韓誥傭痔

Table of Contents

1 Emprant certificats

1 Emprant certificats

Vista general

韓誥傭痔 pot emprar certificats RSA en format PEM, signats per una autoritat de certificaci車 (CA) p迆blica o interna.

La verificaci車 del certificat es realitza en una CA de certificat preconfigurada. Opcionalment es poden emprar les llistes de revocaci車 de certificats (CRL).

Cada component 韓誥傭痔 nom谷s pot tindre un certificat configurat.

Per obtindre m谷s informaci車 sobre la configuraci車 i l'迆s de l'autoritat de certificaci車 interna, la generaci車 de peticions de certificats i la seva signatura, la revocaci車 de certificats, trobareu un gran nombre de manuals d'usuari en l赤nia, per exemple, [OpenSSL PKI Tutorial v2.0] (http://pki-tutorial.readthedocs.org/en/latest/).

Reviseu i proveu amb cura les extensions de certificat.

Veieu les Limitacions a les extensions de certificat X.509 v3 per obtindre m谷s detalls.

捩硃娶角鳥梗喧娶梗s de configuraci車 del certificat

捩硃娶角鳥梗喧娶梗	Obligatori	嗨梗莽釵娶勳梯釵勳車
TLSCAFile	莽赤	Cam赤 complet a un fitxer que cont谷 els certificats de nivell superior de CA per a la verificaci車 de certificats entre iguals. En cas d'una cadena de certificats amb diversos membres, s'han d'ordenar: primer els certificats de CA de nivell inferior, seguits de certificats de nivell superior. Els certificats de diverses CA es poden incloure en un sol fitxer.
TLSCRLFile	no	Cam赤 complet a un fitxer que cont谷 llistes de revocaci車 de certificats. Veieu Llistes de revocaci車 de certificats (CRL).
TLSCertFile	yes	Cam赤 complet d'un fitxer que cont谷 un certificat (cadena de certificats). En el cas d'una cadena de certificats amb diversos membres, s'han d'ordenar: primer certificat de servidor, certificat de proxy o agent, seguit de certificats d'inferior nivell i despr谷s certificats de CA de nivell superior.
TLSKeyFile	yes	Cam赤 complet d'un fitxer que cont谷 una clau privada. Estableix els drets d'acc谷s a aquest fitxer: nom谷s hauria de ser llegible per l'usuari de 韓誥傭痔.
TLSServerCertIssuer	no	Emissor del certificat del servidor es permet.
TLSServerCertSubject	no	Titular autoritzat del certificat del servidor.

Exemples de configuraci車

Despr谷s de configurar els certificats necessaris, configureu els components de 韓誥傭痔 per utilitzar el xifrat basat en certificats.

Tot seguit es mostren les passes detallades per a la configuraci車:

