IBM SecureWay Trust Authority. Guia do Usuário. Versão 3 Release 1.2 S

Transcrição

1 IBM SecureWay Trust Authority Guia do Usuário Versão 3 Release 1.2 S

2

3 IBM SecureWay Trust Authority Guia do Usuário Versão 3 Release 1.2 S

4 Nota! Antes de utilizar estas informações e o produto suportados por elas, leia as informações gerais em Aisos na página 47. Segunda Edição (Junho de 2000) Esta edição se aplica ao programa IBM SecureWay Trust Authority, 5648-D09, ersão 3 release 1, modificação 2ea todos os releases e modificações subseqüentes até que seja indicado o contrário em edições futuras. Copyright International Business Machines Corporation 1999, Todos os direitos reserados.

5 Índice Capítulo 1. Sobre o Trust Authority... 1 Capítulo 2. Visão Geral Capítulo 3. Como Fazer para...? Acessar a Página de Inscrição na Web Inscreer-se Utilizando um Naegador Pedir um Certificado de Naegador Inscreer um Seridor ou um Dispositio Pré-registrar Alguém Verificar Status da Inscrição Utilizar um Naegador para Gerenciar Certificados 11 Colocar um Certificado em Suspensão Renoar um Certificado Reogar um Certificado Cancelar Pedidos Atios Trabalhar com Vários Certificados Instalar o Aplicatio Client Atiar um Smart Card Físico Acessar o Aplicatio Client Inscreer-se Utilizando o Client Utilizar um Arquio de Pré-registro para Inscrição Utilizar um ID de Transação para Inscrição Utilizar o Client para Gerenciar Certificados Excluir um Certificado ou um Pedido Pendente 16 Exportar um Certificado de um Smart Card para um Arquio Importar um Certificado de um Arquio para um Smart Card Moer um Certificado para um Smart Card Diferente Abrir um Certificado para Exibir Detalhes Colocar um Certificado em Suspensão Renoar um Certificado Renoar Certificados a Serem Expirados Reogar um Certificado Assinar um Arquio Trabalhar com uma Lista de Certificados Moer-se entre as Guias Exibir mais Linhas de uma Tabela Redimensionar uma Coluna da Tabela Utilizar o Client para Gerenciar Smart Cards Abrir um Smart Card Diferente Alterar a Senha de um Smart Card Exibir Propriedades do Smart Card Sair do Aplicatio Client Remoer a Instalação do Aplicatio Client Capítulo 4. Sobre Inscrição Pré-registro Suporte ao Naegador da Web Registro Critério de Negócio Autoridades de Registro Bancos de Dados de Registro Domínios de Registro Registros Atributos do Registro Certificação Autoridades de Certificação Listas de Reogação de Certificados Diretórios Nomes Distintos Certificados Certificados de Naegador Certificados CA Certificados de Seridor ou de Dispositio Extensões de Certificados Ciclos de Vida dos Certificados Possibilidade de Renoação Acesso aos Recursos Seguros Controle de Acesso Autenticação e Autorização Assinaturas Digitais Smart Cards Capítulo 5. Referência Formulário de Inscrição da Página da Web Tipos de Certificados Fornecidos Razões para Reogar um Certificado Requisitos do Sistema para Inscrição do Naegador 35 Requisitos do Sistema para o Aplicatio Client.. 35 Janela Principal do Aplicatio Client Menus da Janela Exibição do Smart Card Guias da Janela Exibição do Smart Card Tabelas da Janela Exibição do Smart Card Diálogos do Aplicatio Client Diálogo Renoação do Certificado Diálogo Alterar Senha Diálogo Excluir Certificado Diálogo Exportar Certificado Diálogo Importar Certificado Diálogo Noo Certificado Utilizando um Arquio de Pré-registro Diálogo Noo Certificado Utilizando um ID de Transação Diálogo Abrir Certificado Diálogo Abrir Smart Card Diálogo Renoar Certificado Diálogo Reogar Certificado Diálogo Assinar um Arquio Diálogo Propriedades do Smart Card Auxílio para o Aplicatio Client Considerações sobre o Idioma Nacional Aisos Marcas e Marcas de Seriço Copyright IBM Corp. 1999, 2000 iii

6 Informações Relacionadas Índice Remissio Glossário i Trust Authority: Guia do Usuário

7 Capítulo 1. Sobre o Trust Authority O IBM SecureWay Trust Authority fornece aplicatios para autenticar usuários e garantir uma comunicação confiáel: Permite que as organizações emitam, publiquem e administrem certificados digitais de acordo com seus critérios de registro e certificação. Suporte para Public Key Infrastructure para X.509 ersão 3 (PKIX) e padrões de criptografia da CDSA (Common Data Security Architecture) permitem interoperabilidade de fornecedor. Assinatura digital e protocolos de segurança fornecem os meios para autenticar todas as partes em uma transação. Recursos de registro com base em naegador e cliente fornecem flexibilidade máxima. Comunicações criptografadas e armazenamento seguro de informações sobre registro garantem a confiabilidade. Um sistema Trust Authority pode ser executado nas plataformas de seridor do IBM AIX/6000 e Microsoft Windows NT. Inclui os seguintes recursos principais: Um CA (Autoridade de Certificação) confiáel que gerencia o ciclo completo de duração do certificado digital. Para garantir a autenticidade de um certificado, o CA assina digitalmente cada um dos certificados que ele emite. Também assina as CRLs (certificate reocation lists) para garantir o fato de que um certificado não esteja mais álido. Para estender a proteção da chae de assinatura, é possíel utilizar o hardware criptográfico, como o Co-processador Criptográfico IBM SecureWay 4758 PCI. Um RA (Autoridade de Registro) lida com tarefas administratias referentes ao registro do usuário. O RA assegura que apenas os certificados que suportam suas atiidades comerciais sejam emitidos, e que eles sejam emitidos apenas para usuários autorizados. As tarefas administratias podem ser executadas atraés de processos automatizados ou por decisão humana. Uma interface de inscrição com base na Web facilita a obtenção de certificados para naegadores, seridores e outras finalidades, como dispositios VPN (irtual priate network), smart cards e seguro. Um aplicatio do Windows, o Trust Authority Client, permite que os usuários finais obtenham e gerenciem certificados sem utilizar um naegador da Web. Uma interface de administração com base na Web, o RA Desktop, permite que registradores autorizados aproem ou rejeitem pedidos de inscrição e certificados de administrador depois de terem sido emitidos. Um subsistema de Auditoria computa um MAC (código de autenticação de mensagem) para cada registro de auditoria. Se os dados de auditoria forem alterados ou eliminados depois de terem sido graados no banco de dados de auditoria, o MAC permite que ocê detecte a intrusão. Saídas de critérios permitem que os desenoledores do aplicatio personalizem os processos de registro. Suporte integrado para mecanismo criptográfico. Para autenticar comunicações, os componentes do Trust Authority central são assinados com uma chae priada gerada de fábrica. Objetos de segurança, como chaes e MACs, são criptografadas e armazenadas em áreas protegidas chamadas KeyStores. Copyright IBM Corp. 1999,

