Implementierung Drittanbieter Zertifikate (x509) in Securepoint UTM -Am Beispiel einer Microsoft zweistufigen PKI Infrastruktur-

Transkript

1 Implementierung Drittanbieter Zertifikate (x509) in Securepoint UTM -Am Beispiel einer Microsoft zweistufigen PKI Infrastruktur- Vorbemerkung Wir möchten uns beim Support von Securepoint, insbesondere bei Herrn Kenneth Johannsen vorab für seine Hilfestellungen herzlichst bedanken. Bevor Sie nun starten, empfehlen wir dringend Ihre UTM-Konfiguration zu sichern und zu exportieren, da die Zertifikate, wenn sie importiert worden sind, nicht ohne weiteres (Web- Interface) wieder entfernt werden können. Ein "gelöschtes" Zertifikat wird seitens der UTM nur widerrufen und verbleibt in der Datenbank, sodass es nicht erneut importiert werden kann. Sollte Ihnen hier ein Missgeschick passiert sein, so wenden Sie sich bitte direkt an den Support von Securepoint, da es per SSH eine 'kryptische' Lösung gibt. Laut Securepoint soll es in einer zukünftigen Version der UTM der Import mit der automatischen Wandlung von x509- in Open-SSL-Zertifikaten geben. Rechtliches Diese Anleitung erhebt keinen Anspruch auf Vollständigkeit und Fehlerfreiheit. Sie soll nur dazu dienen bzw. helfen, den richtigen Weg für Ihre Lösung zu finden. Alle auf diesen Seiten verwendeten Markennamen, Warenzeichen, Produktbezeichnungen, deren Abkürzungen und Logos sind Eigentum der betreffenden Unternehmen und werden als geschützt anerkannt. Bitte beachten Sie auch, dass Sie die hier aufgezeigten PEM-Outputs nicht für Ihre Zwecke nutzen können, da wir sie zum Schutz der Zertifikate in dieser Dokumentation unbrauchbar gemacht haben. Umfeld Virtuelle Securepoint UTM mit drei Netzwerkkarten auf einem Hyper-V3-Host (Windows 2012 R2) UTM-Version: August 2014 Internetzugang: Kabeldeutschland 100MB DNS-Dienst: (Securepoint) Zertifikate: 1 x Wildcard, 1 x Zwischenzertifizierungsstellenzertifikat, 1 x Stammzertifikat (MS-PKI-2012R2) SHA256 und 2048 bit Client: Windows 8.1 Enterprise Open-SSL 1.01i Light (64bit) MS Visual C Redistributable Quellen Securepoint (Allgemein) (Wiki & FAQ) (Forum) Open-SSL (Doku Client Programm) (OpenSSL-Client) MS Visual C Ziel Nutzung von Drittanbieter-Zertifikaten (x509) in der UTM für die Reverse-Proxy Funktionen

2 Inhalt 1. Backup der UTM, inkl. Export der Konfiguration 2. Export der Zertifikate 3. Umwandlung der Zertifikate 4. Portänderung des Userinterface der UTM 5. Import der Zertifikate in die UTM 6. Konfiguration Reverse-Proxy der UTM 7. Und?! 1. Backup Melden Sie sich an der UTM per Web-Interface an, gehen Sie auf die Konfigurationsverwaltung, wählen Ihre aktuelle Konfiguration und exportieren Sie sie.

3 2. Export Zertifikate Öffnen Sie das Snap-In für Zertifikate (Computer) und prüfen Sie die Gültigkeit, ob ein privater Schüssel vorhanden ist und sowie die Zertifikatskette: Anschließend exportieren Sie das Zertifikat inkl. dem privaten Schlüssel ohne die Zertifikatskette: Danach exportieren Sie die gesamte Zertifikatskette, wie im Zertifikat angegeben, einzeln als *.cer (DER-codiert):

4 sowie in unserem Fall noch das Zwischenzertifikat: 3. Umwandlung Zertifikate Ggf. sichern Sie noch die exportierten Zertifikate an einen anderen Ort. (Kopie) Nach dem Export müssen die Zertifikate in das Open-SSL-Format umgewandelt werden. Hierzu benötigen Sie den Open-SSL-Client. Die Umwandlung selbst erfolgt über die Kommandozeile (administrativ). Doku siehe Quellenangabe. Umwandlung des Zertifikats mit dem privaten Schlüssel (PFX to PEM) Syntax: openssl pkcs12 -in path\file.p12 -out path\file.pem Wechseln Sie in das Open-SSL-Bin Verzeichnis Geben Sie noch das Passwort ein, das Sie beim Export genommen haben.

