Accedere ad ASM in modo sicuro via HTTPS

Transcript

1 Archive Server for MDaemon Accedere ad ASM in modo sicuro via HTTPS Premessa... 2 Parte 1 - Creare una richiesta di certificate SSL... 3 Creare una richiesta di certificato attraverso l amministrazione di IIS... 3 Parte 2 - Creare ed importare un certificato SSL self-signed... 8 Parte 3 Accesso sicuro ad ASM in HTTPS... 15

2 Premessa Tipicamente per generare un certificato Secure Socket Layer (SSL) per alcuni domini si crea prima una richiesta (CSR) per mezzo di Internet Information Services (IIS), poi si invia la richiesta ad una certification authority, come ad esempio GeoTrust, la quale rilascia il certificato vero e proprio, da utilizzare per rendere sicure le comunicazioni dei domini in oggetto. IIS tuttavia è in grado di utilizzare anche certificati autogenerati (self-signed), generati sulla stessa macchina dove si prepara la richiesta CSR. Siccome questi certificati autogenerati non sono stati rilasciati da una certification authority, hanno validità solo sulla stessa macchina dove sono stati generati; provando ad accedere ad un sito protetto da questi certificati dall esterno si riceve un errore relativo alla non validità del certificato. I certificati autogenerati di norma andrebbero utilizzati solo per test, sviluppo o troubleshooting, ma nulla vieta di utilizzarli anche in produzione se si tollera l errore visto dal client, che non si può eliminare. Questo documento illustra la procedura per creare un certificato SSL autogenerato da utilizzare in IIS per far lavorare Archive Server for MDaemon (ASM) in HTTPS. La procedura è valida per la versione 5.1 in inglese di IIS e per Microsoft Windows XP. La parte 1 descrive la procedura per generare una richiesta per la generazione di un certificato. La parte 2 come creare ed utilizzare un certificato autogenerato. La parte 3 mostra come accedere ad Archive Server for MDaemon in HTTPS.. 2.

3 Parte 1 - Creare una richiesta di certificate SSL Questo è il primo passo per creare un sito protetto da SSL. Creare una richiesta di certificato attraverso l amministrazione di IIS 1. Dal pannello di controllo di Windows, selezionare gli strumenti di amministrazione e poi Internet Information Services. 2. Espandere l albero dei siti, cliccare con il tasto destro sul sito che deve essere reso sicuro e poi selezionare la voce Properties. 3. Nella finestra di dialogo che appare, cliccare sul tab Directory Security e poi sul pulsante Server Certificate.. 3.

4 4. Compare il wizard per la preparazione della richiesta. Cliccare su Next. 5. Selezionare la prima opzione Ceate a new certificate e cliccare su Next. 6. Selezionare l opzione Prepare the request now, but send later e cliccare su Next.. 4.

5 7. E possibile assegnare al certificato il nome che si desidera, ma può essere utile usare lo stesso nome del sito Web su cui sarà importato. Occorre inoltre impostare la lunghezza dei bit a 1024 e non flaggare le ultime due checkbox. Cliccare su Next per proseguire. 8. Inserire nel campo Organization il nome della propria azienda e nel campo Organizational Unit il dipartimento a cui il certificato apparterrà. Siccome è un certificato autogenerato, non è funzionale quello che si inserisce in questa interfaccia. Cliccare su Next per procedere. 9. Nel campo Common name inserire il nome del sito Web che si intende proteggere, ad esempio o secure.miaazienda.it. Se il sito deve essere acceduto dall esterno il common name deve essere necessariamente gestito da un DNS. In questo tutorial tuttavia è stata utilizzata un installazione locale, e dunque, inserito localhost. Cliccare su Next per proseguire.. 5.

6 10. Impostare Nazione, provincia e città dove il server è ubicato e cliccare su Next. 11. Scegliere path e nome file per la richiesta di certificate e cliccare su Next. 12. A questo punto il Wizard di IIS mostrerà un riepilogo dei valori inseriti. Se c è qualche errore si può tornare indietro e correggere i dati. Quando è tutto corretto, cliccare su Next per procedere.. 6.

7 13. Congratulazioni, avete appena generato una richiesta di certificato. Cliccare su Finish.. 7.

8 Parte 2 - Creare ed importare un certificato SSL self-signed Ci sono molti tool gratuiti per creare I certificate SSL self-signed per ogni dominio gestito da un server. In questo tutorial si utilizza SSL Diagnostics Kit v1.1, messo a disposizione da Microsoft al seguente URL: 1. Quando compare la finestra che chiede se eseguire o salvare, scegliere Save. 2. Selezionare di salvare il file sul desktop e cliccare nuovamente su Save. 3. Quando il download è terminato, fare doppio click sull icona per avviare l installazione.. 8.

