FAQ TBS-certificats: Authentification forte avec Apache et certificats délivrés par une PKI

Focus

Signature en SHA-256 disponible !

TBS internet a lancé en janvier 2009 une gamme de certificats utilisant le hashage SHA-256, produisant la signature la plus sure actuellement sur le marché. Etes vous prêts ? Plus de détails...

De nouveaux assistants sont à votre disposition !

TBS Internet a développé deux nouveaux outils pour vous guider dans votre choix de «solutions PKI» ou «certificats utilisateurs».

FAQ TBS-certificats :

Utiliser un certificat :

Accès web avec authentification forte :
Authentification forte avec Apache et certificats délivrés par une PKI

Ce type d'authentification est idéale pour l'accès à des ressources internet par votre personnel. Les offres commerciales correspondantes sont décrites dans la section PKI de notre comparatif, mais vous pouvez aussi utiliser des certificats client / utilisateur disponibles à l'unité.

Préalable: votre serveur doit être correctement configuré en tant que serveur SSL.

Dans votre VirtualHost SSL, placez deux instructions:

SSLCARevocationPath conf/ssl.crl/
SSLCACertificateFile conf/chain-mon-pki.txt

L'instruction SSLCARevocationPath concerne la révocation. Voir

Gestion des listes de révocation dans Apache pour mettre en place la gestion de la revocation.

L'instruction SSLCACertificateFile décrit la chaine de certification de votre PKI. Le fichier indiqué doit contenir la chaine de certification utilisé pour émettre vos certificats PKI. Pour constituer ce fichier, consultez Certificats intermédiaires pour trouver l'autorité qui signe vos certificats et stockez dans un fichier texte le certificat affiché dans la page. Puis utilisez le lien "chaîné avec" pour remonter au niveau supérieur et ajoutez le certificat trouvé en dessous du certificat précédent. Ainsi de suite jusqu'à ce qu'il n'y ait plus de lien supérieur. Placez le fichier ainsi constitué dans conf/chain-mon-pki.txt

Assurez vous que votre Apache soit compilé avec un openssl version 0.9.7 récent, ou supérieur.

Maintenant au niveau d'un répertoire, il faut placer

SSLRequireSSL
SSLVerifyClient require
SSLVerifyDepth 4

pour activer la demande de certificat client, et spécifier la longueur maxi de ma chaîne.

Reste à spécifier le filtre qui permettra à tous vos utilisateurs de se connecter.

SSLRequire  %{SSL_CLIENT_I_DN} eq "/C=FR/ST=Calvados/L=Caen/O=TBS INTERNET/OU=Terms and Conditions:
http://www.tbs-internet.com/CA/repository/OU=TBS INTERNET CA/CN=TBS X509 CA persona" \
and %{SSL_CLIENT_S_DN_O} eq "NOM-DE-LA-SOCIETE" \
and %{SSL_CLIENT_S_DN_OU} eq "personnel interne / internal staff" \
and %{SSL_CLIENT_S_DN_C} eq "FR"

Dans cette expression, la première ligne vérifie l'autorité qui a émis le certificat (si vous avez suivi notre méthode et autorisé une seule autorité de certification, ce test redondant. Il est par contre utile si vous avez autorisé plusieurs CA.).
La seconde ligne vérifie que ce certificat est pour votre nom de société.
La troisième ligne vérifie que ce certificat est pour votre unité d'organisation au sein de votre société.
La quatrième ligne vérifie que ce certificat est pour une organisation en France.

Etc. Vous aurez compris que notre filtre exemple autorise tous les certificats émis pour une unité d'organisation de votre société. Vous pouvez écrire des instructions plus strictes, par exemple pour autoriser que certains utilisateurs de votre organisation, rajoutez:

%{SSL_CLIENT_S_DN_Email} in {"root@domaine.com", "system@domaine.com", "chef@domaine.com"}

Pour plus d'informations:

Apache 1.3 avec mod_ssl: http://www.modssl.org/docs/2.8/ssl_reference.html#ToC23
Apache 2: http://httpd.apache.org/docs/2.0/mod/mod_ssl.html#sslrequire

[Contribuer à cette Entrée]

2007-Feb-19 10:40am

Authentification forte avec Apache et certificats délivrés par de multiples CA

Ce document est: http://www.tbs-certificats.com//cgi-bin/fom.cgi?file=183

[Chercher]

[Apparence]

C'est une Faq-O-Matic 2.721.