5 Umwandlung der Zertifikate aus der Zertifikatskette (DER to PEM) Syntax: openssl x509 -inform der -in path\file.cer -out path\file.pem Wechseln Sie in das Open-SSL-Bin Verzeichnis Anpassung des 'Haupt-Zertifikates' (PEM) Um Importschwierigkeiten zu umgehen, sollte das Hauptzertifikat (PEM) ein wenig angepasst, bzw. einige Einträge entfernt werden. Hierzu öffnen Sie das eben erstellte 'wildcard.pem' Zertifikat laut unserem Beispiel, mit einem Text-Editor Ihrer Wahl, nachdem Sie noch das Zertifikat sicherheitshalber vorher gesichert haben. Das Zertifikat sollte wie folgt aussehen: (Achtung geht über 2 Seiten) Bag Attributes Microsoft Local Key set: <No Values> localkeyid: friendlyname: {81A2F585-7B6E-49F3-809F-DE85E26529B3} Microsoft CSP Name: Microsoft RSA SChannel Cryptographic Provider Key Attributes X509v3 Key Usage: BEGIN PRIVATE KEY----- MIIEvAIBADANBgkqhkiG9w0BAQEFAASCBKYwggSiAgEAAoIBAQC9pAccbtnU+XNB BtXJfg7Koe7yaCljxdU9k4WnrpsJRlvd6h9jQNT5X9gOyQKSHorz95cIVOO6hEmP /SFNU3Th4jQDXcpX+r9sICm/h3s1XGarHxyQvBjq85dgxq436CWOGMdwumko+ZjJ KGQUjQC4hmlvn+JRNN/JLD8uyfr6X1mDvRst+7M5gkvUcHJzJ718y1VcVUhrBnGL 8cXNINslClSZfmb/NndAIYKvnFc+dHZ8Hyhz8DcUCxPif8J154y9rUixqrBnjVIJ wye3hxk0eaneazhau8s/ttdjlc+azaex1m2wzycyuedaghh26prjyzivqpv9jvzt ala50b/jagmbaaecggeaq/ah8egsqy5qhsprtbxwmtolh0xbip2iavn4ovrzbwtn IYWpUAnJCcIWjV3uhO1bQQnHX94EazDDqE3AZJT3O4i0uUwgmx0rAxYXwCNOvZXq 2YLh2uD+UR2Rb8ZkY3bYFq+8siKsU1n4LodCLrdFvdu156I2GoJHfTJVRnBueNGZ 8bcVV57IDcYx7qpRrvRPGEFye5typJY32MX2Xq7sdFa6/ZmvLAldBgPnO5+pH2PX xq/cz5hzsuys5pmfkifeh8zlcbxcl15yqcpd33mub7dtyazx6b/0x0dweoi+akxc QYg224WvZ5dGxnuWjN34s1ya+qKhPKlfsepMo2BXbQKBgQD6EZQupPtoPC65JKpj ixmkr10w3ymyy7r08bdrldvvrbaza+yxu1cmpty0iqty515wvlgf8gerlhbgvckb UdOLPU1IfEkvYoRCBDwm4zfz8iOt4ZXJAXcOSBsNFZQVpl9hGRtbH1tW6P1HWq7G xh9kgj4v8uwqqwj4ng8rizwrtwkbgqdci4en155zslc0rb5b+zilq/gjblski5tx GnmrIxvtx8PX8rXPZ9BdA3PLFEFLEewlfcc,üdpefl.vaNWAM5+oQgHV1fQ0qYLl0P4x3 50wMvXRo4JnHZR8yXStHmOeat3iEBXL0wHpNddLlfoClCTbLGmZzdwlojhSRLGwW HUhGMz06fwKBgG503VNNJI+CJdE51NlrUOUxcIRpE8McGlSfgDkirMbM6KniDebj rsu1el9h6vqzwao61qskkvqbui0thiymtb5i0z4258y6y1kvrcwviuodrsbdaebr et8hsnexgtwfrrqklv7e9v+ionemipvbrln1e/91ogoozeshtgnsx7g5aogapvpf ovfrgul+3yvtsnclyfmlj4opeyap8mrx5t6cdor097zylevlgcd9bmtpfq9scnbt dz5/mtntysibaffrys1d9bdkkf17h/ouhz2aafw6bsc0uhxxugad22bhrzku9a7s new2+hplj74pdeggmpzpbifyzbvpctn8+qjsl+kcgybt1uigsnqnymsabjfwl2/w 3vEObVbWVkTpvb48DIkiBXbFjYpYmL1DCTnf0OmWu0CJZtp6WY4mN9QKCvJ2OtHN gfejrwzfxf2ofiagrby9irqsgrqfhderywzfwr/9rkvhvjpnv+pt5pjhik8ng29q Uq6fZsUeTq6MBAnPDCxNCQ== -----END PRIVATE KEY----- Bag Attributes localkeyid: friendlyname: Alfru Wildcard subject=/cn=*.alfru.net issuer=/c=de/l=rellingen/o=alfru GmbH/OU=IT.Systems/CN=Alfru GmbH Issuing V2