9 4. Nella finestra iniziale, cliccare su Next. 5. Accettare i termini della licenza e cliccare su Next. 6. Inserire un nome e le informazioni dell azienda e cliccare su Next.. 9.

10 7. Nella schermata che propone i vari tipi di installazione disponibili, cliccare su Complete per installare anche la diagnostica. 8. E possibile ora installare la diagnostic. Cliccare su Install. 9. Quando l installer conferma che l installazione è terminate, cliccare su Finish.. 10.

11 10. A questo punto, per generare il certificato self-signed, occorre recuperare alcune informazioni da IIS. Aprire IIS da Start > Administrative Tools > Internet Information Services (IIS) Manager. 11. Espandere il nome del server e cliccare sulla cartella Web Sites; sarà visualizzata la lista di tutti i siti web configurati sul server, nell area di destra. Si noti che ogni sito ha un numero univoco assegnato, visibile nella colonna Identifier; questo numero serve per la generazione del certificato. In questo esempio, l identificativo di example.com e A questo punto occorre aprire il prompt dei comandi di Windows da Start > Run, digitando CMD e cliccando su OK.. 11.

12 13. Dal prompt di Windows occorre posizionarsi nella cartella dove è installato il tool SSL Diagnostic Toolkit (C:\Program Files\IIS Resources\SSLDiag), pertanto è sufficiente digitare: cd C:\Program Files\IIS Resources\SSLDiag e premere Invio. 14. A questo punto, si può immettere il comando che crea il certificato. Il comando base per la creazione di un certificato è ssldiag/selfssl, che necessita però di alcuni parametri: /N: - Specifica il nome del certificato. Se non specificato si assume quale nome il nome del computer. /K: - Specifica la lunghezza della chiave del certificate. Il valore predefinito è /V: - Specifica la durata (giorni) di validità del certificato. Il valore predefinito è 7 giorni. /S: - Specifica l identificativo del sito Web, il numero recuperate in precedenza. Il valore predefinito è sempre 1, che identifica il sito Web predefinito in IIS. Quindi, il commando per creare un certificate SSL self-signed certificate per il sito example.com, valido 2 anni, che si chiama e con una chiave lunga 1024 è: ssldiag /selfssl /N:CN=example.com /K:1024 /V:730 /S: Dopo aver digitato il comando con i propri parametri premere Invio. Il prompt semplicemente andrà alla linea successiva.. 12.

13 16. A questo punto si può verificare se IIS rileva il certificato. Riutilizzando gli step visti in precedenza, si navighi indietro in IIS, si prema il tasto destroy sul sito web desiderato e si scelga Properties. 17. All interno della finestra delle proprietà, cliccare sul tab Directory Security.. 13.

14 18. Nel tab Directory Security, nella sezione Secure Communications, cliccare il pulsante View Certificate. 19. La finestra che appare conferma che il certificate è stato creato e correttamente installato. Cliccare su OK per chiudere la finestra. 20. È ora possibile visualizzare il sito sul server in modo sicuro. Anche in questo caso, si ricorda che il certificato è self-signed, e non è stato rilasciato da una Certification Authority; tentando di visualizzare il sito in da una postazione esterna si causerà un errore di certificato. I certificati Selfsigned dovrebbero essere utilizzato solo per test e sviluppo, e non in ambiente di produzione.. 14.

15 Parte 3 Accesso sicuro ad ASM in HTTPS Per accedere all interfaccia di amministrazione di Archive Server for MDaemon in modo sicuro, aprire il browser e andare all URL: servername>/asm dove <asm servername> è il nome o l IP dell host su cui è installato ASM e asm è l alias predefinito di ASM. Si dovrebbe visualizzare qualcosa di questo tipo: Che evidenzia quanto ripetuto più volte ovvero che il certificate self-signed non è stato certificato da una Certification authority. Cliccare sul link con l icona rossa (in questo esempio Continuare con il sito Web (scelta non consigliata) ) per accedere alla pagina di login di Archive Server for MDaemon.. 15.

16 Achab S.r.l. Piazza Luigi di Savoia, Milano Telefono: Fax: Per informazioni su Archive Server for MDaemon, visiti le pagine web: Per informazioni inerenti Achab, i servizi che offre e i prodotti che sviluppa e distribuisce, visiti il sito web: Per informazioni commerciali, contatti Achab all indirizzo sales@achab.it Per informazioni tecniche, contatti Achab all indirizzo supporto@achab.it Archive Server for MDaemon è sviluppato e distribuito da Achab. MDaemon è un marchio registrato di Alt-N Technologies L.t.d. Copyright Achab S.r.l. - Tutti i diritti riservati.