Authentisierung mit Clientzertifikaten - Revision history

Mrueg: /* Zertifikate */

2012-03-05T22:00:14Z

Zertifikate

← Older revision		Revision as of 22:00, 5 March 2012
Line 7:		Line 7:

	= Zertifikate =		= Zertifikate =
	== Allgemeines ==

	Zertifikate sind digitale Nachweise spezifischer Eigenschaften von Subjekten, welche vom Aussteller des Zertifikates beglaubigt werden.		Zertifikate sind digitale Nachweise spezifischer Eigenschaften von Subjekten, welche vom Aussteller des Zertifikates beglaubigt werden.
	Überprüft werden kann nur die Integrität, d.h. die Korrektheit des Zertifikates im Sinne der Nicht-Modifizierung selbigens und die Authentizität, also die Echtheit des Urhebers, sofern man dessen Identität bereits verifiziert hat.		Überprüft werden kann nur die Integrität, d.h. die Korrektheit des Zertifikates im Sinne der Nicht-Modifizierung selbigens und die Authentizität, also die Echtheit des Urhebers, sofern man dessen Identität bereits verifiziert hat.

Nowottni: /* Signed Public Key and Challenge (SPKAC) */

2012-03-05T21:58:04Z

Signed Public Key and Challenge (SPKAC)

← Older revision		Revision as of 21:58, 5 March 2012
Line 176:		Line 176:
	</pre>		</pre>

	Dieser SPKAC kann dann mit folgendem ~~(PHP)-~~Befehl von der CA signiert werden:		Dieser SPKAC kann dann mit folgendem Befehl von der CA signiert werden:

	<pre>		<pre>

Nowottni: /* Signed Public Key and Challenge (SPKAC) */

2012-03-05T21:57:44Z

Signed Public Key and Challenge (SPKAC)

← Older revision		Revision as of 21:57, 5 March 2012
Line 179:		Line 179:

	<pre>		<pre>
	$command = "/usr/bin/openssl ca -config '".$dir."/openssl.cnf';		$command = "/usr/bin/openssl ca -config '".$dir."/openssl.cnf'";
	$command .= "-days ".$row['VALIDDAYS'];		$command .= " -days ".$row['VALIDDAYS'];
	$command .= " -notext -batch -key '".$password;		$command .= " -notext -batch -key '".$password."'";
	$command .= "' -spkac ".$dir.'/spkacs/'.$RID.'.spkac';		$command .= " -spkac ".$dir.'/spkacs/'.$RID.'.spkac';
	$output = shell_exec($command);		$output = shell_exec($command);
	</pre>		</pre>

Nowottni: /* Erstellung der Intermediate-CAs */

2012-03-05T21:56:50Z

Erstellung der Intermediate-CAs

← Older revision		Revision as of 21:56, 5 March 2012
Line 122:		Line 122:

	=== Erstellung der Intermediate-CAs ===		=== Erstellung der Intermediate-CAs ===
			Das so signierte Zertifikat wird im "certs"-Ordner der Root-CA unter der Seriennummer abgelegt, weshalb die Seriennummer vor dem Signieren ausgelesen und in einer Variable abgespeichert wird.
			<pre>
			// save the serial because the crt will be named based on it
			$serial = str_replace("\n", '', file_get_contents('rootCA/serial'));
			</pre>

			Mit folgendem Shell-Befehl wird der CSR, welcher sich in "$dir/ca.csr" befindet von der Root-CA signiert.
			<pre>
			$command = "/usr/bin/openssl ca -config 'rootCA/openssl.cnf' -days ".$days." -notext -batch -key '".$password."' -in ".$dir.'/ca.csr';
			$output = shell_exec($command);
			</pre>
			Dabei ist $password das Passwort womit der private Schlüssel der Root-CA gesichert ist und $days die Anzahl der Tage, welche das signierte Zertifikat gültig sein soll.