6 -----BEGIN CERTIFICATE----- MIIE4DCCA8igAwIBAgITHwAAAHE60TlZ0JBwJQAAAAAAcTANBgkqhkiG9w0BAQsF ADBrMQswCQYDVQQGEwJERTESMBAGA1UEBxMJUmVsbGluZ2VuMRMwEQYDVQQKEwpB bgzydsbhbwjimrmweqydvqqlewpjvc5texn0zw1zmr4whaydvqqdexvbbgzydsbh bwjiielzc3vpbmcgvjiwhhcnmtqwodi1mtqzmzu4whcnmtywodi0mtqzmzu4wjaw MRQwEgYDVQQDDAsqLmFsZnJ1Lm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC AQoCggEBAL2kBxxu2dT5c0EG1cl+Dsqh7vJoKWPF1T2ThaeumwlGW93qH2NA1Plf 2A7JApIeivP3lwhU47qESY/9IU1TdOHiNANdylf6v2wgKb+HezVcZqsfHJC8GOrz l2dgrjfojy4yx3c6asj5mmkozbsnaligaw+f4le038kspy7j+vpfwyo9gy37szmc S9RwcnMnvXzLVVxVSGsGcYvxxc0g2yUKVJl+Zv82d0Ahgq+cVz50dnwfKHPwNxQL E+J/wnXnjL2tSLGqsGeNUgnBh7cdeTQQA0QBmFpTyz+212Mtz5pkARfWbbBnJzJR 51oaGHbo9GPJmJVClX0lVm1otrnRv8kCAwEAAaOCAdAwggHMMDwGCSsGAQQBgjcV BwQvMC0GJSsGAQQBgjcVCL6XK4W1rEOE/Y8ghsLnIoTuyw5qhK70J4HKtmoCAWQC AQswHQYDVR0lBBYwFAYIKwYBBQUHAwIGCCsGAQUFBwMBMAsGA1UdDwQEAwIFoDAn BgkrBgEEAYI3FQoEGjAYÖDfjeifjdkfiodüOIeok9okfCsGAQUFBwMBMB0GA1UdDgQW BBRFSCZaHTBtRy3aqAqbURtbQLw7OTAWBgNVHREEDzANggsqLmFsZnJ1Lm5ldDAf BgNVHSMEGDAWgBTJd5ZU59mI4jg/PPcwGfAObKuCCDBKBgNVHR8EQzBBMD+gPaA7 hjlodhrwoi8vcgtplmfsznj1lm5ldc9jzxj0l0fsznj1jtiwr21iscuymelzc3vp bmclmjbwmi5jcmwwgzigccsgaqufbwebbigfmigcmfkgccsgaqufbzachk1odhrw Oi8vcGtpLmFsZnJ1Lm5ldC9jZXJ0L1NWUjEwMVBLSS5hbGZydS5uZXRfQWxmcnUl MjBHbWJIJTIwSXNzdWluZyUyMFYyLmNydDAlBggrBgEFBQcwAYYZaHR0cDovL3Br as5hbgzyds5uzxqvb2nzcdanbgkqhkig9w0baqsfaaocaqeahc0x145hp/ziuu+n 81Z45qK4ywFlJWFncGXcYIiCBYKKb5N0r7+tvBKp+DPGgjvHLOrzXEndhqL5igUp 3LKapNMGGz2FN/GFR1Punj71NVQfdbw0Kmvzi53v1MaKuSaZd5PPo6JvhAkJwrNN 6xzYbEvYOtxikloseIl8n23zilETevFAAoOP8VAzLAnrU51kYvXEK7sNfkTJntq4 EQc7+1y8hw/znaJD6hYBsj2i8xLd3L0UdGtwxYPUy0kw3fnhGbiSd2g16aoNJI6p 0RIotjKJgYcxx5qUkCtUbVekPDwVHX5bgzb2fwp2uyHSmK8kDqSOqmdPzYoVPDjN ZNd5QA== -----END CERTIFICATE----- Entfernen Sie bitte alle Einträge außerhalb ---Begin Private Key --- und ---Begin Certificate--- sodass der Text wie folgt aussieht: -----BEGIN PRIVATE KEY----- MIIEvAIBADANBgkqhkiG9w0BAQEFAASCBKYwggSiAgEAAoIBAQC9pAccbtnU+XNB BtXJfg7Koe7yaCljxdU9k4WnrpsJRlvd6h9jQNT5X9gOyQKSHorz95cIVOO6hEmP /SFNU3Th4jQDXcpX+r9sICm/h3s1XGarHxyQvBjq85dgxq436CWOGMdwumko+ZjJ KGQUjQC4hmlvn+JRNN/JLD8uyfr6X1mDvRst+7M5gkvUcHJzJ718y1VcVUhrBnGL 8cXNINslClSZfmb/NndAIYKvnFc+dHZ8Hyhz8DcUCxPif8J154y9rUixqrBnjVIJ wye3hxk0eaneazhau8s/ttdjlc+azaex1m2wzycyuedaghh26prjyzivqpv9jvzt ala50b/jagmbaaecggeaq/ah8egsqy5qhsprtbxwmtolh0xbip2iavn4ovrzbwtn IYWpUAnJCcIWjV3uhO1bQQnHX94EazDDqE3AZJT3O4i0uUwgmx0rAxYXwCNOvZXq 2YLh2uD+UR2Rb8ZkY3bYFq+8siKsU1n4LodCLrdFvdu156I2GoJHfTJVRnBueNGZ 8bcVV57IDcYx7qpRrvRPGEFye5typJY32MX2Xq7sdFa6/ZmvLAldBgPnO5+pH2PX xq/cz5hzsuys5pmfkifeh8zlcbxcl15yqcpd33mub7dtyazx6b/0x0dweoi+akxc QYg224WvZ5dGxnuWjN34s1ya+qKhPKlfsepMo2BXbQKBgQD6EZQupPtoPC65JKpj ixmkr10w3ymyy7r08bdrldvvrbaza+yxu1cmpty0iqty515wvlgf8gerlhbgvckb UdOLPU1IfEkvYoRCBDwm4zfz8iOt4ZXJAXcOSBsNFZQVpl9hGRtbH1tW6P1HWq7G xh9kgj4v8uwqqwj4ng8rizwrtwkbgqdci4en155zslc0rb5b+zilq/gjblski5tx GnmrIxvtx8PX8rXPZ9BdA3PLFEFLEewlfcc,üdpefl.vaNWAM5+oQgHV1fQ0qYLl0P4x3 50wMvXRo4JnHZR8yXStHmOeat3iEBXL0wHpNddLlfoClCTbLGmZzdwlojhSRLGwW HUhGMz06fwKBgG503VNNJI+CJdE51NlrUOUxcIRpE8McGlSfgDkirMbM6KniDebj rsu1el9h6vqzwao61qskkvqbui0thiymtb5i0z4258y6y1kvrcwviuodrsbdaebr et8hsnexgtwfrrqklv7e9v+ionemipvbrln1e/91ogoozeshtgnsx7g5aogapvpf ovfrgul+3yvtsnclyfmlj4opeyap8mrx5t6cdor097zylevlgcd9bmtpfq9scnbt dz5/mtntysibaffrys1d9bdkkf17h/ouhz2aafw6bsc0uhxxugad22bhrzku9a7s new2+hplj74pdeggmpzpbifyzbvpctn8+qjsl+kcgybt1uigsnqnymsabjfwl2/w 3vEObVbWVkTpvb48DIkiBXbFjYpYmL1DCTnf0OmWu0CJZtp6WY4mN9QKCvJ2OtHN gfejrwzfxf2ofiagrby9irqsgrqfhderywzfwr/9rkvhvjpnv+pt5pjhik8ng29q Uq6fZsUeTq6MBAnPDCxNCQ== -----END PRIVATE KEY BEGIN