Acrolinx IQ. Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS

Transkript

1 Acrolinx IQ Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS

2 2 Inhalt Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS 3 Einleitung...3 Konfigurieren von Acrolinx IQ Server für HTTPS...3 Generieren von Zertifikaten...3 Konfigurieren der Hauptserver- und Sprachserver-Eigenschaften...5 Konfigurieren einer Cipher Suite Whitelist...6 Hinweise...7

3 3 1 Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS Einleitung In einer standardmäßigen Installation von Acrolinx IQ wird die Kommunikation zwischen dem Server und den Clients (einschließlich der Benutzer der Plug-ins und des Dashboards) unverschlüsselt durchgeführt. Im Allgemeinen ist dies kein Problem, weil der Server und die Clients normalerweise im gleichen Unternehmensnetzwerk ausgeführt werden. Wenn die Clients allerdings eine Verbindung über das öffentliche Internet herstellen, kann es vorkommen, dass manche Unternehmen hier HTTPS verwenden möchten, den Internetstandard für sichere Kommunikation. Dadurch wird sichergestellt, dass Daten und Passwörter während der Übermittlung nicht eingesehen werden können. Achtung: Die Einrichtung von HTTPS und besonders die Erzeugung eines öffentlichen Schlüssels werden idealerweise von einem Sicherheitsexperten durchgeführt. Konfigurieren von Acrolinx IQ Server für HTTPS Generieren von Zertifikaten Zur Bestätigung der Identität und Authentizität des Servers und zur Herstellung einer sicheren Verbindung wird ein Zertifikat mit einem öffentlichen Schlüssel benötigt. Hier können Sie entweder ein von einer Zertifizierungsstelle signiertes oder ein selbstsigniertes Zertifikat verwenden. Tipp: In diesem Tutorial wird die Keystore-Datei als <KEYSTORE_NAME> und das Passwort als <PASSWORT> bezeichnet. Außerdem wird angenommen, dass der Server auf einem System mit dem Namen <SERVER_NAME> installiert ist. Ersetzen Sie diese Angaben durch den eigenen Dateinamen, das eigene Passwort und den eigenen Servernamen. Verwenden eines von einer Zertifizierungsstelle signierten Zertifikats Die Vorgehensweise zur Anforderung eines von einer Zertifizierungsstelle signierten Zertifikats gehört nicht zum Inhalt dieses Tutorials. Wenden Sie sich an die Sicherheitsexperten Ihres Unternehmens, wenn Sie ein entsprechendes Zertifikat benötigen. Sobald Sie über ein signiertes Zertifikat verfügen, müssen Sie das Zertifikat und den Schlüssel in eine Java-Keystore-Datei importieren. Wenn es sich bei dem Zertifikat um eine Datei mit der Endung.crt handelt und der Schlüssel in einer separaten Datei mit der Endung.key gespeichert ist, können Sie diese entsprechend der folgenden Vorgehensweise importieren. Sie müssen dazu OpenSSL installieren. Wenn sich das Zertifikat in der Datei ZERTIFIKAT_NAM