8 Suporte integrado para o Directory IBM SecureWay. O Directory armazena informações sobre certificados álidos e reogados em um formato compatíel com LDAP. Suporte integrado para o IBM WebSphere Application Serer e o IBM HTTP Serer. O seridor da Web trabalha com o seridor RA para criptografar mensagens, autenticar pedidos e transferir certificados para o recipiente desejado. Suporte integrado para o premiado IBM DB2 Uniersal Database. 2 Trust Authority: Guia do Usuário

9 Capítulo 2. Visão Geral Quando uma organização possui aplicatios seguros protegidos pelo Trust Authority, apenas usuários com as credenciais apropriadas podem acessar esses aplicatios. Alguém que deseje uma credencial, tal como um certificado digital, pode solicitá-lo fornecendo informações apropriadas. Dados do pedido de inscrição formam a base para decidir se o pedido será aproado ou rejeitado. Quando um pedido de inscrição é aproado, o RA (Autoridade de Registro) do Trust Authority processa o pedido e o CA(Autoridade de Certificação) do Trust Authority emite o certificado. Os registros de pedidos de inscrição e os certificados são armazenados em um banco de dados de registro criptografado. Um sistema Trust Authority oferece mais de uma maneira de pedir um certificado: Os formulários de inscrição do Trust Authority, disponíeis em uma página da Web. O aplicatio Trust Authority Client, executado no Microsoft Windows. Sua organização pode utilizar um dos dois métodos de inscrição ou ambos, o qual melhor se adaptar às inscrições e a seus critérios de negócio. Os formulários de inscrição permitem a ocê submeter as informações necessárias para a solicitação de um certificado e, em seguida, retornar para obter a resposta do recurso de registro do Trust Authority. Você pode solicitar um certificado de naegador, um certificado de seridor ou um certificado de dispositio. Você também pode registrar-se preiamente em um certificado para obter acesso a um aplicatio compatíel com o PKIX. Você também pode retornar à página de inscrição da Web para gerenciar certificados recebidos diretamente dela. O aplicatio Client oferece um processo mais simples, projetado para usuários que já foram pré-registrados. O aplicatio também fornece diálogos e comandos para ajudá-lo a obter e gerenciar os certificados. Este guia funciona como suporte em qualquer uma dessas tarefas de inscrição. Copyright IBM Corp. 1999,

10 4 Trust Authority: Guia do Usuário

11 Capítulo 3. Como Fazer para...? Os tópicos desta seção fornecem: Instruções para cada fase da inscrição para um certificado na página de inscrição do Trust Authority na Web, e sobre como utilizar esta página para gerenciar certificados de naegador que ocê obtee com ela. Instruções para utilização do aplicatio Client do Trust Authority para solicitar um certificado após o pré-registro ou para gerenciar e utilizar seus certificados. Acessar a Página de Inscrição na Web Para acessar a página de inscrição na Web: 1. Assegure-se de que sua estação de trabalho atenda aos requisitos listados na seção Requisitos do Sistema para Inscrição do Naegador na página Obtenha a URL de sua organização para acessar a página de inscrição na Web. A URL terá o seguinte formato: 3. Abra seu naegador e digite a URL: No Netscape, digite a URL na caixa de texto em Localização. No Internet Explorer, digite-a na caixa de texto em Endereço. 4. Pressione a tecla Enter. A página de inscrição do Trust Authority na Web é exibida. Para uma instalação padrão, o nome da página é Central de Credencial. 5. Se ocê estier utilizando os seriços de inscrição do Trust Authority pela primeira ez, clique em Instalar o certificado CA do nosso seridor. Este certificado atia seu naegador a autenticar comunicações dos seriços de inscrição. A próxima ez em que ocê utilizar esses seriços, ocê poderá omitir esta etapa. Inscreer-se Utilizando um Naegador Os tópicos nesta seção descreem como utilizar seu naegador da Web para pedir um certificado na página de inscrição do Trust Authority. Se ocê estier utilizando os seriços de inscrição pela primeira ez, ocê dee obter um certificado CA para seu naegador da Web antes de continuar. Depois disso, ocê pode utilizar as páginas da inscrição repetidas ezes. Dependendo da forma como o recurso de registro foi personalizado para sua organização, os procedimentos para se obter um certificado álido podem ariar. Os tópicos a seguir fornecem as etapas básicas. Entre em contato com o administrador do sistema para obter os procedimentos apropriados de seu site. Pedir um Certificado de Naegador Para obter um certificado atraés do naegador da Web: 1. Acesse a página de inscrição na Web a partir de seu naegador. 2. Em Tipo de Inscrição, abra a lista e selecione Certificado de Naegador. 3. Em Ação, selecione Inscreer. Copyright IBM Corp. 1999,