CERTIFICATE----- MIIE4DCCA8igAwIBAgITHwAAAHE60TlZ0JBwJQAAAAAAcTANBgkqhkiG9w0BAQsF ADBrMQswCQYDVQQGEwJERTESMBAGA1UEBxMJUmVsbGluZ2VuMRMwEQYDVQQKEwpB bgzydsbhbwjimrmweqydvqqlewpjvc5texn0zw1zmr4whaydvqqdexvbbgzydsbh bwjiielzc3vpbmcgvjiwhhcnmtqwodi1mtqzmzu4whcnmtywodi0mtqzmzu4wjaw MRQwEgYDVQQDDAsqLmFsZnJ1Lm5ldDCCASIwDQYJKoZIhvcNAQEBBQADggEPADCC AQoCggEBAL2kBxxu2dT5c0EG1cl+Dsqh7vJoKWPF1T2ThaeumwlGW93qH2NA1Plf 2A7JApIeivP3lwhU47qESY/9IU1TdOHiNANdylf6v2wgKb+HezVcZqsfHJC8GOrz l2dgrjfojy4yx3c6asj5mmkozbsnaligaw+f4le038kspy7j+vpfwyo9gy37szmc S9RwcnMnvXzLVVxVSGsGcYvxxc0g2yUKVJl+Zv82d0Ahgq+cVz50dnwfKHPwNxQL E+J/wnXnjL2tSLGqsGeNUgnBh7cdeTQQA0QBmFpTyz+212Mtz5pkARfWbbBnJzJR 51oaGHbo9GPJmJVClX0lVm1otrnRv8kCAwEAAaOCAdAwggHMMDwGCSsGAQQBgjcV BwQvMC0GJSsGAQQBgjcVCL6XK4W1rEOE/Y8ghsLnIoTuyw5qhK70J4HKtmoCAWQC AQswHQYDVR0lBBYwFAYIKwYBBQUHAwIGCCsGAQUFBwMBMAsGA1UdDwQEAwIFoDAn BgkrBgEEAYI3FQoEGjAYÖDfjeifjdkfiodüOIeok9okfCsGAQUFBwMBMB0GA1UdDgQW BBRFSCZaHTBtRy3aqAqbURtbQLw7OTAWBgNVHREEDzANggsqLmFsZnJ1Lm5ldDAf BgNVHSMEGDAWgBTJd5ZU59mI4jg/PPcwGfAObKuCCDBKBgNVHR8EQzBBMD+gPaA7 hjlodhrwoi8vcgtplmfsznj1lm5ldc9jzxj0l0fsznj1jtiwr21iscuymelzc3vp bmclmjbwmi5jcmwwgzigccsgaqufbwebbigfmigcmfkgccsgaqufbzachk1odhrw Oi8vcGtpLmFsZnJ1Lm5ldC9jZXJ0L1NWUjEwMVBLSS5hbGZydS5uZXRfQWxmcnUl MjBHbWJIJTIwSXNzdWluZyUyMFYyLmNydDAlBggrBgEFBQcwAYYZaHR0cDovL3Br as5hbgzyds5uzxqvb2nzcdanbgkqhkig9w0baqsfaaocaqeahc0x145hp/ziuu+n 81Z45qK4ywFlJWFncGXcYIiCBYKKb5N0r7+tvBKp+DPGgjvHLOrzXEndhqL5igUp 3LKapNMGGz2FN/GFR1Punj71NVQfdbw0Kmvzi53v1MaKuSaZd5PPo6JvhAkJwrNN 6xzYbEvYOtxikloseIl8n23zilETevFAAoOP8VAzLAnrU51kYvXEK7sNfkTJntq4 EQc7+1y8hw/znaJD6hYBsj2i8xLd3L0UdGtwxYPUy0kw3fnhGbiSd2g16aoNJI6p 0RIotjKJgYcxx5qUkCtUbVekPDwVHX5bgzb2fwp2uyHSmK8kDqSOqmdPzYoVPDjN ZNd5QA== -----END CERTIFICATE----- Achten Sie dabei darauf, das keine Leer-Zeile entsteht und speichern Sie es als z.b. wildcard1.pem ab.