4 4 Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS E>.crt und der Schlüssel in der Datei <SCHLÜSSEL_NAME>.key befinden, müssen Sie beide Dateien zunächst mit dem folgenden Befehl miteinander zu einer einzelnen PKCS12-Datei kombinieren: openssl pkcs12 -inkey <KEY_NAME>.key -in <ZERTIFIKAT_NAME>.crt -export -out combined.pkcs12 Hinweis: Es kann vorkommen, dass einige Browser eine Warnung zu einem nicht vertrauenswürdigen Zertifikat anzeigen. Kombinieren Sie in diesem Fall alle Zertifikatdateien, die Sie gemeinsam mit dem Zertifikat <ZERTIFIKAT_N AME>.crt erhalten haben, in eine neue Datei mit dem Namen <ZERTIFIKAT _NAME>.crt, und führen Sie den Befehl erneut aus. Die PKCS12-Datei enthält jetzt die gesamte Keychain und das Zertifikat wird von allen Browsern als vertrauenswürdig eingestuft. Geben Sie bei der Aufforderung das <PASSWORT> ein. Wandeln sie anschließend die PKCS12-Datei in eine Java-Keystore-Datei um, indem Sie den folgenden Befehl im Verzeichnis acrolinxiq ausführen: java -jar server/lib/jetty-pkcs12-<version_nummer>.jar" combined.pkcs12 <KEYSTORE_NAME> Die Variable <VERSION_NUMMER> sthet für die Versionsnummer der aktuell installierten PKCS12-Importer-Jar. Sie können diese Versionsnummer ermitteln, indem Sie im Verzeichnis <INSTALL_VER>\server\lib nach einer Datei mit dem Namen jetty-pkcs12-<version_nummer>.jar suchen. Beispiel: jetty-pkcs v jar. Verschieben Sie die erstellte Datei <KEYSTORE_NAME> anschließend in das Verzeichnis server\bin im Verzeichnis acrolinxiq. Verwenden eines selbstsignierten Zertifikats Anders als bei einem von einer Zertifizierungsstelle signiertem Zertifikat kann der Client die Identität des Servers bei einem selbstsignierten Zertifikat nicht verifizieren. Dennoch ermöglichen selbstsignierte Zertifikate eine identische Verschlüsselung wie normal signierte Zertifikate. Beachten Sie, dass den Dashboard-Benutzern bei der Anmeldung eine Warnung angezeigt wird, wenn Sie ein selbstsigniertes Zertifikat verwenden. Selbssignierte Zertifikate können mit verschiedenen Programmen erstellt werden, zum Beispiel OpenSSL, IBM Keyman oder dem Java Keytool.. In diesem Tutorial wird nur die Verwendung von Keytool beschrieben. Beachten Sie, dass für die Verwendung von Keytool das JDK installiert sein muss. Führen Sie den folgenden Befehl aus, um den Keystore zu erzeugen: keytool -keystore <KEYSTORE_NAME> -genkey -keyalg RSA Anschließend müssen die ein Passwort eingeben und verschiedene Fragen beantworten. Die einzige Frage, die hier unbedingt beantwortet werden muss, ist die nach dem Vor- und Nachnamen. Hier muss allerdings der Name des Servers eingegeben werden. Alle anderen Felder sind optional. Die vollständigen Angaben lauten: # keytool -keystore <KEYSTORE_NAME> -genkey -keyalg RSA Enter keystore password: <PASSWORT> Re-enter new password: <PASSWORT> What is your first and last name? <SERVER_NAME> What is the name of your organizational unit?

5 5 What is the name of your organization? What is the name of your City or Locality? What is the name of your State or Province? What is the two-letter country code for this unit? Is CN=jetty.mortbay.org, OU=Jetty, O=Mort Bay Consulting Pty. Ltd., L=Unknown, ST=Unknown, C=Unknown correct? [no]: yes Enter key password for (RETURN if same as keystore password): Mit diesem Befehl wird die Datei mit dem Namen <KEYSTORE_NAME> erstellt. Speichern Sie diese im Verzeichnis server/bin im Installationsverzeichnis von Acrolinx IQ. Wenn die Sprachserver auf unterschiedlichen Computern installiert sind, müssen Sie die Datei auf jeden entsprechenden Computer installieren. Konfigurieren der Hauptserver- und Sprachserver-Eigenschaften Hauptserver-Eigenschaften Nehmen Sie die folgenden Änderungen an der Datei coreserver.properties im Verzeichnis server/bin im Verzeichnis acrolinxiq vor: 1. Fügen Sie die folgenden Zeilen hinzu: endpointprotocol=https (ändern Sie den Wert von http zu https). endpointport=443 (aktualisieren Sie diesen Wert, wenn Sie einen anderen Port für die sichere Kommunikation verwenden). 2. Achten Sie darauf, dass für den Endpoint-Host der Name des Servers eingestellt ist: endpointhost=<server_name> und nicht die IP-Adresse. 3. Fügen Sie die folgenden Zeilen hinzu: sslkeystore=<keystore_name> sslkeystorepassword=<passwort> ssltruststore=<keystore_name> ssltruststorepassword=<passwort> In den meisten Fällen sind die Werte für ssltruststore und sslkeystore identisch. Wenn Sie allerdings einen separaten Truststore erstellt haben, müssen Sie diesen Namen verwenden.