12 6 Trust Authority: Guia do Usuário 4. Clique em OK. O formulário de inscrição solicitado é exibido. 5. Siga as instruções na página da Web para completar os campos no formulário. A seção Formulário de Inscrição da Página da Web na página 31 descree os campos. O formulário possui as seguintes seções: Uma seção Informações sobre o Registro com caixas de texto que ocê preenche com suas informações pessoais ou com informações sobre ocê. Uma seção Informações sobre o Pedido de Certificado com caixas de texto que ocê preenche com informações sobre o certificado desejado. Se ocê não fornecer alores nos campos de opção da seção, o Trust Authority fornecerá padrões que são associados com o tipo de certificado que ocê está pedindo. Dê atenção particular aos seguintes campos: Tipo de Certificado Selecione o tipo de certificado de naegador que sua organização deseja que ocê apresente. A seção Tipos de Certificados Fornecidos na página 33 descree os tipos de certificado. Instalar o Certificado CA para o Naegador Clique para obter um certificado CA correspondente que seja compatíel com o tipo de certificado. Se ocê clicar neste botão, o certificado CA será carregado imediatamente. Este certificado atia seu naegador a autenticar comunicações do Trust Authority. Se por alguma razão ocê já possui o mesmo certificado CA, ocê não precisará de outro. Endereço de Para selecionar Notificação por , ocê precisa fornecer seu endereço de . Notificação por Selecione aqui para receber sobre o resultado de seu pedido. Resposta do Desafio Não se esqueça de que a Resposta do Desafio fornecida faz distinção entre maiúsculas e minúsculas. Você precisará saber mais tarde para erificar o status do pedido de inscrição. Nome Comum O campo Nome Comum é pré-preenchido com informações que ocê especifica em Primeiro Nome e Sobrenome. Se, posteriormente, ocê oltar a esse campo para modificar as entradas de primeiro nome ou sobrenome, as alterações poderão não ser refletidas automaticamente em seu nome comum. Se isso realmente ocorrer, certifique-se de atualizar o campo Nome Comum com os alores reisados de Primeiro Nome e Sobrenome antes de submeter o formulário de registro. Nome de Domínio Forneça o nome do host da máquina em que o certificado está sendo instalado, se ela estier relacionada ao uso do certificado. Esse campo é opcional para certificados de naegador; utilize-o apenas se for instruído a fazê-lo. 6. Clique em Submeter Pedido de Inscrição. Depois que o Trust Authority recebe o formulário de inscrição, ocorre o seguinte: Se o formulário contier erros, ele os mostrará. Faça as alterações e clique em Submeter Pedido de Inscrição Noamente.

13 Se o formulário não contier erros, outra página da Web exibirá seu ID de pedido. 7. Certifique-se de registrar seu ID de pedido. Ele o identificará posteriormente, para que ocê possa erificar o status do pedido e receber seu certificado quando estier pronto. Execute um dos seguintes procedimentos, conforme descrito na página da Web: Coloque a página da Web no marcador para que possa retornar facilmente a ela e erificar seu certificado. Registre o ID do pedido para que possa fornecê-lo ao retornar. Aguarde que o ID do pedido chegue a ocê atraés de . Inscreer um Seridor ou um Dispositio Qualquer seridor ou dispositio que ocê inscreer dee ter características específicas conforme descritas neste manual. A seção Certificados de Seridor ou de Dispositio na página 27 descree essas características. Para obter um certificado de seridor ou dispositio atraés do naegador da Web: 1. Acesse a página de inscrição na Web a partir de seu naegador. 2. Em Tipo de Inscrição, abra a lista e selecione Certificado de seridor ou dispositios. 3. Em Ação, selecione Inscreer. 4. Clique em OK. O formulário de inscrição solicitado é exibido. 5. Siga as instruções na página da Web para completar os campos no formulário. A seção Formulário de Inscrição da Página da Web na página 31 descree os campos. O formulário possui as seguintes seções: Uma seção Informações sobre o Registro com caixas de texto que ocê preenche com suas informações pessoais ou com informações sobre ocê. Uma seção Informações sobre o Pedido de Certificado com caixas de texto que ocê preenche com informações sobre o certificado desejado para seridor ou dispositio. Se ocê não fornecer alores nos campos de opção da seção, o Trust Authority fornecerá padrões que são associados com o tipo de certificado que ocê está pedindo. Dê atenção particular aos seguintes campos: Tipo de Certificado Selecione o tipo de certificado de seridor ou dispositio que sua organização deseja que ocê peça. A seção Tipos de Certificados Fornecidos na página 33 descree os tipos de certificado. Salar o Certificado CA para o Arquio Clique para obter um certificado CA correspondente que seja compatíel com o tipo de certificado. O naegador solicitará que ocê forneça o caminho. Se ocê clicar neste botão, o certificado CA será carregado imediatamente. Este certificado atia o seridor ou dispositio a autenticar comunicações do Trust Authority. Se por alguma razão ocê já possui o mesmo certificado CA, ocê não precisará de outro. Endereço de Para selecionar Notificação por , ocê precisa fornecer seu endereço de . Capítulo 3. Como Fazer para...? 7

14 Notificação por Selecione aqui para receber sobre o resultado de seu pedido. Resposta do Desafio Não se esqueça de que a Resposta do Desafio fornecida faz distinção entre maiúsculas e minúsculas. Você precisará saber mais tarde para erificar o status do pedido de inscrição. Nome Comum O campo Nome Comum é pré-preenchido com informações que ocê especifica em Primeiro Nome e Sobrenome. Se, posteriormente, ocê oltar a esse campo para modificar as entradas de primeiro nome ou sobrenome, as alterações poderão não ser refletidas automaticamente em seu nome comum. Se isso realmente ocorrer, certifique-se de atualizar o campo Nome Comum com os alores reisados de Primeiro Nome e Sobrenome antes de submeter o formulário de registro. Nome de Domínio Forneça o nome do host da máquina em que o certificado está sendo instalado, se ela estier relacionada ao uso do certificado. Esse campo é opcional para certificados de seridores; se incluí-lo, identifique a máquina em que o seridor da Web está instalado. O Nome de Domínio é requerido para certificados IPSec; ocê dee identificar o dispositio IPSec em que o certificado será instalado. 6. Clique em Submeter Pedido de Inscrição. Depois que o Trust Authority recebe o formulário de inscrição, ocorre o seguinte: Se o formulário contier erros, ele os mostrará. Faça as alterações e clique em Submeter Pedido de Inscrição Noamente. Se o formulário não contier erros, outra página da Web exibirá seu ID de pedido. 7. Certifique-se de registrar seu ID de pedido. Ele o identificará posteriormente, para que ocê possa erificar o status do pedido e receber seu certificado quando estier pronto. Execute um dos seguintes procedimentos, conforme descrito na página da Web: Coloque a página da Web no marcador para que possa retornar facilmente a ela e erificar seu certificado. Registre o ID do pedido para que possa fornecê-lo ao retornar. Aguarde que o ID do pedido chegue a ocê atraés de . Pré-registrar Alguém Você pode utilizar os seriços de inscrição para pré-registrar a si mesmo ou alguém mais em um certificado para acessar um aplicatio compatíel com PKIX. Mais tarde eles podem fazer download do certificado enquanto estão utilizando o aplicatio Client do Trust Authority. Para pré-registrar outra pessoa atraés de seu naegador da Web: 1. Acesse a página de inscrição na Web a partir de seu naegador. 2. Em Tipo de Inscrição, abra a lista e selecione Pré-registro do Certificado. 3. Em Ação, selecione Inscreer. 4. Clique em OK. O formulário de inscrição solicitado é exibido. 8 Trust Authority: Guia do Usuário

