv PKCS#12 cm a chave privada e certificad penssl pkcs12 -exprt -ut firewall.pfx -in firewall.cer -inkey ca.key

4 Página: 4 de 9 Neste prcess serã slicitadas 2 senhas, a primeira para abertura da chave privada e a segunda para a exprtaçã d arquiv PKCS#12. Esta segunda senha será utilizada n mment da imprtaçã d arquiv PKCS#12 n Firewall. Enter pass phrase fr ca.key: Enter Exprt Passwrd: Verifying - Enter Exprt Passwrd: Utilizand um certificad de uma autridade certificadra raiz (rt) d Windws Este item nã demnstra cm efetuar a instalaçã de uma Autridade Certificadra (CA) n Windws, e sim cm utilizar uma já instalada, send a instalaçã desta um pré-requisit para cntinuidade deste prcess. 1. Abra a cnsle de gerenciament de autridade certificadra em Start > Administrative Tls > Certificatin Authrity (Iniciar > Ferramentas Administrativas > Autridade de certificaçã) 2. Selecine a sua CA 3. Nestes próxims passs irems exprta certificad X.509 da CA. 4. Clique cm btã direit d muse e clique em Prperties (Prpriedades)

5 Página: 5 de 9 5. Selecine últim certificad da CA e clique em View Certificate (Exibir certificad) 6. Na tela de visualizaçã d certificad clique em Details (detalhes) e depis em Cpy t file (Cpiar para arquiv)

6 Página: 6 de 9 7. Selecine um lcal para salvar arquiv. Este é arquiv que será utilizad futuramente para instalaçã ns clientes. 8. Nestes próxims passs irems exprtar arquiv n frmat PKCS#12 para a utilizaçã n Firewall. Vlte para a tela principal da autridade certificadra. Clique cm btã direit d muse n nme da CA e clique em All Tasks (Tdas as tarefas) e clique em Back up CA (Fazer Backup da autridade de cert...) 9. Na próxima tela clique em Avançar. Na tela subseqüente selecine smente item Private key and CA certificate (Chave particular e certificad de autridade de certificaçã), indique diretóri nde será salv arquiv, clique em avançar. 10. Nesta tela (baix) indique a senha de prteçã d arquiv PKCS#12. Esta senha será utilizada n mment da imprtaçã d arquiv PKCS#12 n firewall.

7 Página: 7 de 9 Nesta tela (baix) indique a senha de prteçã d arquiv PKCS#12. Esta senha será utilizada n mment da imprtaçã d arquiv PKCS#12 n firewall. Imprtand certificad X.509 n Windws A imprtaçã deste certificad na base d Windws tem efeit em tds s aplicativs que cnsultam cm base ds certificads cnfiáveis. Na lista destes aplicativs estã: Internet Explrer Ggle Chrme Windws live Messenger (MSN) 1. Abra Micrsft Managment Cnsle. Vá em Iniciar > Executar e digite mmc e clique em OK. 2. Na tela d MMC clique em File (Arquiv) depis clique em Add/Remve snap-in... (Adicinar/remver snap-in...) 3. Selecine a pçã Certificates (Certificads) e clique em Add (Adicinar) 4. Selecine a pçã Cmputer accunt (Cnta de cmputadr), selecine a pçã Lcal Cmputer (Cmputadr lcal). 5. Na pçã Certificates > Trusted Rt Certificatin Authrities > Certificates (Certificads > Autridade de certificaçã raiz cnfiáveis > Certificads) clique cm btã direit e clique em All tasks > Imprt (Tdas as tarefas > Imprtar).

8 Página: 8 de 9 6. Selecine arquiv X.509, u seja, arquiv cm a extensã.cer. Imprtand certificad X.509 n Windws 1. Clique em Ferramentas > Opções

9 2. Selecine a pçã Avançad > Criptgrafia Página: 9 de 9 3. Selecine a pçã Certificads, na tela de certificads selecine a aba Autridades e clique n btã Imprtar. 4. Selecine arquiv X.509, u seja, arquiv cm a extensã.cer.