Apriamo lo snap-in Certificates del server web, e visualizziamo il ramo Trusted Root Certification Authority/Certificates:

Transcript

1 CUSTOM CLIENT CERTIFICATE Guida all utilizzo Utilizzare un certificato client Adesso vediamo in che modo si può richiedere, installare ed utilizzare un certificato per il proprio browser web. Gli scopi di questa procedura sono: Identificare il client tramite il certificato Autenticare l utente tramite l associazione tra il certificato client da lui utilizzato ed un account riconosciuto dal server web 1. Importare il certificato della CA nel server web Preliminarmente, dobbiamo accertarci che il server web riconosca la CA. Ciò è necessario, in quanto solo in questo modo il certificato del client, rilasciato da quella CA, potrà essere ritenuto valido dal server. Apriamo lo snap-in Certificates del server web, e visualizziamo il ramo Trusted Root Certification Authority/Certificates: Se la nostra CA è tra quelle pubblicamente riconosciute, probabilmente la troveremo già elencata nel pannello a destra. Nel nostro caso, invece, dovremo importarne il certificato. Per farlo, visitiamo di nuovo con il browser il sito della CA, e selezioniamo Retrieve the CA certificate:

2 e scarichiamo il certificato della CA. Ora torniamo allo snap-in Certificates del server web, e nel ramo Trusted Root Certification Authority/Certificates scegliamo Import selezionando il certificato della CA appena scaricato. La CA risulterà adesso tra quelle ritenute attendibili dal server web. 2. Richiedere e installare un certificato per il proprio browser web Dalla macchina che utilizziamo come client, accediamo ancora una volta al servizio certificati: 2

3 Prima abbiamo richiesto un certificato per il server. Stavolta dobbiamo richiederne uno per il browser web: 3

4 Inseriamo le informazioni richieste: Come nel caso del certificato server, appare il messaggio Certificate pending. Dal momento che, nel nostro esempio, l autorità di certificazione siamo noi, sul server CA apriamo lo snapin Certification Authority ed seguiamo la stessa procedura di prima per effettuare il rilascio del certificato, senza dimenticare che in una situazione reale questo è uno dei momenti più delicati dell intera procedura, dovendo essere preceduto da un accertamento effettivo dell identità del richiedente. Torniamo quindi con il browser del client alla home page dell autorità di certificazione, per verificare se il certificato ci è stato rilasciato. In caso di risposta affermativa, clicchiamo su Install this certificate: 4

5 Leggiamo attentamente l avviso, e se siamo sicuri di quello che stiamo facendo, selezioniamo OK. Un messaggio ci informerà che il certificato è stato installato nel nostro browser. Per verificarlo, apriamo la scheda Contenuto del menu Strumenti/Opzioni di IE, e clicchiamo su Certificati. Nell area Personale vedremo elencato il certificato client che abbiamo appena installato: 5

6 Come si può vedere, lo scopo del certificato è l autenticazione del client. 3. Configurare il server per richiedere il certificato al client Adesso siamo quasi pronti per collegarci al sito web utilizzando un certificato per identificare anche il client. Prima, però, vediamo le impostazioni da dare al server. Riapriamo la scheda Directory security del sito, directory o file per il quale vogliamo abilitare l utilizzo dei certificati lato client, e apriamo la finestra di dialogo per la configurazione delle Secure communications: Nella seconda area della finestra, Client certificates, selezioniamo l opzione Require client certificates (opzione attivata solo se abbiamo in precedenza installato un certificato server). In questo modo il server consentirà la connessione alla risorsa solo a browser dotati di certificato client. Quando, utilizzando il browser, cercheremo do collegarci al sito, ci verrà presentato da IE un elenco di certificati Personali installati, tra i quali dovremo scegliere quello appena installato: 6

7 Selezionato il certificato, potremo accedere alla risorsa protetta. 4. Effettuare un mapping tra il certificato client e un account utente L ultimo aspetto che prendiamo in considerazione è l associazione tra un account utente e un certificato digitale. Con questa operazione sarà possibile, per il client, accedere a risorse sulle quali sono impostate permission per un determinato utente, senza inviare le credenziali di quell utente in chiaro o in forma criptata. Innanzitutto, bisogna rendere disponibile al server web il certificato del client. Esportiamo il certificato dal client, accedendo in IE al menu Strumenti/Opzioni Internet, e quindi selezionando le schede Contenuto/Certificati. Qui troveremo un elenco dei certificati client installati nel browser. Selezioniamo quello che ci interessa ed esportiamolo. Parte una wizard, nella quale viene data solo la possibilità di esportare la chiave pubblica dell utente 7

8 Salviamo il certificate in una posizione accessibile al server web. Sul server, in IIS, operiamo ancora nella scheda Secure communications del sito, directory o file su cui vogliamo impostare il mapping, selezioniamo Enable client certificate mapping e clicchiamo su Edit: Nella finestra che appare (Account mappings / 1-to-1) clicchiamo su add: 8

9 e selezioniamo prima il file contenente il certificato precedentemente esportato dal browser del client, poi l utente con il quale vogliamo associare quel certificato (qui: user1). A questo punto, chi si collega al sito utilizzando il proprio certificato potrà accedere alle risorse pubblicate dal server con gli stessi diritti dell utente al quale quel certificato è associato senza dover digitare né in alcun modo trasmettere le proprie credenziali di autenticazione. 9