15 5. Siga as instruções na página da Web para completar os campos no formulário. A seção Formulário de Inscrição da Página da Web na página 31 descree os campos. O formulário possui as seguintes seções: Uma seção Informações sobre o Registro com caixas de texto que ocê preenche com as informações sobre a pessoa que ocê está pré-registrando. Você também pode fornecer aqui algumas informações que permitirão que ocê erifique o status de seu pedido. Uma seção Informações sobre o Pedido de Certificado com caixas de texto que ocê preenche com informações sobre o certificado desejado. Se ocê não fornecer alores nos campos de opção da seção, o Trust Authority fornecerá padrões que são associados com o tipo de certificado que ocê está pedindo. Dê atenção particular aos seguintes campos: Tipo de Certificado Selecione o tipo de certificado necessário para a pessoa que ocê está pré-registrando. A seção Tipos de Certificados Fornecidos na página 33 descree os tipos de certificado. Endereço de Para selecionar Notificação por , ocê precisa fornecer seu próprio endereço de . Notificação por Selecione aqui para receber sobre o resultado de seu pedido. Resposta do Desafio Não se esqueça de que a Resposta do Desafio fornecida faz distinção entre maiúsculas e minúsculas. Você precisará saber mais tarde para erificar o status do pedido de inscrição. Nome Comum O campo Nome Comum é pré-preenchido com informações que ocê especifica em Primeiro Nome e Sobrenome. Se, posteriormente, ocê oltar a esse campo para modificar as entradas de primeiro nome ou sobrenome, as alterações poderão não ser refletidas automaticamente em seu nome comum. Se isso realmente ocorrer, certifique-se de atualizar o campo Nome Comum com os alores reisados de Primeiro Nome e Sobrenome antes de submeter o formulário de registro. Nome de Domínio Forneça o nome do host da máquina em que o certificado está sendo instalado, se ela estier relacionada ao uso do certificado. Esse campo é opcional para certificados de pré-registro; utilize-o apenas se for instruído a fazê-lo. 6. Clique em Submeter Pedido de Inscrição. Depois que o Trust Authority recebe o formulário de inscrição, ocorre o seguinte: Se o formulário contier erros, ele os mostrará. Faça as alterações e clique em Submeter Pedido de Inscrição Noamente. Se o formulário não contier erros, outra página da Web exibirá seu ID de pedido. 7. Certifique-se de registrar seu ID de pedido. Ele o identificará posteriormente, para que ocê possa erificar o status do pedido e receber seu certificado quando estier pronto. Execute um dos seguintes procedimentos, conforme descrito na página da Web: Capítulo 3. Como Fazer para...? 9

16 Coloque a página da Web no marcador para que possa retornar facilmente a ela e erificar seu certificado. Registre o ID do pedido para que possa fornecê-lo ao retornar. Aguarde que o ID do pedido chegue a ocê atraés de . Verificar Status da Inscrição Para erificar o status de seu pedido de inscrição, retorne à página da Web que ocê colocou no marcador durante a inscrição, ou siga as seguintes etapas: 1. Acesse a página de inscrição na Web. 2. Em Tipo de Inscrição, selecione o tipo de inscrição solicitado. 3. Em Ação, selecione Verificar Status. 4. Clique em OK. A tela contém campos onde ocê dee autenticar sua identidade antes de poder obter qualquer informação sobre o pedido. 5. Forneça informações nos campos: Em ID do Pedido, digite o ID do pedido que foi mostrado a ocê depois de ter submetido o formulário de inscrição. Em Resposta do Desafio, digite a mesma Resposta do Desafio fornecida no formulário de inscrição. 6. Clique em Verificar Status da Inscrição. Uma mensagem indica o status atual de seu pedido. Se seu pedido ainda estier pendente, poderá retornar mais tarde e erificar noamente. Se seu pedido foi aproado, o tipo de pedido determina o que acontecerá depois: Certificado de Naegador O certificado de naegador é obtido em download imediatamente para seu naegador. Certificado de Seridor ou Dispositio Seu naegador solicita que ocê selecione um formato e especifique um caminho, então o certificado do seridor ou dispositio é carregado nesse caminho. Pré-registro do Certificado O certificado não é entregue até que a pessoa que ocê pré-registrou solicite-o no aplicatio Client do Trust Authority. Em ez disso, ocê ê informações que o proprietário do certificado em perspectia precisa para pedir o certificado: um ID de transação, uma senha e a URL do RA que aproou o pedido. Nota: Se desejado, ocê pode fornecer um arquio de pré-registro. Ele pode ser utilizado, juntamente com a senha, ao pedir o certificado. Para obter uma cópia do arquio, clique em Salar Arquio de Pré-registro e especifique um caminho para o arquio. 10 Trust Authority: Guia do Usuário

