Configurazione

HTTPS

Principio

HTTPS (dove S sta per secured, ossia « protetto ») è la semplice combinazione di HTTP con SSL.

Permette al visitatore di verificare l'identità del sito a cui accede grazie ad un certificato di autentificazione.

Garantisce la riservatezza e l'integrità dei dati inviati dall'utente (in particolare le informazioni inserite nei formulari) e ricevute dal server.

L'autentificazione è realizzata mediante l'utilizzo di un certificato numerico X.509 consegnato da una Certification Authority.

La cifratura è realizzata mediante una cifratura asimmetrica, come ad esempio l'algoritmo RSA.

Certification Authority (CA)

In crittografia, la Certification Authority (AC o CA) ha la missione, dopo aver verificato l'identità del richiedente del certificato mediante una autorità di registrazione, di firmare, emettere e conservare i certificati.

• Verisign
• Thawte
• Global Sign
• ...

Chiave privata RSA (server.key)

Un file con chiave privata RSA è un file numerico che è possibile utilizzare per decifrare messaggi ricevuti.

Ha la sua chiave a carattere pubblico che è possibile distribuire (tramite il proprio certificato), il che permette agli utenti di cifrare i messaggi che vi inviano.

Richiesta di Firma di Certificato (CSR)

Una Richiesta di Firma di Certificato (CSR) è un file numerico che contiene la propria chiave pubblica ed il proprio nome.

La CSR deve essere inviata ad una Certification Authority (CA), che la convertirà in certificato ufficiale firmandola.

Certificato (server.crt)

Un certificato contiene la chiave pubblica RSA, il proprio nome, il nome della CA, ed è firmato numericamente da quest'ultima.

I browser che riconoscono la CA possono verificare la firma del certificato ed estrarne così la propria chiave pubblica RSA.

Ciò permette loro di inviare dei messaggi cifrati per permettere solo all'utente di decifrarli.

Ottenimento di un certificato

La Certification Authority commerciale chiede generalmente di inviare la CSR mediante un formulario web, di pagare l'importo della firma, poi viene inviato un certificato firmato in un file server.crt.

Configurazione del server Apache

Il file di configurazione del protocollo SSL del server Apache è generato durante l'installazione del server X3WEB.

• Path: WebTools\SOFTS\HTTPD\conf\extra\httpd-ssl.conf
• WebTools è la direcotory 'Tools' definita durante l'installazione del server X3WEB

# Server Certificate:
SSLCertificateFile "C:/SAGE/WebREFJULIET/WebTools/SOFTS/HTTPD/conf/server.crt"

# Server Private Key:
SSLCertificateKeyFile "C:/SAGE/WebREFJULIET/WebTools/SOFTS/HTTPD/conf/server.key"

Le ubicazioni dei file certificato (.crt) e chiave privata (.key) sono le seguenti:

• WebTools\SOFTS\HTTPD\conf\server.crt
• WebTools\SOFTS\HTTPD\conf\server.key

I file server.crt e server.key consegnati di default sono dei file di test consegnati dalla fondazione Apache.

Il file server.crt non è certificato da una Certification Authority e non è di conseguenza riconosciuto (validato) dai browser.

Per configurare correttamente il protocollo SSL bisogna generare un file chiave privata server.key ed effettuare una richiesta di certificato (server.crt) presso una autorità di certificazione e poi sostituire i file esistenti mantenendo lo stesso nome.

Quando si applica una patch su un server X3WEB, bisogna salvare i file server.crt e server.key e ricopiarli dopo l'installazione della patch.

Creazione di un certificato di test Verisign

L'autorità di certificazione Verign (http://www.verisign.it) propone un certificato SSL di prova gratuito con durata limitata.

Si indica a titolo illustrativo il metodo da seguire per:

• creare la chiave privata e la richiesta di firma del certificato (CSR) col tool box OpenSSL
• ottenere il certificato di test presso Verisign.

Questo documento completa le istruzioni fornite da Verisign.
http://www.verisign.fr/support/ssl-certificate-support/page_fr_fr_dev019500.html

Fase 1 - Installare OpenSSL

L’utility « openssl » (http://www.openssl.org) serve a generare la chiave e la richiesta di firma del certificato (CSR).

Effettuare il download di OpenSSL (sotto windows).
http://www.openssl.org/related/binaries.html

1. Installare 'Visual C++ 2008 Redistributables'

2. Installare 'Win32 OpenSSL v0.9.8j Light' o 'Win64 OpenSSL v0.9.8j Light'

3. Utilizzare il comando \OpenSSL\Bin\openssl.exe

Fase 2 - Generare una chiave privata

openssl genrsa -des3 1024 > verisign.key

Documentazione genrsa.
http://www.openssl.org//docs/apps/genrsa.html

Fase 3 - Generare una richiesta di firma di certificato

openssl req -new -key verisign.key verisign.csr

Documentazione richiesta
http://www.openssl.org//docs/apps/req.html

1. Inserire la password della chiave privata

2. Inserire le informazioni sul certificato

Inserire il Nome di Dominio non ambiguo ("Fully Qualified Domain Name" o FQDN) del proprio server quando OpenSSL richiede il Common Name (es, YOUR name).

Se si genera una CSR per un sito web a cui si accederà tramite l'URL https://www.mysite.com/, il FQDN sarà www.mysite.com

Normalmente si acquista un certificato per Nome di Dominio non ambiguo.

Per generare un certificato auto-firmato

Questo certificato non ha bisogno di essere firmato da una autorità di certificazione ma non è riconosciuto dal browser. Utilizzare il seguente comando:

openssl req -x509 -key verisign.key -in verisign.csr > verisign.crt

Fase 4 - Richiesta di certificato

Aprire l'URL http://www.verisign.fr/ssl/index.html e cliccare su 'Test gratuito'.

1. Compilare il formulario di richiesta

2. Compilare il formulario del contatto tecnico

3. Compilare il formulario del certificato

• Selezionare 'Server Apache'
• Aprire il file CRS verisign.crs con un editor di testo e copiare il contenuto
• Incollare il contenuto testo nel campo di inserimento
• Selezionare l'utilizzo Server WEB poi invio
• Inserire la password del certificato poi invio

5. Il certificato è inviato via email

6. Al ricevimento del certificato

• Copiare il certificato
  testo tra -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----
• Aprire NotePad(++) ed incollare il certificato
• Registrare il certificato con l'estensione .crt (verisign.crt)

Fare una copia dei file verisign.key e verisign.crt e conservare le password.

Fase 5 - Installazione del certificato

Copiare/Sostituire i file verisign.key e verisign.crt sotto server.key e server.crt nella directory WebTools\SOFTS\HTTPD\conf\

Parametri di configurazione

X3Web

Le applicazioni XTEND utilizzano la porta HTTPS.

Verificare che il parametro console ALL.Apache.APACHESSL che attiva la modalità SSL del serveur Apache abbia il valore yes

Le porte HTTP e HTTPS per accedere alle applicazioni XTEND sono fornite dai parametri xtend.server.gensetup.http.defhttpport e xtend.server.gensetup.http.defhttpsport.

Questi parametri devono essere obbligatoriamente indicati.

XTEND

Il riquadro presenta i parametri di configurazione del server XTEND accessibile tramite la console (parametri avanzati).