			Das signierte Zertifikat kann nun in den Ordner der Intermediate-CA kopiert werden.
			<pre>
			// cp the crt to the intermediate CA's folder
			file_put_contents($dir.'/ca.crt', file_get_contents('rootCA/certs/'.$serial.'.pem'));

			// add certificate chain
			file_put_contents($dir.'/ca.crt', file_get_contents('rootCA/ca.crt'), FILE_APPEND);
			</pre>
			Für die Erstellung der Zertifikatskette reicht es, wenn man das Root-CA-Zertifikat an das Intermediate-CA-Zertifikat anhängt.

	== Erstellung eines Clientzertifikats ==		== Erstellung eines Clientzertifikats ==

Mrueg: /* Beispielimplementierung */

2012-03-05T21:41:56Z

Beispielimplementierung

← Older revision		Revision as of 21:41, 5 March 2012
Line 27:		Line 27:

	Um die Funktion des Clientzertifikates zu überprüfen, wird für jeden Nutzer ein privater Ordner erstellt, auf den nur er mittels Authentisierung durch sein Zertifikat Zugriff besitzt.		Um die Funktion des Clientzertifikates zu überprüfen, wird für jeden Nutzer ein privater Ordner erstellt, auf den nur er mittels Authentisierung durch sein Zertifikat Zugriff besitzt.

			Natürlich ist uns bewusst, dass jede signierende CA, die Vertrauen des Nutzers genießen soll, um einiges besser abgesichert werden muss, als es in dieser Implementierung der Fall ist. Es existieren diverse Frameworks für eine PKI auf dem Markt; leider ist nach der Recherche im Rahmen des Workshops keines davon kurzfristig für unsere Zwecke geeignet gewesen, womit wir auf eine Eigenimplementierung zurückgreifen mussten.

	== Serverkonfiguration ==		== Serverkonfiguration ==

Nowottni: /* Erstellung der Root-CA */

2012-03-05T21:38:33Z

Erstellung der Root-CA

← Older revision		Revision as of 21:38, 5 March 2012
Line 108:		Line 108:

	=== Erstellung der Root-CA ===		=== Erstellung der Root-CA ===
			Zum Generieren des Root-CA-Zertifikats wird der Befehl [http://de3.php.net/manual/de/function.openssl-csr-sign.php openssl_csr_sign] verwendet. Als zweiten Parameter erwartet die Funktion ein CA-Zertifikat, wird jedoch NULL übergeben, wird ein selbstsigniertes Zertifikat erstellt. Als dritter Parameter muss der zum CA-Zertifikat des zweiten Parameters passende private Schlüssel übergeben werden, was in diesem Fall der neu generierte Schlüssel der Root-CA ist. Mit [http://de3.php.net/manual/de/function.openssl-x509-export.php openssl_x509_export] exportiert und anschließend gespeichert werden.

			<pre>
			// sign certificate
			$reqCert = openssl_csr_sign($reqCSR, NULL, $reqKey, $days, $configargs, $serial);

			// save certificate
			openssl_x509_export($reqCert, $cert);
			file_put_contents($dir.'/ca.crt', $cert);
			</pre>

	=== Erstellung der Intermediate-CAs ===		=== Erstellung der Intermediate-CAs ===

Mrueg: /* Serverkonfiguration */

2012-03-05T21:35:35Z

Serverkonfiguration

← Older revision		Revision as of 21:35, 5 March 2012
Line 44:		Line 44:
	SSLOptions +ExportCertData +StdEnvVars		SSLOptions +ExportCertData +StdEnvVars
	</pre>		</pre>
			Hierbei werden die übermittelten Zertifikatsdaten an das aufgerufene PHP-Skript als Server-Variable weitergereicht, womit man diese dann verifizieren und den Zugriff erlauben kann.