17 Utilizar um Naegador para Gerenciar Certificados Na página de inscrição na Web, ocê também pode renoar ou reogar um certificado de naegador recebido. Se for necessário, poderá colocá-lo em suspensão, em ez de reogá-lo permanentemente. Isso não se aplica a certificados para os quais ocê pré-registrou. Nota: Se ocê receber uma mensagem de erro enquanto estier utilizando o Microsoft Internet Explorer para renoar ou reogar certificados, talez ocê não tenha conseguido estabelecer uma sessão SSL autenticada por cliente com o seridor Web. Para resoler esse problema, selecione Ferramentas Opções da Internet no naegador. Na janela Opções da Internet, selecione a guia Aançado e clique no botão Restaurar Padrões. Isso reatiará o SSL ersão 3.0. Clique em OK e feche o naegador. Reinicie o programa Internet Explorer e tente conectar o seridor noamente. Colocar um Certificado em Suspensão Você pode colocar em suspensão um certificado de naegador obtido diretamente da página de inscrição na Web. Nota: Se tier recebido seu certificado enquanto utilizaa o aplicatio Client, deerá utilizar esse aplicatio para colocar o certificado em suspensão. Para colocar o certificado em suspensão: 1. Acesse a página de inscrição na Web. 2. Em Tipo de Inscrição, selecione Certificado de Naegador. 3. Em Ação, selecione Reogar. 4. Clique em OK. A exibição contém informações que identificam ocê e o certificado. 5. Examine as informações para certificar-se de que este seja o certificado que ocê deseja colocar em suspensão. 6. Em Razão, selecione Colocar o Certificado em Suspensão. 7. Em A Data do Certificado não é mais Válida, especifique quando colocar o certificado em suspensão. Selecione a data atual ou uma data no passado. 8. Clique em Reogar Certificado. Nota: A não ser que o certificado expire durante o tempo em que estier na CRL, ocê poderá pedir para que seja reatiado mais tarde. Renoar um Certificado Você pode renoar um certificado de naegador obtido diretamente da página de inscrição na Web. Nota: Se tier recebido seu certificado enquanto utilizaa o aplicatio Client, deerá utilizar esse aplicatio para renoar o certificado. Para renoar seu certificado: 1. Acesse a página de inscrição na Web. 2. Em Tipo de Inscrição, selecione Certificado de Naegador. 3. Em Ação, selecione Renoar. 4. Clique em OK. Capítulo 3. Como Fazer para...? 11

18 Um formulário de renoação é exibido. 5. Examine o formulário para certificar-se de que seja o certificado que ocê deseja renoar. 6. Altere os alores dos campos editáeis, se desejado. A seção Formulário de Inscrição da Página da Web na página 31 descree os campos. Endereço de Para selecionar Notificação por , ocê precisa fornecer seu endereço de . Notificação por Selecione aqui para ser notificado por sobre o resultado de seu pedido. Pergunta do Desafio Você pode alterar a pergunta que será feita à ocê ao erificar seu pedido. Resposta do Desafio Não se esqueça de que a Resposta do Desafio fornecida faz distinção entre maiúsculas e minúsculas. Você precisará saber mais tarde para erificar o status do pedido de inscrição. Para Internet Explorer Siga as instruções no formulário se desejar alterar o proedor de seu seriço criptográfico. Decida se dee gerar uma noa chae ou reutilizar a já existente. Para definir uma noa chae, ocê possui a opção de nomeá-la ocê mesmo. Selecione Opções Adicionais de Segurança para pedir mais medidas de segurança a partir do Microsoft Internet Explorer, se desejado. 7. Clique em Renoar Certificado. 8. Guarde o ID de Pedido quando ele for exibido, de forma que ocê possa erificar o status de seu pedido posteriormente. A seção Verificar Status da Inscrição na página 10 descree como erificar o status de seu pedido. Reogar um Certificado Você pode reogar um certificado de naegador obtido diretamente da página de inscrição na Web. Nota: Se ocê recebeu seu certificado enquanto utilizaa o aplicatio Client, deerá utilizar esse aplicatio para reogar o certificado. Para reogar seu certificado: 1. Acesse a página de inscrição na Web. 2. Em Tipo de Inscrição, selecione Certificado de Naegador. 3. Em Ação, selecione Reogar. 4. Clique em OK. São exibidas informações de identificação do certificado. 5. Examine as informações para certificar-se de que este seja o certificado que ocê deseja reogar. 6. Em Razão, selecione uma razão para reogar o certificado. A seção Razões para Reogar um Certificado na página 34 descree as razões álidas. 12 Trust Authority: Guia do Usuário

19 7. Em A Data do Certificado não é mais Válida, especifique quando reogar o certificado. Selecione a data atual ou uma data no passado. Se a razão estier associada com a data, utilize essa data. Por exemplo, se ocê suspeitar que sua chae foi comprometida, selecione a data em que ocê acredita que isso aconteceu. 8. Clique em Reogar Certificado. Cancelar Pedidos Atios Se ocê submeter um pedido para renoar, reogar ou colocar um certificado em suspensão, e então tentar cancelar o pedido, o naegador retornará uma mensagem de erro como Esse documento não contém dados. Também será impossíel exibir noamente a página de inscrição da Web. Esse problema pode ocorrer se o naegador transmitir o pedido ao seridor RA antes de solicitar a ocê que apresente um certificado para autenticação. Quando o certificado não acompanha o pedido, é retornado um erro. Esse é o comportamento normal do naegador. Nessa situação, o naegador não possui conhecimento de qual pedido dee ser cancelado quando ocê clicar no botão Cancelar. Trabalhar com Vários Certificados Se ocê submeter um pedido para renoar, reogar ou colocar um certificado em suspensão, e então retornar à página de inscrição da Web para trabalhar com outro certificado, será impossíel fazê-lo até que ocê saia do naegador e reinicie-o. Esse é o comportamento normal do naegador. Você dee limpar o certificado atual da cache do naegador antes de tentar gerenciar outro. Instalar o Aplicatio Client Da mesma forma, depois de fazer download de um certificado, ocê não poderá renoá-lo ou reogá-lo na mesma sessão do naegador. Você dee sair do naegador antes de tentar gerenciar um certificado recentemente instalado. A instalação do Trust Authority Client é um processo de duas partes. Ao instalar o software do seridor, um administrador do sistema dee selecionar o Trust Authority Client para instalar a imagem de instalação do aplicatio. O administrador dee então distribuir a imagem ou torná-la disponíel em sua rede, de forma que ocê possa executar o programa de instalação a partir de sua estação de trabalho. Utilize o seguinte procedimento para executar o programa de instalação do aplicatio do Client, o TACInst.exe. 1. Assegure-se de que sua estação de trabalho atenda aos requisitos listados na seção Requisitos do Sistema para o Aplicatio Client na página Siga as instruções de sua organização para copiar, acessar ou fazer download da imagem de instalação do Client. 3. Encerre todos os programas atios. 4. Selecione Iniciar Executar, clique em Procurar para localizar o arquio TACInst.exe, e clique em OK para executar o programa. 5. Reeja as instruções na janela de Boas-indas e clique em Aançar. 6. Na janela Escolher Localização de Destino, clique em Aançar se desejar instalar o software na localização padrão (c:\program Files\IBM\Trust Authority). Caso contrário, clique em Procurar para selecionar, ou digite uma pasta de destino diferente e, em seguida, clique em Aançar. Capítulo 3. Como Fazer para...? 13

20 Atiar um Smart Card Físico Nota: Se, anteriormente, ocê instalou um componente do Trust Authority nesta estação de trabalho, o software será instalado automaticamente em um subdiretório TAClient na mesma localização. Não será solicitada a localização de destino. 7. Na janela Selecionar Pasta de Programas, clique em Aançar se desejar utilizar a pasta de programa padrão (IBM SecureWay Trust Authority). Caso contrário, digite ou selecione o nome da pasta que deseja utilizar e, em seguida, clique em Aançar. 8. Na janela Abrir Smart Card, digite uma senha para seu smart card irtual, digite a mesma senha noamente para confirmá-la e clique em Aançar. Você dee especificar essa mesma senha, a qual não pode ter mais de oito caracteres, quando iniciar o aplicatio Client. Nesse ponto, o sistema copia os arquios para a localização da instalação solicitada e executa os programas para concluir a instalação do aplicatio Client. 9. Na janela Instalação Concluída, indique se deseja reiniciar o Windows agora ou mais tarde e então clique em Concluir. Se escolher reiniciar o sistema mais tarde, ocê dee fazê-lo antes de tentar utilizar o aplicatio Client. Depois de concluída a instalação, o Trust Authority Client estará em seu menu Iniciar sob o item Programas IBM SecureWay Trust Authority. Notas de Utilização: Se ocê receber um erro sobre não ser possíel localizar o arquio CSSM32.dll no caminho, execute noamente o programa de instalação do aplicatio Client. Isso dee eliminar o erro. Se o programa JRE (Sun Jaa Runtime Enironment) ou JDK (Jaa Deelopment Kit) foram instalados anteriormente na máquina em que ocê está instalando o Client, e ocê receber um erro informando que o JRE não foi encontrado, atualize a ariáel PATH da máquina para certificar-se de que ele esteja incluído na localização de instalação do programa jre.exe. Você dee executar as seguintes etapas após instalar o aplicatio Trust Authority Client para poder acessar e armazenar certificados em um smart card físico. 1. Siga os procedimentos fornecidos com seu smart card para instalar o cartão e o software. Por exemplo, ocê pode desejar instalar um dos seguintes produtos: IBM Smart Card Security Kit para Sistemas de Desktop (para ersão serial) IBM Smart Card Security Kit para Computadores Notebook (para a ersão PCMCIA) 2. Edite o arquio TAClient.ini. O caminho padrão desse arquio é c:\program Files\IBM\Trust Authority\TAClient. 3. Altere a seção [KeyStore] da seguinte maneira: Altere: [KeyStore] para: [KeyStore] CurKeyStore=VSC CurKeyStore=SmartCard 4. Altere a seção [SmartCard] da seguinte maneira: Altere: [SmartCard] Model=PKCS11_STORAGE_MODEL Guid=EA8A7C01-13BC-11d3-B C00173 LibraryName= para: 14 Trust Authority: Guia do Usuário

21 Acessar o Aplicatio Client [SmartCard] Model=PKCS11_STORAGE_MODEL Guid=EA8A7C01-13BC-11d3-B C00173 LibraryName=c:\winnt\system32\W32pk2ig.dll Nota: LibraryName nesse exemplo mostra a localização padrão do arquio W32pk2ig.dll de um sistema Windows NT instalado na unidade C:; a localização desse arquio em seu sistema pode ser diferente. 5. Digite os seguintes comandos para executar o programa initsc. Não haerá solicitação de senhas (as senhas continuam como ocê as definiu ao instalar o smart card físico). cd "c:\program Files\IBM\Trust Authority\bin" initsc -e ee -i c:\program Files\IBM\Trust Authority\TAClient\TAClient.ini Quando utilizar o smart card com o aplicatio Client, certifique-se de que o cartão possa comportar um par de chaes de 512 bit, um par de chaes de 1024 bit e seus respectios certificados. Se ocê tentar gerar um segundo par de chaes de 512 bit ou um segundo par de chaes de 1024 bit, receberá uma mensagem de erro informando falta de memória. Utilize o aplicatio Client para pedir e então armazenar um certificado em seu smart card irtual ou físico depois que alguém tier pré-registrado ocê. Você também pode utilizar o aplicatio Client para gerenciar os certificados em seus smart cards e gerenciar os próprios smart cards. Todos esses certificados são para acessar aplicatios compatíeis com PKIX. Para acessar o aplicatio Client: 1. Se desejar utilizar seu smart card físico, insira-o. 2. Na barra de tarefas do Windows, selecione Iniciar Programas IBM SecureWay Trust Authority Trust Authority Client. 3. Na tela de apresentação, clique em OK. O diálogo Abrir Smart Card é exibido. Ele contém uma lista de seus smart cards que são definidos para o aplicatio Client. A página 41 descree o diálogo. 4. Em Smart Card, selecione o smart card que ocê deseja abrir. 5. Em Senha, digite a senha do smart card. 6. Clique em OK. A janela Exibição do Smart Card é exibida. A página 36 descree a janela. Inscreer-se Utilizando o Client Nota: Se ocê possui certificados que estão para expirar em bree, o aplicatio Client os exibirá para que ocê possa decidir se deseja ou não renoar alguns deles. A seção Renoar Certificados a Serem Expirados na página 18 descree o que fazer se isso acontecer. Como ocê pode utilizar o aplicatio Client para pedir um certificado, ocê precisa pré-registrar na página da Web, no ambiente Trust Authority. Seu registrador, um usuário autorizado a administrar pedidos de registro, proaelmente pré-registrará ocê. Capítulo 3. Como Fazer para...? 15