Servidor 韓誥傭痔
proxy 韓誥傭痔
agent 韓誥傭痔

Configurant un certificat al servidor 韓誥傭痔

1. Per tal de verificar els certificats dels parells, el servidor 韓誥傭痔 ha de tindre acc谷s al fitxer amb els seus certificats de CA arrel autosignats de primer nivell. Per exemple, si esperem certificats de dues CA arrel independents, podem posar els seus certificats al fitxer /home/zabbix/zabbix_ca_file:

```
       Certificate:
           Data:
               Version: 3 (0x2)
               Serial Number: 1 (0x1)
           Signature Algorithm: sha1WithRSAEncryption
               Issuer: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Root1 CA
                   ...
               Subject: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Root1 CA
               Subject Public Key Info:
                   Public Key Algorithm: rsaEncryption
                       Public-Key: (2048 bit)
                   ...
               X509v3 extensions:
                   X509v3 Key Usage: critical
                       Certificate Sign, CRL Sign
                   X509v3 Basic Constraints: critical
                       CA:TRUE
                   ...
       -----BEGIN CERTIFICATE-----
       MIID2jCCAsKgAwIBAgIBATANBgkqhkiG9w0BAQUFADB+MRMwEQYKCZImiZPyLGQB
       ....
       9wEzdN8uTrqoyU78gi12npLj08LegRKjb5hFTVmO
       -----END CERTIFICATE-----
       Certificate:
           Data:
               Version: 3 (0x2)
               Serial Number: 1 (0x1)
           Signature Algorithm: sha1WithRSAEncryption
               Issuer: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Root2 CA
                   ...
               Subject: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Root2 CA
               Subject Public Key Info:
                   Public Key Algorithm: rsaEncryption
                       Public-Key: (2048 bit)
                   ....
               X509v3 extensions:
                   X509v3 Key Usage: critical
                       Certificate Sign, CRL Sign
                   X509v3 Basic Constraints: critical
                       CA:TRUE
                   ....       
       -----BEGIN CERTIFICATE-----
       MIID3DCCAsSgAwIBAgIBATANBgkqhkiG9w0BAQUFADB/MRMwEQYKCZImiZPyLGQB
       ...
       vdGNYoSfvu41GQAR5Vj5FnRJRzv5XQOZ3B6894GY1zY=
       -----END CERTIFICATE-----
       ```

2. Poseu la cadena de certificats del servidor 韓誥傭痔 a un arxiu, com ara /home/zabbix/zabbix_server.crt:

```ini
       Certificate:
           Data:
               Version: 3 (0x2)
               Serial Number: 1 (0x1)
           Signature Algorithm: sha1WithRSAEncryption
               Issuer: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Signing CA
               ...
               Subject: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=韓誥傭痔 server
               Subject Public Key Info:
                   Public Key Algorithm: rsaEncryption
                       Public-Key: (2048 bit)
                       ...
               X509v3 extensions:
                   X509v3 Key Usage: critical
                       Digital Signature, Key Encipherment
                   X509v3 Basic Constraints: 
                       CA:FALSE
                   ...
       -----BEGIN CERTIFICATE-----
       MIIECDCCAvCgAwIBAgIBATANBgkqhkiG9w0BAQUFADCBgTETMBEGCgmSJomT8ixk
       ...
       h02u1GHiy46GI+xfR3LsPwFKlkTaaLaL/6aaoQ==
       -----END CERTIFICATE-----
       Certificate:
           Data:
               Version: 3 (0x2)
               Serial Number: 2 (0x2)
           Signature Algorithm: sha1WithRSAEncryption
               Issuer: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Root1 CA
               ...
               Subject: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Development group, CN=Signing CA
               Subject Public Key Info:
                   Public Key Algorithm: rsaEncryption
                       Public-Key: (2048 bit)
                   ...
               X509v3 extensions:
                   X509v3 Key Usage: critical
                       Certificate Sign, CRL Sign
                   X509v3 Basic Constraints: critical
                       CA:TRUE, pathlen:0
               ...
       -----BEGIN CERTIFICATE-----
       MIID4TCCAsmgAwIBAgIBAjANBgkqhkiG9w0BAQUFADB+MRMwEQYKCZImiZPyLGQB
       ...
       dyCeWnvL7u5sd6ffo8iRny0QzbHKmQt/wUtcVIvWXdMIFJM0Hw==
       -----END CERTIFICATE-----


       Aqu赤 el primer 谷s el certificat del servidor 韓誥傭痔, seguit del certificat de la CA intermitja.

       :::noteclassic
       Es desaconsella l'迆s de qualsevol atribut, excepte els esmentats anteriorment, tant per als certificats de client com de servidor, perqu豕 pot afectar el proc谷s de verificaci車 del certificat. Per exemple, l'OpenSSL pot no establir una connexi車 xifrada si s'estableix *X509v3 Extended Key Usage* o *Netscape Cert Type*. Veieu tamb谷: [Limitacions en l'迆s de les extensions de certificat X.509 v3](/manual/encryption/using_certificates#limitations_on_using_x509_v3_certificate_extensions).
       :::

       3\. Poseu la clau privada del servidor 韓誥傭痔 a un arxiu, com ara `/home/zabbix/zabbix_server.key`:

        ```
        -----BEGIN PRIVATE KEY-----
        MIIEwAIBADANBgkqhkiG9w0BAQEFAASCBKowggSmAgEAAoIBAQC9tIXIJoVnNXDl
        ...
        IJLkhbybBYEf47MLhffWa7XvZTY=
        -----END PRIVATE KEY-----
        ```

       4\. Editeu els par角metres TLS a l'arxiu de configuraci車 del servidor 韓誥傭痔, amb aquest valors:

       ```ini
        TLSCAFile=/home/zabbix/zabbix_ca_file
        TLSCertFile=/home/zabbix/zabbix_server.crt
        TLSKeyFile=/home/zabbix/zabbix_server.key

Proxy 韓誥傭痔

1. Prepareu fitxers amb certificats de CA de primer nivell, certificat de proxy (cadena) i clau privada tal com es descriu a 唬棗紳款勳眶喝娶硃釵勳車 del certificat al servidor 韓誥傭痔. Modifiqueu els par角metres TLSCAFile, TLSCertFile, TLSKeyFile a la configuraci車 del proxy en conseq邦豕ncia.

2. Editeu els par角metres adicionals a l'arxiu de configuraci車 del proxy 韓誥傭痔:

Per al proxy actiu: TLSConnect=cert
Per a un proxy passiu: TLSAccept=cert

Per millorar la seguretat del proxy, podeu configurar els par角metres TLSServerCertIssuer i TLSServerCertSubject. Per a m谷s informaci車, veieu les restriccions permeses de l'emissor i de l'assumpte.

Al fitxer de configuraci車 del proxy final, la configuraci車 de TLS podria semblar aix赤:

```ini
        TLSConnect=cert
        TLSAccept=cert
        TLSCAFile=/home/zabbix/zabbix_ca_file
        TLSServerCertIssuer=CN=Signing CA,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
        TLSServerCertSubject=CN=Servidor 韓誥傭痔,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
        TLSCertFile=/home/zabbix/zabbix_proxy.crt
        TLSKeyFile=/home/zabbix/zabbix_proxy.key
       ```

3. Configureu el xifrat per a aquest proxy a la interf赤cie 韓誥傭痔:

Aneu a: Administraci車 ↙ Proxys
Trieu un proxy i feu clic a la pestanya Xifrat

En els exemples seg邦ents, s'emplenen els camps Emissor i Assumpte. Veieu a restricci車 d'emissor i subjecte permesos per qu豕 i com emprar aquests camps.

Per a un proxy actiu:

Per a un proxy passiu:

Agent 韓誥傭痔

1. Prepareu fitxers amb certificats de CA de nivell superior, certificat d'agent (cadena) i clau privada tal com es descriu a la configuraci車 del certificat al servidor 韓誥傭痔. Modifiqueu els par角metres TLSCAFile, TLSCertFile, TLSKeyFile a l'arxiu de configuraci車 de l'agent 韓誥傭痔 com pertoqui.

2. Editeu els par角metres TLS addicionals a l'arxiu de configuraci車 de l'agent 韓誥傭痔:

Per al monitoratge actiu: TLSConnect=cert
Per al monitoratge passiu: TLSAccept=cert

Podeu millorar la seguretat de l'agent configurant els par角metres TLSServerCertIssuer' iTLSServerCertSubject` (veieu Restricci車 de l'emissor i del assumpte permesos).

Els par角metres TLS a la configuraci車 final de l'agent serien com tot seguit. Fixeu-vos que l'exemple assumeix que l'equip 谷s monitorat per un proxy; per tant, s'especifica com a Assumpte el certificat:

```ini
        TLSConnect=cert
        TLSAccept=cert
        TLSCAFile=/home/zabbix/zabbix_ca_file
        TLSServerCertIssuer=CN=Signing CA,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
        TLSServerCertSubject=CN=Proxy 韓誥傭痔,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
        TLSCertFile=/home/zabbix/zabbix_agentd.crt
        TLSKeyFile=/home/zabbix/zabbix_agentd.key
       ```

3. Configureu el xifrat per a aquest agent a la interf赤cie 韓誥傭痔:

Aneu a: Recull de dades ↙ Equips
Trieu l'equip i feu clic a la pestanya Xifrat

A l'exemple seg邦ent, s'emplenen els camps Emissor i Assumpte. Veieu a restricci車 de l'emissor i l'assumpte permesos per qu豕 i com emprar aquests camps.

Servei web 韓誥傭痔

1. Prepareu fitxers amb els certificats de CA de nivell superior, el certificat/cadena de certificats del servei web 韓誥傭痔 i la clau privada tal com es descriu a la secci車 Servidor 韓誥傭痔. A continuaci車, editeu els par角metres TLSCAFile, TLSCertFile i TLSKeyFile al fitxer de configuraci車 del servei web 韓誥傭痔 en conseq邦豕ncia.

2. Editeu un par角metre TLS addicional al fitxer de configuraci車 del servei web 韓誥傭痔: TLSAccept=cert

Els par角metres TLS del fitxer de configuraci車 del servei web final poden tenir el seg邦ent aspecte:

TLSAccept=cert
       TLSCAFile=/home/zabbix/zabbix_ca_file
       TLSCertFile=/home/zabbix/zabbix_web_service.crt
       TLSKeyFile=/home/zabbix/zabbix_web_service.key

3. Configureu el servidor 韓誥傭痔 per connectar-se al servei web 韓誥傭痔 configurat per TLS editant el par角metre WebServiceURL al fitxer de configuraci車 del servidor 韓誥傭痔:

WebServiceURL=https://example.com

Restricci車 de l'emissor i receptor autoritzats

Quan dos components (per exemple, el servidor 韓誥傭痔 i l'agent) estableixen una connexi車 TLS, cadascun comprova els certificats de l'altre. Si un certificat igual signat per una CA de confian?a (amb un certificat de nivell superior preconfigurat a TLSCAFile) 谷s v角lid, no ha caducat i passa m谷s comprovacions, la comunicaci車 pot continuar. L'emissor i el subjecte del certificat no es comprova en aquest cas m谷s senzill.

Hi ha el risc que qualsevol persona amb un certificat v角lid pugui suplantar la identitat d'una altra persona (per exemple, es pot emprar un certificat d'equip per suplantar la identitat d'un servidor). Aix辰 pot ser acceptable en entorns petits on els certificats s車n signats per una CA interna dedicada i el risc de suplantaci車 d'identitat 谷s baix.

Si la vostra CA de nivell superior s'empra per emetre altres certificats que 韓誥傭痔 no hauria d'acceptar o si voleu reduir el risc de falsificaci車, podeu restringir els certificats permesos especificant-ne el remitent i l'assumpte.

Per exemple, podeu escriure al fitxer de configuraci車 del proxy 韓誥傭痔:

     TLSServerCertIssuer=CN=Signing CA,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
            TLSServerCertSubject=CN=Servidor 韓誥傭痔,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com

Amb aquesta configuraci車, el proxy actiu no es comunicar角 amb el servidor 韓誥傭痔 amb una cadena d'emissor o una cadena de subjecte diferent al certificat, i el proxy passiu no acceptar角 peticions d'aquest servidor.

Regles per fer coincidir les cadenes `Emissor` i `Assumpte`

Les regles per fer coincidir les cadenes Emissor i Assumpte s車n les seg邦ents:

Les cadenes Emissor i Assumpte es comproven de manera independent. Tots dos s車n opcionals.
Una cadena no especificada significa que s'accepta qualsevol cadena.
Les cadenes es comparen tal com estan i han de coincidir exactament.
S'admeten car角cters UTF-8. Tanmateix, no s'admeten els comodins (*) ni les expressions regulars.
S'implementen els requisits seg邦ents: car角cters que requereixen escapar (amb una barra invertida '\', U+005C):
- en qualsevol lloc de la cadena: '"' (U+0022), '+' (U+002B), ',' (U+002C), ';' (U+003B), '<' (U+003C), '>' (U+003E), '`\'' (U+005C);
- al comen?ament de la cadena: espai (' ', U+0020) o signe de n迆mero (''#'', U+0023);
- al final de la cadena: espai (' ', U+0020).
Els car角cters nuls (U+0000) no s'admeten. Si es troba un car角cter nul, la concordan?a fallar角.
Els est角ndards i no s車n pas compatibles.

Per exemple, si les cadenes d'organitzaci車 Emissor i Assumpte (O) contenen espais al final i la cadena de la unitat organitzativa Assumpte (OU) cont谷 cometes dobles, aquests car角cters s'han d'escapar:

TLSServerCertIssuer=CN=Signing CA,OU=Cap de desenvolupament,O=\ Exemple SIA\ ,DC=exemple,DC=com
       TLSServerCertSubject=CN=Servidor 韓誥傭痔,OU=Grup de desenvolupament \"5\",O=\ Exemple SIA\ ,DC=exemple,DC=com

Ordre i format dels camps

韓誥傭痔 segueix les recomanacions de , que especifica un ordre "invers" per a aquests camps, comen?ant pels camps de nivell m谷s baix (CN), continuant als camps de nivell mig (OU, O) i concloent amb els camps de nivell m谷s alt (DC).

TLSServerCertIssuer=CN=Signing CA,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com
       TLSServerCertSubject=CN=Proxy 韓誥傭痔,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com

En canvi, OpenSSL mostra per defecte les cadenes Emissor i Assumpte en ordre de nivell superior a nivell inferior. A l'exemple seg邦ent, els camps Emissor i Assumpte comencen al nivell superior ("DC") i acaben amb el camp de nivell inferior ("CN"). El format amb espais i separadors de camps tamb谷 varia en funci車 de les opcions emprades i, per tant, no coincidir角 amb el format requerit per 韓誥傭痔.

$ openssl x509 -noout -in /home/zabbix/zabbix_proxy.crt -issuer -subject
       issuer= /DC=com/DC=zabbix/O=韓誥傭痔 SIA/OU=Grup de desenvolupament/CN=Signing CA
       subject= /DC=com/DC=zabbix/O=韓誥傭痔 SIA/OU=Grup de desenvolupament/CN=Proxy 韓誥傭痔
       
       $ openssl x509 -noout -text -in /home/zabbix/zabbix_proxy.crt
       Certificate:
           ...
               Issuer: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Grup de desenvolupament, CN=Signing CA
               ...
               Subect: DC=com, DC=zabbix, O=韓誥傭痔 SIA, OU=Grup de desenvolupament, CN=proxy 韓誥傭痔

Per formatar correctament les cadenes Emissor i Subject per a 韓誥傭痔, invoqueu OpenSSL amb les opcions seg邦ents:

$ openssl x509 -noout -issuer -subject \
           -nameopt esc_2253,esc_ctrl,utf8,dump_nostr,dump_unknown,dump_der,sep_comma_plus,dn_rev,sname\
           -a /home/zabbix/zabbix_proxy.crt

Aleshores, la sortida estar角 en ordre invers, separada per comes i es podr角 emprar als fitxers de configuraci車 i a la interf赤cie de 韓誥傭痔:

issuer= CN= Signatura CA, OU= grup de desenvolupament, O= 韓誥傭痔 SIA, DC=zabbix, DC=com
       subject= CN=proxy 韓誥傭痔,OU=Grup de desenvolupament,O=韓誥傭痔 SIA,DC=zabbix,DC=com

Limitacions en l'迆s de les extensions de certificat X.509 v3

Quan s'implementen certificats X.509 v3 dins de 韓誥傭痔, 谷s possible que algunes extensions no siguin totalment compatibles o poden provocar un comportament inconsistent.

Extensi車 Subject Alternative Name

韓誥傭痔 no admet l'extensi車 Subject Alternative Name, que s'empra per especificar noms DNS alternatius, com ara adreces IP o adreces de correu electr辰nic. 韓誥傭痔 nom谷s pot validar el valor del camp Assumpte del certificat (vegeu Restricci車 de l'emissor i l'assumpte de certificats permesos). Si els certificats inclouen el camp subjectAltName, el resultat de la validaci車 del certificat pot variar en funci車 dels conjunts d'eines de criptografia espec赤fics utilitzats per compilar components 韓誥傭痔. Com a resultat, 韓誥傭痔 pot acceptar o rebutjar certificats basats en aquestes combinacions.

Extensi車 Extended Key Usage

韓誥傭痔 admet l'extensi車 Extended Key Usage. Tanmateix, si s'empra, generalment es requereix que s'especifiquin tant els atributs clientAuth (per a l'autenticaci車 de client TLS WWW) com serverAuth (per a l'autenticaci車 de servidor TLS WWW). Per exemple:

A les comprovacions passives, on l'agent 韓誥傭痔 funciona com a servidor TLS, l'atribut serverAuth s'ha d'incloure al certificat de l'agent.
A les comprovacions actives, on l'agent opera com a client TLS, l'atribut clientAuth s'ha d'incloure al certificat de l'agent.

Tot i que GnuTLS pot emetre un av赤s per infraccions d'迆s de claus, normalment permet que la comunicaci車 continu? malgrat aquests avisos.

Extensi車 Name Constraints

El suport per a l'extensi車 Name Constraints varia entre els kits d'eines de criptografia. Assegureu-vos que el conjunt d'eines que trieu admet aquesta extensi車. Aquesta extensi車 pot restringir 韓誥傭痔 de carregar certificats de CA si aquesta secci車谷s marcada com a cr赤tica, depenent del conjunt d'eines espec赤fic que s'empra.

Llistes de revocaci車 de certificats (CRL)

Si un certificat 谷s comprom豕s, l'autoritat de certificaci車 pot revocar-lo incloent-lo a la llista de revocaci車 de certificats. Els CRL es poden configurar al fitxer de configuraci車 del servidor, el proxy i l'agent mitjan?ant el par角metre TLSCRLFile. Per exemple:

     TLSCRLFile=/home/zabbix/zabbix_crl_file

on zabbix_crl_file pot contindre llistes de revocaci車 de certificats de diverses autoritats de certificaci車 i assemblar-se a:

     -----BEGIN X509 CRL-----
            MIIB/DCB5QIBATANBgkqhkiG9w0BAQUFADCBgTETMBEGCgmSJomT8ixkARkWA2Nv
            ...
            treZeUPjb7LSmZ3K2hpbZN7SoOZcAoHQ3GWd9npuctg=
            -----END X509 CRL-----
            -----BEGIN X509 CRL-----
            MIIB+TCB4gIBATANBgkqhkiG9w0BAQUFADB/MRMwEQYKCZImiZPyLGQBGRYDY29t
            ...
            CAEebS2CND3ShBedZ8YSil59O6JvaDP61lR5lNs=
            -----END X509 CRL-----

El fitxer CRL nom谷s es carrega a l'inici de 韓誥傭痔. L'actualitzaci車 de la llista de revocaci車 de certificats requereix un reinici.

Si el component 韓誥傭痔 es compila amb OpenSSL i s'empren llistes de revocaci車 de certificats, cada CA de nivell superior i mitj角 de les cadenes de certificats ha de tindre una llista de revocaci車 de certificats (pot 谷sser buida) a TLSCRLFile.