Terena Certificate Service Il servizio di emissione certificati server e personali di GARR CS
Agenda Presentazione generale del servizio Certificati server e server esience La Federazione IDEM e i certificati personali e personali escience
Terena Certificate Service (TCS) Servizio di rilascio certificati X.509 personali e per server, emessi da una Certification Authority commerciale (COMODO CA) riconosciuta dalla grande maggioranza dei browser web attualmente in uso Nato inizialmente per risolvere il cosiddetto problema del pop-up E' offerto gratuitamente da GARR alla Comunità delle Università e della Ricerca Scientifica
Pop-up problem
I certificati offerti dal servizio TCS Server standard (1, 2, 3 anni) Server ad uso grid escience (13 mesi) Personali standard (1 anno) Personali ad uso grid escience (13 mesi)
La catena dei certificati TCS I certificati sono emessi da Terena CA /C=NL/O=TERENA/CN=TERENA SSL CA /C=NL/O=TERENA/CN=TERENA escience SSL CA /C=NL/O=TERENA/CN=TERENA Personal CA /C=NL/O=TERENA/CN=TERENA escience Personal CA Terena CA è subordinata di una delle CA di COMODO http://www.terena.org/activities/tcs/repository/ Per i server è importante configurare correttamente la catena dei certificati root CA https://ca.garr.it/mgt/terena-chain.pem
Figure coinvolte Subscriber Ente a cui viene emesso il certificato, individuato nel suo legale rappresentante Administrative Contact (Lo Re, Zani) Persona di fiducia eletta dal Subscriber e responsabile effettivo delle procedure di richiesta certificati server Access Port Administrator APA della rete GARR responsabile dei nomi a dominio intestati all'ente Referente Organizzativo IDEM Persona nominata nel documento Richiesta di Adesione da un Ente che partecipa a IDEM
Certificati server Le richieste sono sottomesse dai Contatti Amministrativi su apposita form on-line accessibile tramite certificato abilitato Le richieste possono essere generate dagli amministratori dei server e poi inoltrate agli opportuni Contatti Amministrativi Le richieste saranno evase solo dopo l'approvazione firmata (con certificato personale) di un Contatto Amministrativo Il certificato è scaricabile on-line
Il DN di un certificato server C = IT (predefinito) O = <nome legale dell Ente> (predefinito) CN = <fqdn del server> OU = <valore facoltativo> L = rimosso automaticamente ST = rimosso automaticamente In automatico per escience DC=org DC=terena Dc=tcs
Generare una richiesta Il modo più rapido openssl req -newkey rsa:2048 -nodes / -subj "/CN=nome-server.dominio.it" / -out req-nome-server.pem / -keyout key-nome-server.pem Comodo fornisce una serie di istruzioni per generare le richieste su vari dispositivi: https://support.comodo.com/index.php?_m=kno wledgebase&_a=view&parentcategoryid=33&pci d=1&nav=0,1
Subject Alternative Names I Subject Alternative Names possono essere elencati a parte, non nella CSR, e comunicati al Contatto Amministrativo In alternativa possono essere specificati nella CSR con lo stesso metodo usato per INFN CA
Wildcard * Le wildcard * devono essere preventivamente concordate con il servizio (tcs-ra@garr.it) *.sezione.infn.it non ammissibile * non fa matching con il punto *.infn.it non autentica www.abc.infn.it * non può essere abbinato ad altri caratteri abc*.infn.it o *abc.infn.it non possibile
Confronto con INFN CA Generazione della richiesta facilitata 1 comando openssl senza file di configurazione Il campo O è predefinito per ogni Ente Il campo L è assente Il campo OU può essere impiegato per identificare la sezione Possibilità di durata fino a tre anni INFN CA solo durata un anno Servizio centralizzato Non ci sono RA locali ma Contatti Amministrativi centrali per tutto l Ente
La Federazione IDEM IDEM è la Federazione Italiana delle Università e degli Enti di Ricerca per l Autenticazione e l Autorizzazione operata dal Consortium GARR e basata sullo standard SAML2 Alla Federazione IDEM possono partecipare tutti gli Enti della Comunità GARR ma anche Enti e Aziende provenienti dal contesto nazionale e internazionale La partecipazione a IDEM può avvenire come Fornitore di Identità Fornitore di Servizi Per ulteriori dettagli consultare il sito IDEM https://www.idem.garr.it
Certificati personali Si richiedono tramite il portale https://tcspersonal.garr.it/ L autenticazione avviene tramite il gestore d identità di INFN (IDEM) e non presso la RA Il download è immediato La revoca è gestibile dall utente direttamente nel portale Il DN del certificato contiene: C, O, CN/unstructuredName
Certificati personali escience ad uso grid Si richiedono tramite il portale https://tcsescience.garr.it/ L autenticazione avviene tramite il gestore d identità di INFN (IDEM) e non presso la RA Il download è immediato La revoca è gestibile dall utente direttamente nel portale Il DN del certificato contiene: DC=org, DC=terena,DC=tcs, C, O, CN
Confronto con INFN CA Emissione del certificato in tempo reale Non è più necessario recarsi dalla RA per l identificazione Non è più necessario contattare la RA per la revoca del proprio certificato Per gli utenti grid è necessario registrare il nuovo DN in tutte le VO dei siti a cui si ha accesso
Riferimenti GARR CS http://ca.garr.it/tcs/ http://ca.garr.it/tcs/faq.php Terena TCS Web Site http://www.terena.org/activities/tcs/ Sito web della Federazione IDEM http://www.idem.garr.it Portale TCS per richiedere certificati personali https://tcs-personal.garr.it/ https://tcs-escience.garr.it/