	== Erstelllung einer CA ==		== Erstelllung einer CA ==

Mrueg: /* Serverkonfiguration */

2012-03-05T21:34:23Z

Serverkonfiguration

← Older revision		Revision as of 21:34, 5 March 2012
Line 34:		Line 34:
	** Wichtig: Apache muss mittels '/etc/init.d/apache2 restart' neugestartet werden		** Wichtig: Apache muss mittels '/etc/init.d/apache2 restart' neugestartet werden

	~~Soll~~ ~~ein~~ ~~Ordner~~ ~~durch~~ eine ~~Authentisierung~~ ~~mit~~ ~~Clientzertifikaten~~ ~~geschützt~~ ~~werden~~, so genügt es, eine .htaccess-Datei mit folgendem Inhalt zu erstellen:		Um bei Zugriff auf einen Ordner eine Zugangskontrolle mittels Clientzertifikat zu erreichen, genügt es eine .htaccess-Datei mit folgendem Inhalt zu erstellen:
	<pre>		<pre>
	RewriteEngine On		RewriteEngine On

Nowottni: /* Serverkonfiguration */

2012-03-05T21:25:20Z

Serverkonfiguration

@@ Line 33: / Line 33: @@
 ** SSLCACertificateFile und SSLCARevocationPath auf das selbsterstelle Rootzertifikat und den Ordner, in welchem die Revocation Lists gespeichert werden, setzen
 ** Wichtig: Apache muss mittels '/etc/init.d/apache2 restart' neugestartet werden
 == Erstelllung einer CA ==

Nowottni: /* Erstelllung einer CA */

2012-03-05T21:17:55Z

Erstelllung einer CA

← Older revision		Revision as of 21:17, 5 March 2012
Line 38:		Line 38:
	[[Image:Create_ca.png\|thumb\|upright=1.5\|Beispielhaftes Formular zur Erstellung einer Intermediate-CA]]		[[Image:Create_ca.png\|thumb\|upright=1.5\|Beispielhaftes Formular zur Erstellung einer Intermediate-CA]]
	Für viele der Befehle, die zur Erstellung notwendig sind, kann das OpenSSL-PHP-Modul verwendet werden. Jedoch bietet das Modul u.a. für die Erstellung von CAs keine Schnittstelle, weshalb wir in diesen Fällen auf Shell-Befehle zurückgegriffen haben, welche wir aus PHP heraus mit shell_exec() aufrufen.		Für viele der Befehle, die zur Erstellung notwendig sind, kann das OpenSSL-PHP-Modul verwendet werden. Jedoch bietet das Modul u.a. für die Erstellung von CAs keine Schnittstelle, weshalb wir in diesen Fällen auf Shell-Befehle zurückgegriffen haben, welche wir aus PHP heraus mit shell_exec() aufrufen.

			Jedes signierte Zertifikat einer CA hat seine eigene Seriennummer und wird ein Zertifikat zurückgerufen, dann wird ein Counter hochgezählt. Dafür und für das Signieren von Clientzertifikaten sind im Ordner der CA (oder wie in der openssl.cnf festgelegt) die folgende Dateien und Ordner notwendig:
			<pre>
			mkdir(__CA_DIR.'/certs');
			mkdir(__CA_DIR.'/keys');
			mkdir(__CA_DIR.'/crl');
			file_put_contents(__CA_DIR.'/serial', '00');
			file_put_contents(__CA_DIR.'/crlnumber', '00');
			</pre>

	Die meisten PHP-OpenSSL-Befehle benötigen als einen Parameter ein Array, in welchem diverse Einstellungen vorgegeben sind. In den Ausschnitten, die wir hier zeigen, heißt dieses Array $configargs und setzt sich wie folgt zusammen:		Die meisten PHP-OpenSSL-Befehle benötigen als einen Parameter ein Array, in welchem diverse Einstellungen vorgegeben sind. In den Ausschnitten, die wir hier zeigen, heißt dieses Array $configargs und setzt sich wie folgt zusammen: