היי

יש לי שרת לינוקס עם מערכת מסוימת עליו שצריכה לתקשר עם AD .

אני רוצה שהיא תתקשר בצורה מוצפנת , כלומר עם SSL .

עכשיו בשביל לעשות את זה כמו שצריך , הבנתי שאני צריך להכניס את ה certificate מה- CA ל trusted root בשרת הלינוקס.

איך אפשר לעשות את זה ?

ראיתי שיש כלי שנקרא certmgr , אבל לא ממש הסתדרתי איתו ...


האם זה בכלל הכיוון ? או שהבנתי משהו לא נכון ?

IF there is no LOVE there is Nothing

תתקשר עם AD בצורה מוצפנת או עם לקוח מסויים בפרוטוקול אחר בצורה מוצפנת מול AD?

אם מול AD - האם אתה בעצם אומר ש AD תומך ב SSL? להזכירך SSL היא שיטה להעביר משהו בשכבה של הצפנה ולא פרוטוקל מוצפן בהגדרתו (למשל HTTPS זה HTTP תחת SSL, ו IMAPS זה IMAP תחת SSL, אבל לא כל פרוטוקול שיש בו הצפנה בהכרח משתמש ב SSL - למשל - IPSec - לא...)

בכל אופן אין עניין לניהול תעודות כשאתה אינך המצפין הראשי בעניין (כמו שאינך מנהל תעודות כשאתה גולש עם דפדפן לאתר HTTPS - אמנם יש שימוש במפתחות פרטיים וציבוריים וכו', אבל הכל נוצר אוטומטית מצד הלקוח...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

המממ....

בגדול יש לי מערכת helpdesk של חברת kayako ( אולי אתה מכיר .. )

ומה שקורה זה שהיא ניגשת ל AD בשביל לייבא את היוזרים שנכנסים למערכת.

אני רוצה שהמידע בין השרת שנמצאת עליו המערכת לבין ה AD יעבור בצורה מוצפנת ... לא ממש משנה לי איך ...

זה נראה לי חשוב ... לא ?

IF there is no LOVE there is Nothing

אוקיי, אז אתה מדבר על תוכנה של יצרן מסויים, לא על לינוקס, ולא על קוד פתוח...

מעיון באתר שלהם נראה שהם לא בדיוק מדברים עם AD אלא עם שרת ה LDAP שעליו. ל LDAP יש אפשרות לעבור בהצפנה (כמובן שזה תלוי ברצונם הטוב של מיקרוסופט שזה יעבוד - מנסיון - זה לא תמיד קורה) - וביכולת של המערכת שלך לעבוד בהצפנה. כך או כך, נראה לי שאתה צריך לקרוא את ההוראות של המערכת שלך ולפנות לפורום Windows יותר מאשר לכאן...

לעניין האם זה חשוב, לא יודע. אשאל אותך שאלה. הגישה למערכת - ב HTTPS? אם לא, למה אתה צריך שהאימות מול LDAP יהיה מוצפן אם ממילא עד לשרת שלך אתה מעביר את שם המשתמש והסיסמא ב cleartext? נקודה למחשבה...

כעקרון הצפנת נתונים בתעבורת רשת היא דבר שחשוב רק אם יש אפשרות שמישהו שאינך מעוניין שהוא יקרא את המידע יוכל לגשת לזרם הנתונים בזמן שהוא עובר. לצורך העניין, אם בין שרת ההזדהות לשרת האפליקציה מחובר כבל מוצלב וכל התקשורת עוברת דרכו, ולאף אחד חוץ ממך אין גישה לחיבור הזה - ההצפנה מיותרת (בזבוז משאבים שלא מעלה בכלום את האבטחה). אם למישהו יש גישה לכבל, או שהרשת היא switched ולמישהו יש גישה לסגמנט הרשת (נניח VLAN לצורך העניין) - אז הוא כבר יכול לחטוף תקשורת. אבל במקרה הזה, כמו שהוא יכול לחטוף בין האפליקציה לשרת ההזדהות, הוא יכול, ככל הנראה, גם בינה לבין מי שעובד מולה, ולכן גם את זה צריך להצפין. בנוסף, צריך להצפין את זה עם תעודה שניתן לוודא (חתומה על ידי CA שמאושר אצל לקוחות הגישה למערכת, דפדפנים במקרה שלך) - כי אחרת אם תמיד יש התראה והבחור עושה לך MITM, הוא יכול להצפין את המידע מולו, לפענח אותו, לקרוא אותו, להצפין אותו חזרה ולהעביר אותו חזרה אל השרת המקורי - המשתמש לא ידע מכלום - והבחור יאסוף את כל הסיסמאות...

נמאס לכם לזכור סיסמאות? לחצו כאן!

אוקיי...


אז קודם כל התוכנה מותקנת על לינוקס... , אבל חשבתי שזה מתאים ...

מעבר לזה , הגישה לאתר עצמו היא אכן ב HTTPS

ובקשר להצפנה , הרי מה שקורה זה , שהמידע מגיע מוצפן מהלקוח אל השרת , עד כאן בסדר , אבל הוא הרי ממשיך ל AD , בשביל לאמת את הפרטים כאשר הוא כבר לא מוצפן ...

זה לא אבסורד ?

IF there is no LOVE there is Nothing

אוקיי, אם זה HTTPS אז זה בסדר, אבל מעניין, יש לך תעודה חתומה להוסט שעליו היא רצה? (אם כן, שמת את זה על כתובת חיצונית או משו? ) כי אם לא, אני משער שיש הודעת שגיאה בכניסה לאתר...

בכל אופן, כן, אפשר לאמת באופן מוצפן, אבל תצטרך להפעיל את זה בתוכנה שלך (אם אפשר...), ואני באמת לא יכול לעזור לך בזה - ממליץ לך לפנות ליצרן / לקרוא את ההוראות...

נמאס לכם לזכור סיסמאות? לחצו כאן!