7 4. Port Änderung Userinterface Sollte im Zusammenhang mit der Reverse-Proxy-Funktionalität Ihr(e) zu veröffentlichen Server auf dem HTTPS- Port 443 lauschen, so müssen Sie vorher den Port für das UTM-Userinterface ändern, das by default ebenfalls auf 443 hört. Hierzu gehen Sie in Ihrer UTM auf Extras\Erweiterte Einstellungen (Sollte die Option nicht sichtbar sein, so drücken Sie die Tastenkombination 'STRG+ALT+A')

8 5. Import Zertifikate Beim Import der Zertifikate (PEMs) müssen Sie nun die Reihenfolge der Zertifikatskette berücksichtigen, d.h. Sie beginnen mit dem Root Zertifikat, dann ggf. mit den Zwischenzertifikat(en) im Bereich 'CA' und zum Schluss das Hauptzertifikat im Bereich 'Zertifikate' der UTM. Diese Einstellungen finden Sie unter 'Authentifizierung\Zertifikate': Nachdem erfolgreichen Import sollte die CA wie folgt aussehen: Zum Status finden Sie am Schluss eine Anmerkung.

9 Jetzt müssen Sie nur noch Ihr Hauptzertifikat - hier im Beispiel 'wildcard1.pem' importieren: 6. Reverse-Proxy Jetzt können wir den Reverse-Proxy konfigurieren. (Ein Beispiel) Denken Sie bitte auch an die entsprechenden Portfilterregeln, aber hierzu gibt es im WIKI von Securepoint gute How to Do's.

10 Zuerst sollten u.u. die Einstellungen angepasst werden, danach kann der Wizard verwendet werden:

11 Und das "Speichern" nicht vergessen. Portfilterregeln (Beispiel) 7. Und?!

12 Voila. Port 80 Port 443 Fazit Wir hoffen hiermit Ihnen eine kleine Hilfestellung geben zu können. Dieses Vorgehen sollte eigentlich mit jedem x509-zertifikat von Drittanbietern ohne Probleme umsetzbar sein. Leider gibt es noch in der jetzigen Version der UTM noch einen Schönheitsfehler. Da die CRL zurzeit nicht importiert werden kann, hat die UTM den Status "unable to get cerificate crl', aber es funktioniert trotzdem. Hoffen wir, dass in Zukunft Securepoint im Bereich Zertifikate hier weiterentwickelt, sodass -wie bereits erwähnt- es auch eine Möglichkeit geben wird, endgültig Zertifikate aus der Datenbank per Web-Interface löschen zu können