6 6 Sichern der Kommunikation mit Acrolinx IQ Server mit HTTPS Sprachserver-Eigenschaften Führen Sie die folgenden Änderungen an allen Dateien vom Typ ls-0x.properties durch. Für jeden installierten Sprachserver ist eine dieser Dateien vorhanden. 1. Achten Sie darauf, dass für den Endpoint-Host der Name des Servers eingestellt ist: endpointhost=<server_name> und nicht die IP-Adresse. 2. Fügen Sie die folgende Zeile hinzu: ssltruststore=<keystore_name> 3. Fügen Sie die folgende Zeile hinzu: coreserverendpointurl= Wenn der Port des Hauptservers auf einen anderen Wert als 8031 in der Datei coreserver.properties festgelegt wurde, müssen Sie die entsprechende Portnummer verwenden. Konfigurieren der Client-Adressen Alle Clients müssen zunächst eingerichtet werden, um die neue HTTPS-Adresse zu verwenden. Öffnen Sie dazu im Plug-in die Optionen und klicken Sie auf Server wechseln. Geben Sie als Serveradresse folgenden Wert ein: Der Zugriff auf das Dashboard muss ebenfalls über die HTTPS-Adresse erfolgen: Wenn Sie ein selbstsigniertes Zertifikat verwenden, müssen die Benutzer die eventuell im Browser angezeigten Sicherheitswarnungen akzeptieren. Konfigurieren einer Cipher Suite Whitelist Mit einer Cipher Suite Whitelist können Sie sicherstellen, dass von Acrolinx IQ Server nur bestimmte Cipher Suites verwendet werden, wenn Seiten über eine sichere Verbindung ausgegeben werden. Es ist nicht zwingend erforderlich, eine Cipher Suite Whitelist zu konfigurieren, es ist jedoch hilfreich, wenn Ihre Sicherheitsrichtlinien nur sehr sichere Cipher Suites für die Kommunikation über sichere Verbindungen zulassen. â So konfigurieren Sie eine Cipher Suite Whitelist 1. Fügen Sie in der Datei coreserver.properties die folgende Eigenschaft hinzu: sslciphersuitewhitelist=<cipher_suite_namen> Geben Sie die Namen der Cipher Suite in einer kommagetrennten Liste ein. Wenn Sie zum Beispiel nur besonders sichere Cipher Suites zulassen und mittlere und schwache Cipher Suites ausschließen möchten, müssen Sie die folgende Eigenschaft verwenden: Beispiel:

7 7 sslciphersuitewhitelist=tls_dhe_rsa_with_aes_128_cbc_sha,ssl_dhe_rsa_with_3des_ede_cbc_sha,tls_rsa_with_aes_128_cbc_sha,ssl_rsa_with_3des_ede_cbc_sha 2. Speichern Sie die Datei und starten Sie den Hauptserver neu. Hinweise In diesem Setup wird HTTPS für die Kommunikation zwischen dem Hauptserver und den Clients verwendet. Die Kommunikation zwischen dem Hauptserver und den Sprachservern ist nicht verschlüsselt. Dies ist normalerweise kein Problem, weil der Hauptserver und die Sprachserver im gleichen Netzwerk oder sogar auf dem gleichen Computer installiert sind. Zur Verwendung von HTTPS müssen die Clients auf den DNS-Namen des Hauptservers zugreifen können. Es kann nicht ausschließlich eine IP-Adresse verwendet werden.