Terena Certificate Service

Transcript

1 Terena Certificate Service Il servizio di emissione certificati server e personali di GARR CS

2 Agenda Presentazione generale del servizio Certificati server e server esience La Federazione IDEM e i certificati personali e personali escience

3 Terena Certificate Service (TCS) Servizio di rilascio certificati X.509 personali e per server, emessi da una Certification Authority commerciale (COMODO CA) riconosciuta dalla grande maggioranza dei browser web attualmente in uso Nato inizialmente per risolvere il cosiddetto problema del pop-up E' offerto gratuitamente da GARR alla Comunità delle Università e della Ricerca Scientifica

4 Pop-up problem

5 I certificati offerti dal servizio TCS Server standard (1, 2, 3 anni) Server ad uso grid escience (13 mesi) Personali standard (1 anno) Personali ad uso grid escience (13 mesi)

6 La catena dei certificati TCS I certificati sono emessi da Terena CA /C=NL/O=TERENA/CN=TERENA SSL CA /C=NL/O=TERENA/CN=TERENA escience SSL CA /C=NL/O=TERENA/CN=TERENA Personal CA /C=NL/O=TERENA/CN=TERENA escience Personal CA Terena CA è subordinata di una delle CA di COMODO Per i server è importante configurare correttamente la catena dei certificati root CA

7 Figure coinvolte Subscriber Ente a cui viene emesso il certificato, individuato nel suo legale rappresentante Administrative Contact (Lo Re, Zani) Persona di fiducia eletta dal Subscriber e responsabile effettivo delle procedure di richiesta certificati server Access Port Administrator APA della rete GARR responsabile dei nomi a dominio intestati all'ente Referente Organizzativo IDEM Persona nominata nel documento Richiesta di Adesione da un Ente che partecipa a IDEM

8 Certificati server Le richieste sono sottomesse dai Contatti Amministrativi su apposita form on-line accessibile tramite certificato abilitato Le richieste possono essere generate dagli amministratori dei server e poi inoltrate agli opportuni Contatti Amministrativi Le richieste saranno evase solo dopo l'approvazione firmata (con certificato personale) di un Contatto Amministrativo Il certificato è scaricabile on-line

9 Il DN di un certificato server C = IT (predefinito) O = <nome legale dell Ente> (predefinito) CN = <fqdn del server> OU = <valore facoltativo> L = rimosso automaticamente ST = rimosso automaticamente In automatico per escience DC=org DC=terena Dc=tcs

10 Generare una richiesta Il modo più rapido openssl req -newkey rsa:2048 -nodes / -subj "/CN=nome-server.dominio.it" / -out req-nome-server.pem / -keyout key-nome-server.pem Comodo fornisce una serie di istruzioni per generare le richieste su vari dispositivi: wledgebase&_a=view&parentcategoryid=33&pci d=1&nav=0,1

11 Subject Alternative Names I Subject Alternative Names possono essere elencati a parte, non nella CSR, e comunicati al Contatto Amministrativo In alternativa possono essere specificati nella CSR con lo stesso metodo usato per INFN CA

12 Wildcard * Le wildcard * devono essere preventivamente concordate con il servizio (tcs-ra@garr.it) *.sezione.infn.it non ammissibile * non fa matching con il punto *.infn.it non autentica * non può essere abbinato ad altri caratteri abc*.infn.it o *abc.infn.it non possibile

13 Confronto con INFN CA Generazione della richiesta facilitata 1 comando openssl senza file di configurazione Il campo O è predefinito per ogni Ente Il campo L è assente Il campo OU può essere impiegato per identificare la sezione Possibilità di durata fino a tre anni INFN CA solo durata un anno Servizio centralizzato Non ci sono RA locali ma Contatti Amministrativi centrali per tutto l Ente

14 La Federazione IDEM IDEM è la Federazione Italiana delle Università e degli Enti di Ricerca per l Autenticazione e l Autorizzazione operata dal Consortium GARR e basata sullo standard SAML2 Alla Federazione IDEM possono partecipare tutti gli Enti della Comunità GARR ma anche Enti e Aziende provenienti dal contesto nazionale e internazionale La partecipazione a IDEM può avvenire come Fornitore di Identità Fornitore di Servizi Per ulteriori dettagli consultare il sito IDEM

15 Certificati personali Si richiedono tramite il portale L autenticazione avviene tramite il gestore d identità di INFN (IDEM) e non presso la RA Il download è immediato La revoca è gestibile dall utente direttamente nel portale Il DN del certificato contiene: C, O, CN/unstructuredName

16 Certificati personali escience ad uso grid Si richiedono tramite il portale L autenticazione avviene tramite il gestore d identità di INFN (IDEM) e non presso la RA Il download è immediato La revoca è gestibile dall utente direttamente nel portale Il DN del certificato contiene: DC=org, DC=terena,DC=tcs, C, O, CN

17 Confronto con INFN CA Emissione del certificato in tempo reale Non è più necessario recarsi dalla RA per l identificazione Non è più necessario contattare la RA per la revoca del proprio certificato Per gli utenti grid è necessario registrare il nuovo DN in tutte le VO dei siti a cui si ha accesso

18 Riferimenti GARR CS Terena TCS Web Site Sito web della Federazione IDEM Portale TCS per richiedere certificati personali