22 Depois de receber as informações do pré-registro, utilize o aplicatio Client para solicitar um certificado. O tipo de informações de pré-registro recebidas determina a opção do menu Client a ser selecionada: Um arquio de pré-registro Um ID de transação Utilizar um Arquio de Pré-registro para Inscrição Na janela Exibição do Smart Card: 1. Abra o menu Certificado e clique em Noo Utilizando um Arquio de Pré-registro. O diálogo Noo Certificado Utilizando um Arquio de Pré-registro é exibido. A página 39 descree o diálogo. 2. Preencha os campos no diálogo e clique em Aançar. O que ocê pode obserar no diálogo aria de acordo com a opção de sua organização. Você pode er: Atributos e seus alores, que descreem seu pedido de certificado. Campos próximos à base da exibição, onde ocê pode alterar alguns alores do atributo digitando sobre eles. 3. Faça as alterações necessárias, se houer. 4. Clique em Aançar para submeter seu pedido. 5. Na caixa de confirmação, clique em Terminar. Depois que o Autoridade de Registro aproar seu pedido, seu certificado será armazenado automaticamente no smart card que ocê abriu. Utilizar um ID de Transação para Inscrição Na janela Exibição do Smart Card: 1. Abra o menu Certificado e clique em Noo Utilizando um ID de Transação. O diálogo Noo Certificado Utilizando um ID de Transação é exibido. A página 40 descree o diálogo. 2. Preencha os campos. 3. Clique em Aançar para submeter seu pedido. 4. Na caixa de confirmação, clique em Terminar. Depois que o Autoridade de Registro aproar seu pedido, seu certificado será armazenado automaticamente no smart card que ocê abriu. Utilizar o Client para Gerenciar Certificados O aplicatio Client permite o gerenciamento de seus próprios certificados que estão no smart card que ocê abriu. Para trabalhar com um certificado que esteja em outro smart card, ou receber um certificado em um smart card diferente, ocê dee fechar o aplicatio Client. Em seguida, ele dee ser reiniciado com o smart card que ocê deseja utilizar. Excluir um Certificado ou um Pedido Pendente 16 Trust Authority: Guia do Usuário Nota: Esta ação não pode ser desfeita facilmente e, às ezes, nem pode ser desfeita. Antes de excluir um certificado, ou um pedido que ocê emitiu enquanto gerenciaa seus certificados, resere um tempo para reer suas descrições. Então confirme que deseja excluir o certificado ou excluir o pedido que diz respeito a ele.

23 Na janela Exibição do Smart Card: 1. Selecione o certificado ou pedido pendente que ocê deseja excluir. 2. Abra o menu Certificado e clique em Excluir Excluir Certificado. 3. O diálogo Excluir Certificado é exibido. A página 38 descree o diálogo. 4. Releia a descrição do certificado ou a descrição do pedido pendente no diálogo. A página 40 descree os detalhes que ocê poderá obserar. 5. Clique em OK para confirmar a exclusão ou clique em Cancelar se mudar de idéia. Exportar um Certificado de um Smart Card para um Arquio Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja exportar do smart card aberto. 2. Abra o menu Certificado e clique em Exportar. 3. O diálogo Exportar Certificado é exibido. A página 39 descree o diálogo. 4. Selecione o tipo de criptografia utilizado para criptografar o certificado. 5. Especifique a localização para criar um arquio para armazenar o certificado. Digite o caminho e nome de arquio ou clique em Procurar para selecionar o caminho e, depois, digite um nome de arquio. 6. Digite uma senha para proteger o arquio, e então digite-a noamente para confirmá-la. Utilize de 8a32caracteres alfanuméricos. 7. Clique em OK, ou clique em Cancelar se mudar de idéia. Importar um Certificado de um Arquio para um Smart Card Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja importar para o smart card aberto. 2. Abra o menu Certificado e clique em Importar. 3. O diálogo Importar Certificado é exibido. A página 39 descree o diálogo. 4. Especifique a localização atual do arquio que contém o certificado. Digite o caminho e nome de arquio ou clique em Procurar para selecioná-los. 5. Forneça a senha que ocê criou quando exportou o certificado para o arquio. 6. Digite um nome descritio para identificar o certificado no smart card. 7. Clique em OK, ou clique em Cancelar se mudar de idéia. Moer um Certificado para um Smart Card Diferente Na janela Exibição do Smart Card: 1. Selecione o certificado que deseja moer do smart card aberto para outro smart card. 2. Siga o procedimento para Exportar esse certificado para um arquio. A seção Exportar um Certificado de um Smart Card para um Arquio descree o procedimento. 3. Saia do aplicatio Client. 4. Se ocê deseja moer o certificado para um smart card físico, carregue esse smart card. 5. Reinicie o aplicatio Client e, desta ez, abra esse smart card. A seção Abrir um Smart Card Diferente na página 20 descree como fazer isso. 6. Siga o procedimento para Importar o certificado do arquio para o smart card aberto. A seção Importar um Certificado de um Arquio para um Smart Card descree o procedimento. Capítulo 3. Como Fazer para...? 17

24 Abrir um Certificado para Exibir Detalhes Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja exibir com mais detalhes. 2. Abra o menu Certificado e clique em Abrir. 3. O diálogo Abrir Certificado é exibido. A página 40 descree o diálogo. 4. Releia a descrição do certificado no diálogo. 5. Clique em OK ao terminar. Colocar um Certificado em Suspensão Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja colocar em suspensão. 2. Abra o menu Certificado e clique em Reogar. 3. O diálogo Reogar Certificado é exibido. A página 42 descree o diálogo. 4. Releia a descrição do certificado no diálogo. A descrição inclui o número de série e o emissor. A página 40 descree os detalhes que ocê poderá obserar. 5. Em Razão, selecione Colocar o certificado em suspensão. 6. Em URL do RA, se o campo não estier preenchido, selecione ou digite a URL da Autoridade de Registro que aproou seu pedido original para o certificado. 7. Clique em OK, ou clique em Cancelar se mudar de idéia. Nota: A não ser que o certificado expire durante o tempo em que estier na CRL, ocê poderá pedir ao registrador para reatiá-lo mais tarde. Renoar um Certificado Quando ocê renoa um certificado, aquele que ocê recebe em seu lugar terá um período de alidade com a mesma duração. Você pode utilizar o par de chaes de seu certificado antigo ou gerar um noo par de chaes. Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja renoar. 2. Abra o menu Certificado e clique em Renoar. 3. O diálogo Renoar Certificado é exibido. A página 41 descree o diálogo. 4. Releia a descrição do certificado no diálogo. A descrição inclui o número de série e o emissor. A página 40 descree os detalhes que ocê poderá obserar. 5. Em URL do RA, se o campo não estier preenchido, selecione ou digite a URL da Autoridade de Registro que aproou seu pedido original para o certificado. 6. Se ocê não deseja utilizar seu par de chaes antigo, selecione um noo algoritmo e tamanho de chae na lista de alternatias. Todas as chaes listadas são apropriadas para sua máquina. 7. Clique em OK, ou clique em Cancelar se mudar de idéia. Renoar Certificados a Serem Expirados Sua organização determinou quando aisá-lo que seu certificado está para expirar. O padrão é que ocê seja aisado em 30 dias antes da expiração. Se algum certificado em seu smart card aberto for expirar em bree, o diálogo Renoação de Certificado o exibe quando o aplicatio Client for iniciado. Uma 18 Trust Authority: Guia do Usuário

25 tabela lista esses certificados e apresenta colunas que resumem suas descrições. A página 40 descree os detalhes que ocê poderá obserar. 1. Examine os certificados. Você pode ajustar a exibição, se necessário: Exiba mais linhas da tabela ampliando a janela. Redimensione uma coluna para er mais dos dados. 2. Selecione os certificados que ocê deseja renoar e clique em OK. O diálogo Renoar Certificado é exibido em cada certificado que ocê selecionou. A página 38 descree o diálogo. 3. Para cada certificado, preencha o diálogo e clique em OK. Nota: Se ocê não selecionar nenhum certificado, o diálogo será simplesmente remoido quando ocê clicar em OK. Reogar um Certificado Na janela Exibição do Smart Card: 1. Selecione o certificado que ocê deseja reogar. 2. Abra o menu Certificado e clique em Reogar. 3. O diálogo Reogar Certificado é exibido. A página 42 descree o diálogo. 4. Releia a descrição do certificado no diálogo. A página 40 descree os detalhes que ocê poderá obserar. 5. Em Razão para a Reogação, selecione uma razão para reogar o certificado. A seção Razões para Reogar um Certificado na página 34 lista as razões álidas. 6. Em URL do RA, se o campo não estier preenchido, selecione ou digite a URL da Autoridade de Registro que aproou seu pedido original para o certificado. Nota: Você recebeu esta URL depois de ter sido pré-registrado e a utilizou para reiindicar seu certificado. 7. Clique em OK, ou clique em Cancelar se mudar de idéia. Assinar um Arquio Você pode utilizar um certificado para assinar um arquio. Quando assinar um arquio com uma assinatura digital, qualquer pessoa que abrir o arquio poderá informar se o conteúdo foi alterado desde o momento em que o assinou. Obsere que a assinatura não criptografa o conteúdo do arquio. Na janela Exibição do Smart Card: 1. Selecione o certificado que deseja utilizar para assinar o arquio. 2. Abra o menu Certificado e clique em Assinar. O diálogo Assinar um Arquio é exibido. 3. Em Arquio de Entrada, especifique o caminho e o nome de arquio do arquio que deseja assinar. Digite o caminho e o nome do arquio ou clique em Procurar para selecionar a localização do arquio. 4. Em Arquio de Saída, especifique um caminho e nome de arquio do arquio assinado. Clique em Procurar para selecionar o caminho e o nome do arquio em ez de digitá-lo. 5. Em Atribuir Algoritmo, selecione o algoritmo que deseja utilizar para assinar digitalmente o arquio. A página 42 descree as opções disponíeis. 6. Se desejar exibir o arquio antes de assiná-lo, clique em Exibir. Essa ação lança o aplicatio associado ao tipo de arquio do arquio que está sendo assinado. Capítulo 3. Como Fazer para...? 19

26 Por exemplo, se ocê está atribuindo um arquio HTML, o aplicatio lança seu naegador padrão para exibir o arquio. 7. Clique em OK para assinar o arquio, ou clique em Cancelar se mudar de idéia. Trabalhar com uma Lista de Certificados Na janela Exibição do Smart Card, as guias exibem certificados por categoria: Para er a lista de seus próprios certificados, clique na guia Meus Certificados. Para er a lista de outros certificados no mesmo smart card, clique na guia Outros Certificados. (Não haerá outros certificados, a menos que ocê compartilhe o smart card com alguém.) Uma tabela exibe informações básicas de cada certificado. Desloque ou redimensione as colunas, conforme necessário, para exibir as informações. Selecione um certificado, se desejado. Moer-se entre as Guias Na janela Exibição do Smart Card, a guia exibida atualmente é mais brilhante que a outra. Para moer-se de uma guia para outra, clique na outra guia. Exibir mais Linhas de uma Tabela Para exibir mais linhas de uma tabela em uma janela do aplicatio Client ou no diálogo Renoar o Certificado, ocê pode executar um dos seguintes itens: Deslocar a tabela para er linhas adicionais. Ampliar a janela ou o diálogo para mostrar mais da tabela. Redimensionar uma Coluna da Tabela Para redimensionar uma coluna da tabela: 1. Posicione o cursor no limite de uma coluna que deseja redimensionar. 2. Clique no mouse e arraste-o para a esquerda ou para a direita para alterar a largura da coluna. 3. Libere o botão do mouse na largura desejada. Utilizar o Client para Gerenciar Smart Cards Os tópicos desta seção ajudam nas tarefas comuns do uso e manutenção do smart card. Abrir um Smart Card Diferente Você abre um smart card sempre que acessa o aplicatio Client. O smart card padrão é um smart card irtual. Se ocê também possuir um smart card físico, seu administrador poderá defini-lo para o aplicatio Client para ocê. Para trabalhar com um smart card diferente daquele especificado daquela ez: 1. Saia do aplicatio Client. 2. Insira seu smart card físico, se desejar utilizá-lo. 3. Inicie o aplicatio Client noamente. 20 Trust Authority: Guia do Usuário